Abrindo mão do controle da IoT em nome da segurança

Lori Mac VittieEngenheiro Emérito e Evangelista-Chefe | F5

Acho que é seguro dizer que todos nós nos encantamos com a tecnologia. Basta introduzi-la para que o banal se transforme em algo mágico. É claro que, depois de algum tempo, a novidade perde o encanto, mas, a essa altura, alguma outra tarefa já pode ser controlada por um dispositivo ou celular, e o ciclo recomeça.

A realidade é que a maioria das pessoas não gerencia seu número cada vez maior de dispositivos da mesma forma que a TI gerencia os sistemas. Nem mesmo quem trabalha com TI. Lembra daquela pesquisa da Tripwire que constatou que “30% dos profissionais de TI e 46% dos trabalhadores entrevistados nem sequer alteram a senha padrão de seus roteadores sem fio”? Esse percentual é ligeiramente maior do que o apontado por uma pesquisa que constatou que “40% dos americanos disseram que tinham preguiça, achavam isso inconveniente demais ou simplesmente não se importavam…”5 em seguir recomendações básicas de segurança.

Portanto, não é de surpreender que, pressionados por profissionais de segurança e duramente criticados pela imprensa especializada, pelo menos os fabricantes de IoT voltados ao consumidor pareçam estar aprimorando suas práticas. Atualizações automáticas, patches e correções emergenciais podem ser enviados regularmente aos dispositivos conectados com a simplicidade de marcar uma caixa de seleção.

Os consumidores, pelo menos, estão cedendo o controle aos fabricantes que prometem manter seus dispositivos protegidos contra invasores.

Bem, esse é o espaço do consumidor Até agora, esse tipo de comportamento parece estar fora de cogitação no ambiente corporativo, mesmo quando se trata de dispositivos de IoT. Certamente, as empresas continuarão mantendo o controle sobre essas questões no futuro próximo. Afinal, o impacto de uma atualização malsucedida é bastante significativo dentro do data center.

Só que isso não é escalável, e sabemos muito bem, com base em nossas próprias pesquisas e em consultas ao Shodan.io, que uma parcela bastante significativa dos dispositivos de IoT dentro das organizações não só está exposta à Internet, como também apresenta vulnerabilidades.

E, se eles são vulneráveis, isso significa que deveria haver (talvez haja?) uma correção disponível. Mas, se ambas as coisas fossem verdade, não veríamos menos dispositivos disponíveis para serem recrutados como thingbots?

Considerando um estudo da IDC de dois anos atrás, segundo o qual patches, atualizações e instalações consumiam 20,7% da semana de um profissional de TI médio, não parece possível que as equipes consigam ampliar sua capacidade — mesmo com automação — para gerenciar a duplicação prevista do número de dispositivos (dos atuais 9.259 para 18.631) nos próximos dois anos.

Então, o que a empresa deve fazer?

A questão que precisamos responder é: devemos incentivar os fabricantes a irem além e atualizarem automaticamente os dispositivos que estão dentro da empresa? Afinal, é um tanto injusto culpá-los sem reconhecer que o desgaste causado pela aplicação constante de patches e a falta de pessoal podem estar impedindo que esses patches sejam aplicados. Como apontou outra pesquisa interessante da Tripwire : “Em 2015, mais de 6.000 novos CVEs foram atribuídos. Se apenas um décimo dessas vulnerabilidades afetasse dispositivos sob sua responsabilidade, você teria que corrigir 630 vulnerabilidades por ano, ou 2,5 vulnerabilidades a cada dia útil.”

É muita vulnerabilidade para corrigir. E, na mesma proporção, muitos patches para aplicar.

Infelizmente, o simples fato de uma correção ser disponibilizada não significa que ela seja aplicada imediatamente. Conforme observado na pesquisa da Tripwire, “Um dos principais fatores que afetam o tempo necessário para implantar correções é a realização de testes. Perguntou-se aos participantes se eles testavam as correções antes da implantação, e 47% disseram que faziam isso em desktops e 55% em servidores”. Ao analisar em detalhes quanto tempo realmente leva para colocar uma correção de segurança em produção, você encontrará alguns dados alarmantes. Mais precisamente, 93% dos participantes conseguem testar e implantar correções de segurança em menos de um mês.

Nada mal, considerando a quantidade de sistemas e as vulnerabilidades correspondentes com que uma empresa típica de médio a grande porte precisa lidar.

Mas considere por um momento que, quando a CVE-2017-8225 – que afetava um único fabricante chinês de câmeras IP – foi anunciada, levou menos de dois meses para que mais de 600 mil câmeras fossem infectadas pelo Persirai. Isso representa 10 mil dispositivos por dia. Ou seja, um mês é tempo demais. E essa era apenas uma vulnerabilidade.

À medida que a IoT invade as empresas na forma de cada vez mais sensores, monitores e sabe-se lá o que mais, todos acessíveis e muitas vezes vulneráveis, como a TI pode acompanhar esse ritmo? Será que consegue acompanhar, mesmo contando com a automação?

Então, a minha pergunta é: você faria isso? Você abriria mão do controle sobre os dispositivos de IoT se os fabricantes assumissem uma postura mais ativa e uma parcela maior da responsabilidade por manter a segurança de seus dispositivos? (Sei que esse é um grande “se”, mas vamos considerar essa hipótese para fins de reflexão.)

Você pode responder a essa pergunta (e ver o que seus colegas pensam) aqui. Vá em frente, dê sua opinião!

Sobre o autor

Lori Mac VittieEngenheiro Emérito e Evangelista-Chefe | F5

Lori MacVittie é engenheira distinta e evangelista-chefe no Escritório do CTO da F5, com ampla experiência em entrega de aplicações, estratégia de automação e infraestrutura. Ela é conhecida por transformar complexidade em clareza, seja definindo diretrizes para agentes de IA, analisando arquiteturas multinuvem frágeis ou investigando os limites de sistemas escaláveis. Ela acumula mais de trinta anos de experiência no setor, abrangendo desenvolvimento de aplicações, arquitetura de TI e operações de redes e sistemas. Antes de ingressar na F5, atuou como editora de tecnologia e recebeu diversos prêmios. MacVittie tem mestrado em Ciência da Computação e é uma autora prolífica, com publicações que abrangem segurança, nuvem e arquitetura empresarial. Ela também é uma entusiasta de jogos de tabuleiro e videogames, além de ter opiniões assumidamente fortes sobre queijos.

Mais publicações de Lori Mac Vittie