É verdade que uma violação de dados pode custar mais caro (pelo menos por enquanto) e certamente expõe sua falha aos holofotes (é preciso notificá-la), mas a segurança não pode se limitar à exposição de dados.
Hoje em dia, só se ouve falar de uma violação quando há algum tipo de exposição de dados. Pela forma como algumas pessoas falam (e escrevem), as violações só importam quando há exposição de dados. De fato, um relatório recente da Netwrix sobre segurança e riscos de TI observou que “as organizações estão planejando concentrar seus investimentos na proteção de dados confidenciais, pois não conseguem prever todas as possíveis ameaças”. (Relatório de Riscos de TI de 2017)
Considerando que o custo médio de uma violação de dados ultrapassa US$ 3 milhões, segundo uma pesquisa do Ponemon (patrocinada pela IBM), essa certamente parece ser uma estratégia sensata. Proteja os dados. Afinal, uma violação não só gera prejuízos financeiros, como também mancha a marca e a reputação da empresa, além de muitas vezes custar o emprego de algumas pessoas.
O problema de uma estratégia de segurança tão míope é que ela ignora completamente que há tantos custos associados a outros tipos de violação quanto a violações de dados. Afinal, ninguém ataca suas defesas com a intenção de simplesmente ir embora depois de conseguir invadi-las. Os invasores não fazem isso apenas pela satisfação pessoal de obter acesso à sua rede ou aos seus sistemas. A comunidade hacker já deixou para trás há muito tempo a fase da simples “desfiguração de sites como rito de passagem”. Na maioria das vezes, os invasores de hoje agem por dinheiro.
E embora saibamos que credenciais e dados pessoais valem um bom dinheiro na dark web, hoje em dia os dados não são a única forma de ganhar dinheiro. O mercado altamente lucrativo de mineração de criptomoedas tem comprovado isso recentemente. Uma publicação muito detalhada e extensa (e que vale o tempo de leitura) no blog da Talos calcula que uma única campanha de cryptojacking poderia gerar entre US$ 182.500 por ano e impressionantes US$ 100 milhões anuais:
“Para colocar os ganhos financeiros em perspectiva, um sistema comum provavelmente geraria cerca de US$ 0,25 em Monero por dia, o que significa que um invasor que tenha recrutado 2.000 vítimas (algo não muito difícil) poderia gerar US$ 500 por dia ou US$ 182.500 por ano. A Talos observou botnets compostas por milhões de sistemas infectados, o que, seguindo nossa lógica anterior, significa que esses sistemas poderiam, teoricamente, ser usados para gerar mais de US$ 100 milhões por ano.”
Teoricamente, é claro.
Esses números são alarmantes, mas os lucros gerados para os mineradores não são necessariamente o foco da publicação de hoje. Eles são apenas o principal motivo dos ataques. Afinal, algumas centenas de milhares de dólares são um bom motivo para buscar recursos gratuitos. E, como isso é tão lucrativo, você deve estar mais atento aos custos associados a violações que deixam mineradores e agentes maliciosos em sua infraestrutura.
O custo do consumo ilícito de recursos
Os custos de uma violação de dados são bem documentados e abrangem desde os custos de remediação até as despesas com notificações e indenizações. Os custos de outros tipos de invasão não são tão bem documentados, mas ainda assim existem na forma de despesas operacionais desnecessárias e custos de oportunidade. Quer estejamos falando de mineradores ou minions, de processos tradicionais baseados em Linux ou de código em contêineres, a realidade é que, uma vez implantados, esses bots externos e indesejáveis consomem ilicitamente recursos que custam dinheiro de verdade no fim do mês (ou do trimestre, dependendo da frequência com que você paga sua fatura de serviços em nuvem).
Alguns podem pensar que esses bots talvez estejam consumindo recursos pelos quais você pagaria de qualquer forma. Quer dizer, isso até parece fazer sentido: em média, você usa apenas 20% dessa instância/servidor, mas paga por 100% independentemente do uso. Então, será que esses bots estão realmente causando prejuízo financeiro?
Pode apostar que sim.
Vamos relembrar por um momento a premissa do dimensionamento automático — um dos motivos pelos quais muitas organizações adotam a nuvem pública. Quando a carga ou o desempenho ultrapassa determinado limite, queremos que uma nova instância seja iniciada para atender à demanda. Se tivermos uma instância que utiliza apenas 20% de sua capacidade para atender clientes legítimos e, de repente, um bot consumir os outros 80%, teremos que pagar por uma segunda instância, depois por uma terceira, uma quarta e, por fim, uma quinta, para atender a uma demanda que poderia ter sido suprida por uma única instância se ela não estivesse sendo utilizada de forma ilícita.
Então, há esse custo.
