Habilitação do compartilhamento de ameaças entre ISPs por meio de SDN

F5

Artigo de convidado do Diretor Executivo da TAG Cyber LLC, uma empresa global de consultoria, treinamento, assessoria e serviços de mídia em segurança cibernética que atende centenas de empresas em todo o mundo.

Uma crença amplamente difundida em nossa comunidade de segurança é que o compartilhamento de informações sobre ameaças cibernéticas de alta qualidade beneficia as equipes responsáveis por operações, análise e resposta. É claro que, para proporcionar esse benefício, o compartilhamento de informações sobre ameaças precisa ser realmente de alta qualidade. Felizmente, hoje existem boas plataformas comerciais que facilitam a criação, a operação e a gestão de um grupo bem-sucedido de compartilhamento de informações sobre ameaças. Portanto, há poucas justificativas para as equipes de segurança que ainda não compartilham dados.

Outra crença amplamente difundida em nossa comunidade é que os ataques cibernéticos estão se tornando mais rápidos, mais inteligentes e mais difíceis de detectar. Essas características estão sendo alcançadas com uma dose da tecnologia financiada pela nossa própria Sand Hill Road: automação, aprendizado de máquina e autonomia. Os chamados ataques sintéticos resultantes são rápidos e difíceis de detectar demais para qualquer resposta manual coordenada por humanos — e essa é uma perspectiva assustadora para as equipes de segurança.

A F5 Networks, em conjunto com a TAG Cyber, organizou recentemente um grupo de trabalho durante o F5 Agility 2018em Boston para analisar estas duas questões – compartilhamento de informações sobre ameaças e ofensiva cibernética sintética – no contexto de um fator adicional: o grupo de trabalho foi incumbido de realizar sua análise considerando uma tendência tecnológica emergente que poderia oferecer benefícios promissores às equipes de segurança: redes definidas por software (SDN).^[1]

O grupo de trabalho – composto por participantes do setor, em sua maioria convidados da comunidade global de provedores de serviços^[2] – foi, portanto, convidado a dedicar seu tempo a discutir, debater e se concentrar na seguinte questão fundamental: A infraestrutura emergente de provedores de serviços habilitada por SDN pode oferecer uma plataforma coletiva subjacente para o compartilhamento automatizado de informações sobre ameaças cibernéticas entre operadoras globais, a fim de reduzir o risco de ataques sintéticos?

Para abordar essa questão multifacetada, o grupo de trabalho identificou três perguntas mais específicas, que serviriam para organizar e direcionar as discussões e ajudariam a formular uma resposta abrangente:

· SDN para segurança – Quais são as vantagens e desvantagens relevantes da SDN para a segurança cibernética?

· Melhoria do compartilhamento entre ISPs – Quais estratégias podem ser adotadas para melhorar o compartilhamento geral entre ISPs?

· Requisitos funcionais – Quais recursos da plataforma oferecem suporte ao compartilhamento habilitado por SDN?

Muitos outros tópicos relevantes foram levantados durante as atividades do grupo de trabalho, mas essas três perguntas específicas pareceram funcionar bem para levar à conclusão de que a infraestrutura de SDN oferece, de fato, uma excelente base para viabilizar o compartilhamento automatizado de informações sobre ameaças entre operadoras. Na verdade, o grupo de trabalho concordou com este princípio básico: para impedir ataques automatizados e sintéticos, os provedores de serviços precisarão contar com defesas automatizadas.

SDN para segurança

A primeira questão se concentrou em como a SDN pode fornecer uma base eficaz para a segurança — em vez de como a própria SDN poderia ser protegida (um tema considerado fora do escopo desta iniciativa). Para isso, os participantes apresentaram suas opiniões sobre os seguintes aspectos da SDN, considerados adequados ao compartilhamento dinâmico e automatizado de informações sobre ameaças entre diversas implantações de infraestrutura de provedores de serviços:

• Visibilidade do controlador – O controlador SDN tem visibilidade centralizada de todos os dispositivos gerenciados. Essa visibilidade permitiu automatizar toda a coleta, o processamento e o fornecimento de telemetria dos dispositivos gerenciados para compartilhamento externo. Isso poderia ser feito nativamente pelo controlador, usando sua visibilidade por meio da interface southbound, ou por sensores implantados especificamente para trabalhar com uma aplicação SDN por meio da interface northbound.
• Suporte à falha rápida – A automatização da função de compartilhamento exigirá a capacidade de desenvolver recursos e funcionalidades inovadores. Para isso, a infraestrutura baseada em software permite introduzir rapidamente funcionalidades que podem ser bem-sucedidas ou falhar rapidamente (para que sejam prontamente identificadas e substituídas). Assim, a orientação a software da SDN proporciona um ambiente mais flexível para a criação de novos recursos.
• Potencial de autodefesa – O grupo de trabalho dedicou um tempo considerável à análise das perspectivas de desenvolvimento de recursos de autodefesa por software. Esse parece ser um componente essencial de qualquer defesa de segurança que precise lidar com a velocidade e a abrangência de ataques sintéticos automatizados. A detecção dinâmica de indicadores, seguida de uma resposta autônoma, será um requisito para que a SDN ofereça suporte ao compartilhamento.

