Disponibilidade é uma distração — e estamos caindo nessa

Lori Mac VittieEngenheiro Emérito e Evangelista-Chefe | F5

Em um mundo perfeitamente equilibrado, disponibilidade e segurança teriam a mesma importância. Certamente, os usuários de aplicativos se preocupam tanto com a segurança de seus dados quanto com a possibilidade de acessá-los.

Como todos sabemos muito bem, este não é um mundo perfeitamente equilibrado. É tão provável — talvez até mais — que os usuários excluam um aplicativo e abandonem uma marca devido a problemas de disponibilidade e desempenho quanto por causa de uma violação de dados.

Ah, eles ainda fazem um grande alarde quando ocorre uma violação. Mas, em geral, isso custa dinheiro à empresa, em vez de usuários fiéis.

Essa dicotomia se reflete nas prioridades relatadas a nós por profissionais de segurança no Relatório de Proteção de Aplicações de 2018 da F5 Labs. Entre os CISOs, a principal preocupação não é — como se poderia supor pelo cargo — a segurança. Em uma pesquisa anterior voltada para CISOs, "A evolução do papel dos CISOs e sua importância para os negócios", a maioria dos CISOs afirmou que sua principal preocupação é a disponibilidade e que evitar a indisponibilidade das aplicações é a missão primordial de suas organizações.

Isso também se refletiu em nosso próximo relatório sobre o estado da automação de redes. Quando questionados sobre quais métricas são usadas para medir o sucesso individual e da equipe, a "disponibilidade da rede" ficou no topo da lista para 59% dos profissionais de segurança, seguida de perto pela "disponibilidade das aplicações", mencionada por quase metade (49%) dos participantes da área de segurança.

O desempenho está incluído no conceito de disponibilidade. A velocidade é considerada um componente da disponibilidade, e a segurança muitas vezes acaba sendo sacrificada quando se trata de detectar os ataques que geram resultados. Como a inspeção de dados, essencial para detectar códigos e dados maliciosos, é dispendiosa e introduz latência, essa prática costuma ser vista como contraproducente.

O foco na disponibilidade é uma vantagem para os invasores. Ciente de que seus alvos priorizam a disponibilidade, o relatório da F5 Labs observa: "os invasores também estão programando ataques DDoS para servirem de distração e encobrirem ataques de roubo de dados e fraude realizados simultaneamente enquanto os administradores estão distraídos." Essa técnica, conhecida como "cortina de fumaça", não é novidade. Como observamos em 2017, as organizações estão sendo cada vez mais atingidas por ataques DDoS volumétricos para ocultar as verdadeiras intenções dos invasores.

E os consumidores estão pagando por isso.

Disponibilidade como distração

Cada vez mais, os invasores estão usando nosso foco na disponibilidade como uma distração. Isso é preocupante, pois eles estão intensificando suas táticas e empregando todas as ferramentas à disposição para encontrar um caminho pelas redes, infraestruturas e aplicações até o tesouro que se encontra além de seus portões: os dados. A questão é que os invasores não estão usando apenas os usuários e sistemas que se interpõem entre eles e seu objetivo. Hoje, eles também usam os próprios dados.

No Application Protection Report 2018 da F5 Labs, os pesquisadores analisaram dados sobre violações e ataques provenientes de diversas fontes. Os resultados não foram inesperados, mas são preocupantes.

No primeiro trimestre de 2018, 70% dos registros de violações analisados apontaram os ataques de injeção na web como sua causa raiz. Isso não é nenhuma surpresa para quem vem acompanhando o assunto. Na última década, 23% de todos os registros de violações indicam que o vetor de ataque inicial foi a injeção de SQL. Ela é tão disseminada que ocupou o primeiro lugar no OWASP Top 10 de 2017.

Na verdade, quase metade (46%) dos ataques contra aplicativos web baseados em PHP envolveu injeção. Os profissionais de segurança devem estar cientes de que o PHP está em toda parte. Builtwith.com, que monitora as tecnologias usadas para desenvolver os aplicativos que compõem a Internet, aponta que 43% do milhão de sites mais acessados são desenvolvidos em PHP. Os EUA hospedam quase dezoito milhões desses sites, e quase metade (47%) dos dez mil mais acessados usa essa linguagem.

Esse é um universo amplo no qual os invasores podem — e de fato o fazem — escolher seus alvos. Segundo o relatório, dos mais de 21 mil ambientes de rede distintos nos quais foram realizados ataques, 58% tinham como alvo sites baseados em PHP.

Os dados são um alvo cada vez maior (e lucrativo)

Antes que você culpe a linguagem utilizada, é importante observar que os pesquisadores da F5 Labs também recomendam ficar atentos a ataques de desserialização. Esses ataques não são específicos de uma linguagem e têm como alvo os próprios dados. Segundo o relatório:

"A serialização ocorre quando os aplicativos convertem seus dados em um formato (geralmente binário) para transmissão, normalmente do servidor para o navegador, do navegador para o servidor ou de uma máquina para outra por meio de APIs."

