Muitas das aplicações atuais são desenvolvidas em pequenos clusters de contêineres e implantadas em diversos locais. Essa abordagem distribuída contribui tanto para o desempenho quanto para a resiliência. No entanto, ela também torna a proteção das aplicações difícil e complexa.
Enquanto isso, os ataques a aplicações e seus ecossistemas estão cada vez mais frequentes e sofisticados.
Os cibercriminosos exploram regularmente vulnerabilidades em aplicações e contornam facilmente muitos controles de segurança. À medida que as organizações buscam aumentar a vigilância e a resiliência diante de ameaças em constante evolução, é necessário entender como os cibercriminosos pensam, agem e exploram aplicações.
Os cibercriminosos vão atrás do dinheiro
Observe que os próprios invasores não precisam ter conhecimentos técnicos avançados, pois há muitas ferramentas e serviços gratuitos que eles usam e compartilham regularmente entre si.
A mentalidade deles geralmente é seguir o dinheiro. Em uma economia digital, isso significa atacar aplicações web e móveis para explorar vulnerabilidades e abusar da lógica dos aplicativos a fim de obter acesso.
Os cibercriminosos verificam continuamente as aplicações em busca de vulnerabilidades e procuram gateways de aplicações abertos ou pouco seguros. Veja três tipos comuns de ataques (em ordem crescente de sofisticação e valor potencial do alvo):
- Ataques comuns exploram vulnerabilidades conhecidas, como as indicadas no OWASP Top 10.
- Ataques de dia zero exploram vulnerabilidades desconhecidas ou imprevistas.
- Ataques persistentes avançados são campanhas sofisticadas que podem até ser patrocinadas por Estados.
Também vale destacar que os ataques cibernéticos não têm como alvo apenas aplicações web e móveis, mas também a infraestrutura de servidores, dados e dispositivos. Neste blog, vamos nos concentrar nas aplicações e, agora, analisar um pouco mais a fundo alguns dos ataques mais comuns.
Os aplicativos são alvos valiosos
Os invasores exploram aplicativos porque eles são pontos de entrada para grandes volumes de dados valiosos, que os cibercriminosos podem usar como arma e para obter lucro.
As áreas visadas pelos hackers incluem o próprio código do aplicativo, a infraestrutura de servidores na qual ele está hospedado e complementos (como bibliotecas de código ou plug-ins) que adicionam funcionalidades ao aplicativo.
De acordo com o Relatório de Proteção de Aplicações de 2022 da F5 Labs, as violações relacionadas ao acesso — incluindo phishing, preenchimento de credenciais e ataques de injeção — são os principais vetores de ataque, representando aproximadamente 25% de todas as violações de aplicações web. Logo em seguida vem o malware, responsável por 24% das violações de aplicações web. Como mencionado, o objetivo desses ataques a aplicações é obter acesso aos seus dados mais valiosos da maneira mais fácil possível.
Os efeitos devastadores dos ataques a aplicações
Vamos analisar rapidamente um cenário comum de um ataque básico de injeção. Ele começa quando o invasor inicia uma série de varreduras automatizadas de reconhecimento, usando bots para ampliar a escala enquanto procura vulnerabilidades:
- O invasor identifica uma brecha, geralmente uma porta desprotegida ou um ponto de acesso não seguro em uma aplicação.
- Em seguida, eles exploram essa vulnerabilidade para injetar código malicioso (malware), estabelecendo uma presença a partir da qual podem executar comandos remotamente.
- Assim que o código malicioso estiver em execução, o invasor provavelmente buscará formas de ampliar seu acesso para se infiltrar mais profundamente, exercer comando e controle, realizar reconhecimento ou espionagem, ou cometer furtos.
- O aplicativo e os dados subjacentes agora estão comprometidos.
O cenário acima é extremamente simples. Muitas vezes, os ataques de injeção são muito mais sofisticados e ameaçadores. Imagine um invasor injetando um comando para excluir todos os dados do aplicativo, fazendo com que um produto ou serviço digital fique totalmente indisponível. Ou imagine se um comando expusesse uma tabela de banco de dados com informações de cartões de crédito.
Esses tipos de ataque podem ter consequências devastadoras. A indisponibilidade de aplicativos pode causar perdas de receita e reputação, além de gerar custos de milhões de dólares para corrigir os danos. Para os consumidores, isso pode significar uma experiência ruim ou, pior ainda, o roubo de suas informações pessoais.
Entendendo outros tipos comuns de ataques
Depois que um invasor compromete um aplicativo, ele geralmente explora vulnerabilidades do navegador por meio de aplicações web. O objetivo pode ser roubar as credenciais dos usuários para posteriormente assumir o controle de suas contas ou sequestrar diretamente suas sessões em tempo real.
Eles também podem executar códigos maliciosos no navegador da vítima (prática frequentemente chamada de formjacking) para enviar solicitações fraudulentas que parecem ter sido feitas pelo usuário legítimo. Isso pode ter consequências graves tanto para pessoas físicas (cujas identidades são usadas para abrir contas ou solicitar crédito de forma fraudulenta) quanto para organizações (que muitas vezes acabam tendo de arcar com os prejuízos). Portanto, é fundamental que todos se protejam contra tentativas de phishing e nunca reutilizem senhas, seja para uso pessoal ou profissional.
Outro ataque amplamente utilizado é o de negação de serviço (DoS), que sobrecarrega um aplicativo com solicitações automatizadas enviadas por bots, causando estresse e tornando o aplicativo lento ou, pior ainda, inoperante. Os ataques distribuídos de negação de serviço (DDoS), que se originam de vários computadores (conhecidos em conjunto como uma botnet), geralmente são ainda mais eficazes. Muitas vezes, os nós (ou computadores) de uma botnet são dispositivos de consumidores infectados por malware. Isso só reforça a importância de proteger os dispositivos contra malware e outros ataques cibernéticos.
Embora as motivações e as abordagens de ataque dos cibercriminosos variem, pode ser útil ter uma compreensão básica desses tipos comuns de ataque e dos métodos de prevenção.
Todos têm um papel a desempenhar na defesa cibernética. No vídeo abaixo, compartilhamos algumas orientações gerais sobre como se proteger contra phishing, smishing e táticas comuns de engenharia social usadas por agentes mal-intencionados para explorar aplicativos.
A seguir, nesta série de quatro partes sobre o Mês de Conscientização sobre Cibersegurança, veremos mais detalhes sobre como a F5 protege suas contas contra fraudes.
Parte 1: Como as aplicações modernas são criadas e implantadas
Parte 2: (visualizando no momento)
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...