Aprimorando o compartilhamento entre ISPs

A segunda questão se concentrou em como os ISPs globais poderiam, de modo geral, melhorar o compartilhamento atual de informações sobre ameaças. Houve uma ampla discussão comparativa sobre os métodos utilizados pela comunidade de provedores de serviços em relação aos procedimentos e métodos de compartilhamento de grande visibilidade adotados no setor de serviços financeiros.^[3] Assim, o grupo de trabalho identificou as seguintes sugestões para aprimorar o compartilhamento — no contexto das SDNs emergentes:

• Grupos e parcerias – Muitas das melhores iniciativas de compartilhamento de informações sobre ameaças na comunidade global de provedores de serviços de Internet (ISPs) costumam surgir de grupos de trabalho ad hoc ou de parcerias multilaterais entre operadoras, com o objetivo de resolver um determinado problema por meio do compartilhamento. Isso indica que a viabilização do compartilhamento automatizado por SDN exigirá suporte à criação de comunidades, acordos temporários e grupos dinâmicos de confiança.
• Inclusão de cooperativas de provedores – A comunidade de ISPs — assim como o setor de serviços financeiros — inclui centenas de pequenos provedores de serviços e fornecedores de serviços de comunicação. Essas cooperativas menores precisarão de suporte funcional para o compartilhamento automatizado por meio de seus fornecedores ou de suas relações de serviço baseadas em nuvem. Elas poderão ser integradas a grupos de compartilhamento automatizado por meio de diversos incentivos comerciais ou financeiros.
• Normas para o compartilhamento global – O compartilhamento de informações sobre ameaças entre um conjunto significativo de operadoras globais distintas não pode ser regido por uma única política aplicada de forma uniforme. Em vez disso, qualquer iniciativa de compartilhamento automatizado exigirá um acordo baseado em normas, no qual a maioria das operadoras decida voluntariamente incluir feeds de saída e entrada em um ecossistema comum de compartilhamento.

Requisitos funcionais

A terceira questão concentrou-se na identificação dos requisitos funcionais para plataformas de SDN e soluções de fornecedores que permitissem o compartilhamento automatizado de informações sobre ameaças entre operadoras. O grupo de trabalho concordou que os fornecedores são motivados a atender seus clientes e responderão melhor se os grupos de usuários organizarem suas necessidades em padrões de trabalho. As principais funcionalidades identificadas para o compartilhamento viabilizado por SDN são as seguintes:

• Arquitetura do Barramento de Ameaças – O grupo de trabalho criou o conceito do chamado barramento de ameaças, que servia como um destino funcional abstrato para informações compartilhadas sobre ameaças. O barramento de ameaças teria de processar e proteger adequadamente as informações, além de respeitar atributos como graus de atribuição, níveis de confiança e assim por diante. Seria necessário realizar trabalhos posteriores para especificar como funcionaria a implementação do barramento.
• Protocolos e interfaces padrão – O grupo de trabalho concluiu que os protocolos de compartilhamento de ameaças baseados em padrões eram essenciais para o funcionamento adequado de qualquer ecossistema automatizado. Os conhecidos protocolos STIX e TAXII foram usados como exemplos de padrões a serem incluídos em projetos emergentes de SDN. Embora nada em SDN deva impedir esse tipo de iniciativa, até o momento esse não tem sido um foco explícito em nenhum trabalho relacionado a SDN de que o grupo tivesse conhecimento.
• Suporte orientado por casos de uso – O grupo de trabalho foi enfático ao afirmar que os projetos funcionais deveriam ser orientados por casos de uso. Isso favorece uma abordagem gradual para a introdução do compartilhamento automatizado. Um dos casos de uso discutidos envolvia diferentes operadoras alertando umas às outras – de forma automatizada – caso um ataque detectado parecesse ter se originado na infraestrutura de outra operadora.

As próximas etapas recomendadas pela equipe de trabalho foram as seguintes: (1) publicar este artigo resultante da discussão do grupo para auxiliar outras iniciativas relacionadas em seu processo de planejamento; (2) levar os resultados do estudo a cada organização participante, a fim de fomentar ideias para o compartilhamento baseado em SDN e influenciar as atividades de padronização; e (3) dialogar com a comunidade de fornecedores para recomendar que seja dada mais atenção a essa área vital.

A conclusão deste grupo de trabalho é fácil de enunciar: de fato, os membros concordaram unanimemente que a infraestrutura emergente de provedores de serviços habilitada para SDN pode fornecer uma plataforma coletiva subjacente para o compartilhamento automatizado de informações sobre ameaças cibernéticas entre operadoras globais, a fim de reduzir o risco de ataques sintéticos. Chegar a essa conclusão foi uma perspectiva empolgante para a equipe, dada a intensidade reconhecida dos ataques sintéticos automatizados.

Elaborado pela TAG Cyber LLC: https://www.tag-cyber.com/

[1] Aos leitores que desejam uma análise aprofundada dos fundamentos das redes definidas por software (SDN), recomenda-se a obra Redes Definidas por Software – Uma Abordagem Abrangente, de Paul Goransson e Chuck Black (Morgan Kaufman, 2014).

[2] Para respeitar a privacidade dos participantes e de suas organizações, esta nota se refere apenas, de forma agregada, às conclusões e recomendações formuladas durante a sessão do grupo de trabalho, em vez de citar os nomes dos especialistas ou grupos representados no estudo. Os participantes tiveram a oportunidade de revisar esta nota e sugerir alterações, mas quaisquer erros remanescentes são de responsabilidade do autor.

[3] Uma das principais conclusões do grupo de trabalho é que o setor de serviços financeiros se destaca entre todos os setores na divulgação pública de suas ferramentas e métodos de compartilhamento de informações sobre ameaças, bem como do ecossistema do FS-ISAC.

Sobre o autor

F5

Mais publicações de F5