Para quem se preocupa com o meio ambiente, há também o aumento das emissões de carbono decorrente do maior consumo de eletricidade. Um fato interessante: quando os recursos computacionais estão ociosos, consomem menos watts do que quando estão em plena atividade (principalmente ao realizar cálculos criptográficos altamente complexos). Portanto, se um minerador ou minion estiver trabalhando a todo vapor, isso terá um custo em quilowatts-hora (se estiver no ambiente local) e em horas de instância (se estiver na nuvem pública), aumentando, em ambos os casos, sua pegada de carbono.
Consumir mais energia significa gerar mais calor, que precisa ser compensado com refrigeração adicional. Portanto, ainda mais eletricidade é consumida. E há também os sistemas que monitoram e informam a temperatura... bem, você entendeu. Há uma grande quantidade de recursos computacionais auxiliares usados para operar um data center — na nuvem ou localmente —, o que aumenta cada vez mais seus custos operacionais devido ao consumo ilícito de recursos.
Como observado no blog da Talos mencionado anteriormente, alguns desses scripts de criptomineração são inteligentes. Eles são furtivos e conseguem impedir que suas máquinas entrem em modo de espera, sejam reiniciadas, desconectadas ou realizem qualquer outra atividade que possa interromper sua operação. Eles mantêm suas máquinas funcionando 24 horas por dia, 7 dias por semana, e extraem até o último bit digital possível antes que você chame o exterminador.
Então, esses são os custos tangíveis — aqueles que você percebe nas contas cada vez mais altas de energia e de serviços em nuvem. E quanto aos custos intangíveis? Como a perda de um cliente (ou cliente em potencial) devido ao baixo desempenho?
Bem, vamos nos lembrar do axioma operacional nº 2: à medida que a carga aumenta, o desempenho diminui.
Se um minerador ou minion estiver consumindo recursos, ele estará aumentando a carga geral de um servidor, o que vai reduzir o desempenho do aplicativo. Assim como a gravidade, isso é uma lei. O impacto do baixo desempenho está bem documentado. Por exemplo, sabemos, com base na pesquisa da AppDynamics, que 8 em cada 10 usuários já excluíram um aplicativo por causa do baixo desempenho. Também sabemos que Amazon, Google e Walmart documentaram o impacto que até mesmo microssegundos podem causar na receita, nas conversões e nas compras. Dependendo do setor, a perda de um aplicativo ou uma pequena degradação do desempenho pode se traduzir rapidamente em perdas mensuráveis.
Mesmo que você não queira fazer as contas de fato (e eu certamente não quero), a ideia geral fala por si só: mineradores e minions geram custos reais para as organizações de diversas maneiras. Embora a exposição de dados seja, sim, um sério risco para a segurança e os negócios, contra o qual é fundamental se proteger, não podemos ignorar que qualquer violação pode resultar em consequências graves.
Segundo o RedLock Cloud Security Trends May 2018, impressionantes 25% das organizações enfrentam atualmente atividades de cryptojacking em seus ambientes. A Tripwire também observou que 15 milhões de pessoas foram afetadas por uma única operação de mineração de Monero. A eWeek noticiou o caso de uma empresa de serviços públicos cujos recursos computacionais estavam sendo drasticamente consumidos por operações ilícitas de mineração de criptomoedas.
Esses relatos estão se tornando mais frequentes, provavelmente na esperança de chamar a atenção para a gravidade dessas atividades. O importante a observar sobre os mineradores — e os agentes que atuam em exércitos de botnets — é que eles são evidências de uma violação das suas defesas, embora nenhuma dessas atividades esteja necessariamente relacionada a dados confidenciais.
Concentrar-se de forma excessivamente restrita na proteção de dados é uma boa maneira de incluir o nome da sua empresa na crescente lista de organizações que contribuíram para tornar o cryptojacking um negócio tão lucrativo. A incerteza sobre o que os invasores explorarão em seguida não é um bom motivo para desviarmos o foco de uma estratégia de segurança abrangente e concentrarmos todos os esforços na proteção de dados. Vamos proteger a empresa — e isso inclui os itens de despesas operacionais que podem corroer os resultados financeiros corporativos.
Sobre o autor
Lori MacVittie é engenheira distinta e evangelista-chefe no Escritório do CTO da F5, com ampla experiência em entrega de aplicações, estratégia de automação e infraestrutura. Ela é conhecida por transformar complexidade em clareza, seja definindo diretrizes para agentes de IA, analisando arquiteturas multinuvem frágeis ou investigando os limites de sistemas escaláveis. Ela acumula mais de trinta anos de experiência no setor, abrangendo desenvolvimento de aplicações, arquitetura de TI e operações de redes e sistemas. Antes de ingressar na F5, atuou como editora de tecnologia e recebeu diversos prêmios. MacVittie tem mestrado em Ciência da Computação e é uma autora prolífica, com publicações que abrangem segurança, nuvem e arquitetura empresarial. Ela também é uma entusiasta de jogos de tabuleiro e videogames, além de ter opiniões assumidamente fortes sobre queijos.
Mais publicações de Lori Mac VittiePublicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...