Segurança de aplicações: o elefante na sala nebulosa

Lori Mac VittieEngenheiro Emérito e Evangelista-Chefe | F5

Muito bem, crianças. Chegou a hora de termos "aquela conversa". Vocês sabem qual é, aquela sobre a qual andam cochichando com os amigos, mas que até agora tinham medo de perguntar de verdade porque, é claro, todo mundo já sabe do assunto, e vocês não queriam parecer, bem, pouco descolados ao admitir que não sabiam realmente .

Só que eles não sabem — ou, pelo menos, se sabem, também não estão falando sobre isso. E já passou da hora de conversarmos sobre como tomar as devidas precauções ao usar a nuvem. Sabe, como proteger seus aplicativos na nuvem contra infecções e ataques.

Sim, hoje finalmente vamos falar sobre segurança de aplicações na nuvem.

Não estamos falando de criptografia. Nem de gerenciamento de identidades e acessos. E tampouco de segurança de rede.

Segurança de aplicações.

Apesar de todos os documentos, pesquisas, recomendações e discussões gerais sobre "segurança na nuvem" disponíveis hoje na vastidão da Internet, pouquíssimos* mencionam as palavras "segurança de aplicativos". Consigo encontrar pesquisas e estatísticas sobre o uso de criptografia, sobre quem deveria estar protegendo os dados na nuvem (e não está) e sobre quem usa qual tipo de gerenciamento de identidades e acessos para controlar o acesso a aplicativos em todo e qualquer lugar. Mas, quando o assunto é segurança de aplicativos? Nada. Nadinha. Nicles. Zero.

O que é realmente bastante surpreendente (e preocupante), considerando que os aplicativos web são a segunda principal causa de incidentes de segurança em serviços financeiros, ficando atrás apenas do ameaçador crimeware, segundo o mais recente Relatório de Investigação de Violações de Dados da Verizon (DBIR). Também é surpreendente analisar as 25 maiores violações deste século e descobrir que quase metade (44%) delas foi realizada por meio de um aplicativo web. Isso também é desanimador, pois parece haver uma correlação entre o enfraquecimento da postura de segurança e a migração de aplicativos para a nuvem.

A realidade é que a criptografia não é uma panaceia.

Deixe-me repetir, desta vez em letras maiúsculas para enfatizar a gravidade disso: A CRIPTOGRAFIA NÃO É UMA PANACEIA.

A segurança de rede e o gerenciamento de identidades e acessos também não são.

Todas essas medidas são boas, mas, individualmente, representam apenas uma parte de um esquema de proteção muito mais amplo. Um esquema de proteção que deveria — mas muitas vezes não o faz — incluir também a segurança de aplicações.

Network security não vai impedir um ataque DDoS HTTP. O gerenciamento de identidades e acessos não vai impedir a exploração de uma vulnerabilidade de plataforma web como Heartbleed ou Apache Killer.

A criptografia não vai impedir uma injeção de SQL. Criptografar códigos maliciosos apenas os oculta dos inúmeros serviços da rede projetados para detectá-los.

Por sua própria finalidade, a aplicação é um recurso voltado ao público. Nós a disponibilizamos e esperamos — ou melhor, incentivamos, atraímos, imploramos — que os usuários interajam com ela. Que a utilizem. Que a instalem. Que a visitem com frequência. Vivemos em um mundo de aplicações, o que significa que elas são essenciais para todos os aspectos dos negócios, sejam voltadas aos clientes, aos funcionários ou à operação de sistemas internos. Hoje em dia, dependemos de aplicações para praticamente tudo o que fazemos e, ainda assim, quando falamos em segurança, parece que nunca nos lembramos delas.

Já passou da hora de começarmos a dar mais atenção à segurança de aplicações — e não apenas à segurança de dados, à segurança de redes ou às comunicações criptografadas. Os dados ficam mais vulneráveis quando estão sendo processados pela aplicação. Isso porque, nesse momento, eles estão em texto simples e totalmente sob o controle da aplicação. A aplicação pode exibi-los, modificá-los e fornecê-los a qualquer pessoa (ou, cada vez mais, a qualquer coisa, considerando o aumento de bots, crawlers e malware) que consiga extraí-los.

Isso significa que precisamos dar mais atenção à proteção de aplicações contra exploração e ataques. Desde a plataforma (o servidor web ou de aplicações), passando pelos protocolos (TCP e HTTP), até o próprio código. Precisamos verificar, filtrar e identificar as inúmeras técnicas usadas em ataques para explorar toda a pilha da aplicação, além de nos defender contra elas.

