Há dois anos, escrevi sobre sete mitos de cibersegurança que geram riscos para as empresas e fazem com que equipes de segurança bem-intencionadas concentrem seus esforços nas coisas erradas.
Naquela época, estávamos no início de uma pandemia global, e tanto nossa vida no mundo real quanto a digital estavam mudando rapidamente — em alguns aspectos, de forma permanente. Desde então, o mundo tem sido abalado nos âmbitos econômico, político e tecnológico. O avanço da tecnologia acelerou ainda mais, apesar do ritmo já vertiginoso. Países envolvidos em guerras cibernéticas afetaram diretamente o bolso dos cidadãos comuns. Certamente, depois de dois anos, esses mitos seriam completamente diferentes, certo?
Errado. Como nos lembra o ditado “plus ça change”, quanto mais as coisas mudam, mais permanecem iguais. Todos os sete mitos originais continuam extremamente relevantes, mas apresento outros sete mitos sobre segurança cibernética que decorrem da imutabilidade da condição humana.
Mito nº 1: Apenas um pequeno número de contas nas redes sociais é falso.
Muitas empresas sabem que têm bots, mas a realidade é que as empresas de redes sociais muitas vezes não sabem — e nem querem saber — quantos bots realmente têm.
Anos atrás, fizemos uma prova de conceito com um site de rede social que mostrou que 98% dos acessos eram feitos por bots automatizados. A empresa tinha muito orgulho de seu rápido crescimento e estava entusiasmada com o futuro, mas descobriu-se que ela tinha apenas um décimo do número de assinantes que acreditava ter.
A importância desse conhecimento vem se manifestando de forma bastante pública com a aquisição do Twitter. O valor da empresa se baseia, em grande parte, no número de usuários. O desafio de Elon Musk para que a empresa demonstre que bots de spam e contas falsas representam menos de 5% é uma expectativa legítima para qualquer investidor, anunciante, possível parceiro comercial e até mesmo para seus usuários.
Prevejo que a proporção de bots no Twitter esteja mais próxima de 50% ou mais. (Observação: com base em pesquisas posteriores, revisei essa estimativa em uma publicação mais recente no blog.) As empresas deveriam ser obrigadas a verificar se os usuários são humanos e a gerenciar e reduzir de forma eficaz o tráfego de bots.
Em termos simples, o sucesso de bots maliciosos indica uma falha de segurança. A prevenção contra bots é fundamental para garantir a integridade das informações que circulam por esses sites, bem como para assegurar dados precisos para que as empresas tomem decisões comerciais importantes e para aqueles que fazem negócios com elas.
Mito nº 2: A prevenção contra bots é um projeto interno do tipo “faça você mesmo”.
Já vimos boas empresas, com grandes orçamentos e equipes técnicas brilhantes, combatendo bots durante anos. No entanto, quando analisamos o tráfego de bots nessas organizações, esperando encontrar bots sofisticados que tivessem evoluído para superar suas defesas, constatamos que simplesmente não é esse o caso.
As empresas vêm combatendo bots bloqueando IPs, regiões e sistemas autônomos, e é justamente aí que vemos a evolução do tráfego de bots maliciosos: os ataques agora vêm de centenas de milhares, até mesmo milhões, de endereços IP. Essas defesas na camada de rede só conseguem protegê-las até certo ponto.
Meu mantra é que os sinais do lado do cliente são fundamentais. É preciso contar com biometria comportamental. É preciso analisar o navegador e o dispositivo. É a combinação de todos esses sinais que permite identificar não apenas bots, mas também pessoas mal-intencionadas.
As empresas também acham que podem sair dessa situação contratando mais pessoas, mas não há como contratar profissionais de TI em número suficiente para resolver um problema dessa magnitude. A única maneira de realmente combater a automação é com automação.
Mito nº 3: O foco deve estar sempre em uma nova ameaça misteriosa no horizonte.
Nós, que atuamos na área de segurança, na imprensa de tecnologia e nas relações públicas corporativas, compartilhamos um receio comum em relação aos agentes de ameaças que estão sempre inovando e se mantendo à nossa frente. No entanto, em muitos aspectos, os ataques continuam os mesmos, com apenas pequenos ajustes ao longo do tempo.
A maioria dos bots que vemos hoje apresenta o mesmo nível de sofisticação de cinco anos atrás. Eles apenas vêm de lugares diferentes. O preenchimento de credenciais ainda funciona, apesar da autenticação de dois fatores e/ou do CAPTCHA. Os invasores não criarão novos vetores de ataque enquanto o vetor original continuar sendo bem-sucedido. Tudo o que precisam fazer é encontrar uma maneira de contornar as novas defesas.
