Como garantir a disponibilidade, a integridade e a confidencialidade dos seus aplicativos

F5

LEITURA DE 7 MIN.

Nas últimas quatro décadas, o software evoluiu. Na época dos mainframes, os usuários acessavam programas armazenados de forma centralizada em grandes sistemas multiusuário. Na década de 1990, porém, os aplicativos geralmente vinham em um disco de plástico, embalado em uma caixa de papelão envolta em plástico, e eram instalados localmente e atualizados apenas esporadicamente.

De certa forma, voltamos ao ponto de partida: os aplicativos são novamente disponibilizados cada vez mais por meio de uma rede, e os desenvolvedores de aplicativos estão cada vez mais envolvidos em funções operacionais e na proteção dos próprios aplicativos que desenvolvem. Neste mundo sempre conectado, em que aplicativos são oferecidos como serviço, vulnerabilidades de software podem ser exploradas rapidamente, e ataques DDoS simples podem interromper o serviço.

Para empresas que desenvolvem seus próprios aplicativos, os programadores precisam produzir software como parte de um ciclo de vida de desenvolvimento de software seguro de ponta a ponta (SDLC). Isso significa concentrar-se em reduzir a superfície de ataque do software, eliminar vulnerabilidades e capacitar os desenvolvedores para projetar e programar com mais segurança.

Aplicação de controles de acesso e do princípio fundamental de segurança

Ao mesmo tempo, as empresas também precisam tratar as aplicações em nuvem como tecnologia operacional que deve ser gerenciada com segurança. Como as aplicações em nuvem estão sempre conectadas, elas podem ser facilmente atacadas, o que torna fundamental identificar e eliminar vulnerabilidades em tempo hábil. Para se anteciparem às ameaças, as empresas devem implementar um processo de gerenciamento de vulnerabilidades que as identifique e priorize, além de automatizar rapidamente a correção por meio de um firewall de aplicações web (WAF). Um WAF é um controle essencial de segurança web que pode dar mais tempo à empresa ao bloquear um ataque enquanto a equipe de desenvolvimento trabalha na correção do código.

Além da discussão típica sobre gerenciamento de vulnerabilidades na segurança de aplicações, o que mais deve ser considerado? Um bom ponto de partida é definir o controle de acesso adequado. A estrutura de autenticação, autorização e contabilização (AAA) é um guia essencial para garantir a exigência de autenticação forte por padrão, usando recursos como SSO e autenticação multifator. Além disso, autorizar usuários com base em um controle de acesso robusto baseado em funções (RBAC), que inclua pelo menos três funções (por exemplo, usuário sem privilégios, usuário privilegiado e administrador), ajuda a reduzir incidentes não intencionais. E, caso ocorra um incidente, garantir o registro adequado dos eventos ajudará a obter detalhes importantes para a resolução, como qual conta foi usada e de qual sistema ela se originou.

Em conjunto com a estrutura AAA, analisar a segurança de aplicativos sob a ótica dos princípios de segurança da CIA — confidencialidade, integridade e disponibilidade — pode revelar medidas adicionais que as empresas devem adotar para proteger seus aplicativos e manter os serviços em funcionamento.

1. Disponibilidade — mantendo a aplicação em funcionamento

Com a crescente dependência dos trabalhadores em relação a aplicações na nuvem, a disponibilidade dos serviços de nuvem tornou-se essencial para as operações empresariais. Antes considerados apenas um incômodo, os ataques DDoS agora têm um potencial muito maior de interromper essas operações.

Recomendações:

• Use serviços de mitigação de DDoS projetados para bloquear ataques na borda da rede. Em caso de ataque, esse tipo de sistema pode até gerar economia, pois o tráfego não resultará em cobranças adicionais devido a picos no uso da nuvem.
• Implemente um processo de gerenciamento de mudanças. Muitas empresas causaram uma interrupção nos próprios serviços após aplicarem uma atualização com falhas à sua infraestrutura.
• Use um WAF ou um dispositivo de proteção contra DDoS para evitar ataques de camada 7 (nível de aplicação).

2. Integridade — Garantir que o aplicativo esteja funcionando conforme o esperado

Manter as portas digitais abertas é a principal prioridade de uma empresa. Impedir a entrada de agentes mal-intencionados vem em segundo lugar. As equipes de desenvolvimento e operações precisam criar bases seguras para o acesso a todos os seus aplicativos e dados, conforme discutido acima na seção sobre AAA. Elas também precisam gerenciar o controle de alterações para que mudanças não intencionais não façam o aplicativo funcionar de maneiras que afetem a integridade dos dados.

Recomendações:

• A implementação de ferramentas como o WebSafe e um WAF limita a capacidade de agentes mal-intencionados injetarem dados maliciosos no aplicativo, oferecendo proteção contra uma ampla variedade de ameaças e ajudando a reduzir perdas e exposição.
• Controles de aplicação que verificam a integridade dos dados também são uma ótima maneira de monitorar se algum dos seus controles anteriores falhou.
• Testes automatizados da configuração do aplicativo podem alertar rapidamente a equipe de operações quando alterações com defeitos são implementadas.

3. Confidencialidade — mantendo segredos na nuvem

A confidencialidade dos dados precisa ser garantida durante a coleta, o transporte e o armazenamento, seja na nuvem ou localmente em seu data center. O gerenciamento de vulnerabilidades, incluindo um WAF, está entre os principais controles que você deve implementar para evitar que a exploração de uma vulnerabilidade comprometa seu aplicativo e a confidencialidade dos dados nele contidos. Hoje em dia, não há motivo para não usar a tecnologia TLS para criptografar as comunicações entre o usuário e o servidor da aplicação web. Os dados mantidos na nuvem ou localmente também devem ser totalmente criptografados para impedir o acesso não autorizado.

Recomendações:

• Habilite TLS/SSL por padrão. HTTPS em todos os lugares!
• Criptografe de forma robusta os dados críticos em repouso, especialmente os repositórios de credenciais do back-end. Um simples hash de senha não é mais aceitável. No mínimo, deve-se implementar um hash com salt ou algum mecanismo de criptografia mais robusto.
• Implemente um programa abrangente de gerenciamento de vulnerabilidades para detectar e classificar falhas. Para mitigar vulnerabilidades entre as implantações de patches, é altamente recomendável usar os recursos de aplicação de patches virtuais de um WAF.
• Proteger aplicações e infraestruturas em nuvem é uma tarefa complexa, mas analisá-las sob a ótica de AAA e CIA permite que os profissionais de segurança abordem a disciplina de forma holística e adotem medidas que contribuam para uma estratégia geral de segurança.

Preston Hogue é Diretor Sênior de Marketing de Segurança na F5 Networks. Preston é responsável por campanhas globais de segurança, evangelização e liderança de pensamento, incluindo a supervisão da equipe de inteligência sobre ameaças a aplicações da F5 Labs. Preston tem mais de 20 anos de experiência em segurança da informação, incluindo o desenvolvimento, a implementação e a gestão de programas de segurança complexos, a elaboração de arquiteturas de análise e gestão de riscos e a implementação de programas para atender a requisitos regulatórios e de conformidade.

Sobre o autor

F5

Mais publicações de F5