Segundo a F-Secure Labs, a frequência dos ataques a aplicações web dobrou, passando de menos de 20% em 2012 para 40% em 2013. Em 2014, a Neustar constatou que 55% dos alvos de DDoS sofreram ataques de despistamento (DDoS volumétrico usado para encobrir os verdadeiros ataques à camada de aplicação), sendo que quase 50% tiveram malware/vírus instalado e 26% perderam dados de clientes.

Os ataques a aplicações são uma ameaça real e significativa, especialmente à medida que elas migram para a nuvem, onde pode haver menos opções disponíveis para protegê-las.

Os serviços nativos disponíveis na nuvem voltados à segurança se concentram exclusivamente em acesso e criptografia. Nenhum deles oferece segurança na "camada de aplicação", tampouco a cobertura necessária para transmitir confiança de que será possível resistir a um ataque criado para desabilitar ou corromper a aplicação, ou exfiltrar dados explorando a própria aplicação. Isso significa que você precisa de outra solução: outro serviço desenvolvido para proteger as aplicações e os dados que elas processam na nuvem, assim como você faz no data center. Isso pode significar uma WAF (firewall de aplicações web) habilitada para a nuvem, uma WAF como serviço ou, no mínimo, a aplicação rigorosa das práticas recomendadas pela OWASP em todas as aplicações implantadas na nuvem.

A segurança na nuvem pode ser vista como uma responsabilidade compartilhada, na qual o provedor e o cliente assumem diferentes aspectos da tarefa de proteger "a nuvem". No entanto, a segurança das aplicações é 110% responsabilidade de quem as coloca na nuvem em primeiro lugar. Considere esta entrevista (via The Register) com Bill Murray, diretor de programas globais de segurança da AWS (grifo meu):

“A segurança na AWS é uma responsabilidade compartilhada entre a AWS e os clientes”, afirmou Murray em uma entrevista recente. Ele é responsável pela segurança da AWS, incluindo a segurança física dos data centers da Amazon, além de lidar com mandados judiciais e intimações emitidos pelas autoridades policiais.

“Os clientes são responsáveis por proteger tudo, desde o sistema operacional convidado que executam na AWS até os aplicativos que utilizam”, afirmou ele ao El Reg. “Nós somos responsáveis pelo sistema operacional do host, pela máquina virtual e por tudo até o concreto do piso do data center.”

“Fazem muito esta pergunta para nós: ‘O que tira o sono de vocês?’ O que tira o nosso sono na área de segurança da AWS é o cliente não configurar corretamente seus aplicativos para se manter seguro”, disse Murray.

Essa pessoa é você, e isso significa que você precisa avaliar cuidadosamente quais serviços e soluções está implementando para proteger essa aplicação do que, inevitavelmente, parece ser o ataque que virá em sua direção.

A segurança de aplicações não é como um guarda-costas caro. Não é algo reservado apenas aos aplicativos VIP. É mais como segurança pessoal, algo que toda aplicação exposta ao público deve ter. E isso vale tanto para aplicações no data center quanto na nuvem.

* Digo "muito poucos", mas, sinceramente, não consegui encontrar sequer um. Talvez minhas habilidades de pesquisa no Google tenham falhado, mas é mais provável que seja porque ninguém parece querer falar sobre isso.

Sobre o autor

Lori Mac VittieEngenheiro Emérito e Evangelista-Chefe | F5

Lori MacVittie é engenheira distinta e evangelista-chefe no Escritório do CTO da F5, com ampla experiência em entrega de aplicações, estratégia de automação e infraestrutura. Ela é conhecida por transformar complexidade em clareza, seja definindo diretrizes para agentes de IA, analisando arquiteturas multinuvem frágeis ou investigando os limites de sistemas escaláveis. Ela acumula mais de trinta anos de experiência no setor, abrangendo desenvolvimento de aplicações, arquitetura de TI e operações de redes e sistemas. Antes de ingressar na F5, atuou como editora de tecnologia e recebeu diversos prêmios. MacVittie tem mestrado em Ciência da Computação e é uma autora prolífica, com publicações que abrangem segurança, nuvem e arquitetura empresarial. Ela também é uma entusiasta de jogos de tabuleiro e videogames, além de ter opiniões assumidamente fortes sobre queijos.

Mais publicações de Lori Mac Vittie