As empresas precisam, sim, considerar as ameaças emergentes e tentar se preparar para elas, mas o setor também precisa continuar mitigando as ameaças do ano passado.
Mito nº 4: Gerenciar várias nuvens é um desafio difícil que exige profissionais impossíveis de encontrar.
O mundo de múltiplas nuvens é uma realidade vivenciada atualmente por muitas empresas, se não pela maioria. Seja por causa de uma aquisição, da integração com um parceiro ou simplesmente para aproveitar os melhores recursos disponíveis, a estratégia multinuvem veio para ficar.
No entanto, quando pergunto às empresas se elas utilizam várias nuvens, uma resposta que ouço repetidamente é alguma variação de “sim, infelizmente”. Às vezes, as empresas que operam em várias nuvens fazem isso a contragosto e não aproveitam a oportunidade de obter o melhor de todos os mundos.
Hoje, não há motivo para que o gerenciamento e a proteção do seu ambiente de TI em várias nuvens sejam tarefas árduas. Os provedores de nuvem incorporaram a interoperabilidade às suas estratégias, e há muitos outros fornecedores cujas soluções foram desenvolvidas para eliminar a complexidade da integração, abstrair suas funcionalidades entre as nuvens e disponibilizá-las por meio de uma interface simples e unificada.
Mito nº 5: Proteger a arquitetura e os dispositivos da empresa é suficiente.
As equipes de segurança estão focadas na infraestrutura da empresa, em seus servidores, computadores e desktops — tudo o que está dentro da organização. O que, em grande parte, não recebe a atenção delas são as redes domésticas de todos os funcionários da organização.
Um invasor pode querer ter o CEO como alvo para acessar informações sobre fusões e aquisições ou outros dados estratégicos, mas monetizar esse tipo de informação não é tão fácil quanto atacar um funcionário do setor de contas a pagar ou um administrador de TI. Em um momento em que o trabalho remoto é mais comum do que nunca, as redes domésticas estão se tornando uma nova brecha para agentes mal-intencionados.
Mito nº 6: Você pode confiar nos seus funcionários.
As ameaças internas têm uma enorme vantagem simplesmente porque faz parte da natureza humana presumir o melhor das pessoas ao nosso redor. Mas a verdade é que não se pode contratar 50 ou 100 funcionários sem correr o risco muito real de incluir uma ou duas maçãs podres no grupo.
Funcionários insatisfeitos não deixam apenas avaliações negativas no Glassdoor. Eles podem copiar arquivos confidenciais para um pen drive e simplesmente sair pela porta. Há ainda uma preocupação crescente de que possam deixar softwares maliciosos no sistema.
Há muito tempo tenho uma teoria de que pessoas de dentro da empresa provavelmente também estão por trás de muitos ataques de ransomware. Um administrador de TI pode facilmente criar uma identidade na dark web, conceder a ela acesso ao sistema para instalar malware e, em seguida, exigir um resgate — e depois defender que a empresa simplesmente o pague. É importante ressaltar que ainda não vi evidências disso, mas certamente há um incentivo para tal.
Mito nº 7: Nossas maiores ameaças cibernéticas vêm de agentes estatais que têm como alvo a infraestrutura.
Quando a Colonial Pipeline foi atacada, há um ano, provocando longas filas nos postos de gasolina e transtornos aos consumidores da Costa Leste, o caso ganhou grande repercussão internacional.
No entanto, pouco ou nada se fala sobre os milhões de americanos que são vítimas de fraudes on-line todos os anos, muitos dos quais são idosos e vivem de suas economias para a aposentadoria. Essa é uma enorme ameaça à nossa rede de proteção social, que pode ter efeitos devastadores sobre as pessoas e suas famílias — muito mais do que ter de esperar na fila e pagar mais caro pela gasolina.
Passei anos trabalhando na aplicação da lei e investigando crimes cibernéticos, na maioria das vezes com resultados frustrantes, e essa é uma questão pela qual tenho grande interesse. Os ataques à nossa infraestrutura são graves e muito reais, mas, ao ouvir os relatos dessas vítimas, fica claro que as fraudes cibernéticas generalizadas deveriam receber mais atenção do que recebem atualmente.
Se você quiser saber mais sobre como gerenciar bots e se defender deles, identificar e mitigar ameaças ou implementar o modelo de confiança zero em sua organização, confira algumas sugestões de leitura complementar:
- Gerenciamento de bots: soluções de segurança e proteção de aplicativos
- Distributed Cloud Bot Defense
- eBook Identifique e mitigue ameaças automatizadas
- Serviços F5 Distributed Cloud
- Como usar o Zero Trust para proteger sua empresa ao adotar o trabalho remoto
- Como implementar um modelo de segurança Zero Trust
_____
Por Dan Woods, diretor global de inteligência da F5
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...