Ao incorporar comandos ou adulterar parâmetros no fluxo de dados, os ataques muitas vezes chegam diretamente ao aplicativo sem serem filtrados. Aplicativos — ou componentes de aplicativos — que não filtram nem higienizam os dados podem ficar vulneráveis, como ocorreu com o Apache Struts. Os ataques de desserialização são considerados uma ameaça tão significativa que a OWASP os incluiu em sua lista das 10 principais ameaças no ano passado. Considerando que 148 milhões de americanos e 15,2 milhões de cidadãos do Reino Unido foram afetados por uma vulnerabilidade desse tipo, os ataques de desserialização merecem mais atenção do que recebem, apesar de serem relativamente pouco explorados na prática.

O que chama a atenção nessas duas ameaças é que elas seguem um tema comum: também não se pode confiar nos dados. Sejam eles modificados intencionalmente ou estejam pegando carona em solicitações legítimas, os ataques estão cada vez mais ocultos no fluxo de dados.

Mas, para que você não se concentre demais no aplicativo e em seus dados, não podemos ignorar que o restante da pilha é igualmente vulnerável e tem a mesma probabilidade de ser alvo de ataques. A dependência contínua de criptografia fraca, como os obsoletos SSL e TLS 1.0, é motivo de frustração. Esses métodos foram descontinuados porque estão repletos de vulnerabilidades e facilitam sua exploração por invasores em busca de acesso.

Como observa o relatório, "Novas vulnerabilidades conhecidas do protocolo TLS são divulgadas cerca de duas vezes por ano. No entanto, com exceção do Heartbleed, a maioria das vulnerabilidades conhecidas do protocolo TLS é de natureza acadêmica e raramente é explorada em uma violação real. Um dos maiores casos envolveu a Community Health Systems (CHS) em 2014. A CHS perdeu quase cinco milhões de números de seguridade social quando um invasor explorou a vulnerabilidade Heartbleed."

Baixa ameaça, alto risco. Ninguém quer ser esse caso raro, mas, cedo ou tarde, alguém acaba sendo.

Segurança e disponibilidade devem ter o mesmo peso nas decisões

A realidade é que estamos entrando em uma era em que não basta não confiar em ninguém. Precisamos nos aprofundar na pilha para identificar ataques projetados para desativar e contornar as proteções implementadas para resguardar aplicações e dados. Devemos encarar a proteção de aplicações como um processo contínuo que avalia constantemente o estado de toda a pilha de aplicações — da rede à infraestrutura e aos serviços. Isso significa valorizar a segurança dos nossos dados tanto quanto a velocidade com que os disponibilizamos.

Precisamos nos lembrar da Regra Zero de Segurança: nunca confie nas entradas do usuário. Também precisamos lembrar que essas entradas incluem dados. Isso significa reforçar a segurança para incluir a inspeção dos dados recebidos e encontrar maneiras de mitigar possíveis impactos no desempenho e na disponibilidade.

Isso significa reconhecer que, às vezes, a disponibilidade é apenas uma distração e que não podemos nos dar ao luxo de cair nessa armadilha. A segurança merece — e precisa — ter o mesmo espaço que a disponibilidade e o desempenho. A prioridade de um CISO deve ser a segurança, não a disponibilidade.

Porque, se o CISO não vai defender a segurança, quem vai?

Você pode encontrar mais insights e análises no Relatório de Proteção de Aplicações de 2018 da F5 Labs, incluindo orientações úteis sobre os ataques e as proteções existentes em toda a pilha de aplicações.

Sobre o autor

Lori Mac VittieEngenheiro Emérito e Evangelista-Chefe | F5

Lori MacVittie é engenheira distinta e evangelista-chefe no Escritório do CTO da F5, com ampla experiência em entrega de aplicações, estratégia de automação e infraestrutura. Ela é conhecida por transformar complexidade em clareza, seja definindo diretrizes para agentes de IA, analisando arquiteturas multinuvem frágeis ou investigando os limites de sistemas escaláveis. Ela acumula mais de trinta anos de experiência no setor, abrangendo desenvolvimento de aplicações, arquitetura de TI e operações de redes e sistemas. Antes de ingressar na F5, atuou como editora de tecnologia e recebeu diversos prêmios. MacVittie tem mestrado em Ciência da Computação e é uma autora prolífica, com publicações que abrangem segurança, nuvem e arquitetura empresarial. Ela também é uma entusiasta de jogos de tabuleiro e videogames, além de ter opiniões assumidamente fortes sobre queijos.

Mais publicações de Lori Mac Vittie