Malwares para dispositivos móveis e outras atividades maliciosas continuam afetando os usuários enquanto eles fazem compras, realizam transações bancárias, consultam informações de saúde e muito mais — tudo pelo celular. Embora o usuário final tenha sua parcela de responsabilidade para evitar ser vítima de ataques, cabe, em última instância, aos fornecedores dos aplicativos — às equipes de produto, operações, privacidade e segurança — garantir que o ambiente móvel permaneça seguro. Os dados confidenciais que circulam por esses aplicativos móveis também devem ser protegidos contra acessos não autorizados e olhares indiscretos.
O risco em dispositivos móveis é um pouco diferente
Embora as organizações tenham aumentado seus investimentos em proteção de nuvem, redes e aplicações web, muitas ainda tratam os aplicativos móveis da mesma forma que tratam endpoints tradicionais, como desktops e laptops, sejam eles corporativos ou dispositivos pessoais usados no trabalho (BYOD).
No entanto, o ambiente móvel pode apresentar desafios específicos, expondo esses sistemas a comprometimentos. Por exemplo, os invasores costumam recorrer aos seguintes métodos para violar um dispositivo, roubar dados, obter acesso privilegiado e usar o aplicativo de forma indevida:
- Reempacotamento de aplicativos móveis
- Injeção de malware
- Sequestro de frameworks de hooking
- Realização de ataques de sobreposição
Quando um agente mal-intencionado assume o controle de um aplicativo móvel, ele pode usá-lo como ponto de partida para iniciar ataques automatizados contra os aplicativos do lado do servidor. Nesse caso, ele pode realizar diversos ataques com bots maliciosos, como preenchimento de credenciais, invasão de contas, coleta de dados e muito mais.
O principal objetivo de qualquer programa de segurança é proteger o ambiente contra comprometimentos, mas esse resultado final costuma ser motivado, em primeiro lugar, pela necessidade de atender a padrões de conformidade, como os seguintes:
- Privacidade: GDPR, CCPA
- Pagamentos: EMVCo SBMP, PCI-DSS e PSD2
- Registros de saúde: HIPAA
Diante dessa realidade, especialistas do Google Cloud e da F5 se uniram para realizar um webinar a fim de discutir esses desafios e indicar um caminho para que as equipes de engenharia de nuvem, desenvolvimento de aplicativos e operações, bem como os profissionais de segurança, trabalhem em conjunto para garantir que a segurança dos aplicativos móveis seja gerenciada adequadamente em seus programas de DevSecOps.
Parte dessa visão mais ampla envolve escolher a infraestrutura certa, capaz de atender às demandas dos aplicativos móveis modernos e adaptáveis de hoje, ao mesmo tempo que oferece segurança e privacidade aos usuários finais de forma integrada, sem afetar a experiência do usuário. Igualmente importante é proteger o processo de entrega do pipeline de CI/CD contra interrupções e atrasos.
Diferentes pontos de vista são importantes
Durante o webinar, Jess Steinbach, moderadora da ActualTech Media, apresentou vários cenários a Joshua Haslett, gerente de Parcerias Estratégicas de Tecnologia do Google Cloud, e Peter Zavlaris, evangelista de segurança cibernética da F5.
Liderança empresarial
O fato de uma organização estar em conformidade com uma ou mais regulamentações ou normas não significa que os riscos e as implicações jurídicas de seus aplicativos móveis desapareçam. Da mesma forma, o perfil de risco dos aplicativos móveis precisa ser analisado de maneira diferente daquele dos aplicativos web tradicionais, mas ainda deve ser integrado ao panorama geral de riscos.
O painel também discutiu como os líderes empresariais poderiam assumir um papel mais ativo para ajudar a determinar e calcular a mudança no risco para a empresa quando um aplicativo móvel pode ser controlado por agentes mal-intencionados.
Operações de TI e Segurança
As equipes de TI e segurança têm a oportunidade de colaborar para se preparar melhor para algumas das mudanças que precisarão fazer em sua infraestrutura a fim de integrar com sucesso a segurança de aplicativos móveis ao ciclo de vida de desenvolvimento e entrega.
É claro que o objetivo é fazer isso sem afetar significativamente as ferramentas, a entrega, a estrutura da equipe ou as operações. O painel discutiu o uso da tecnologia low-code para implementar e configurar a segurança de aplicativos móveis e como as conclusões de testes de invasão ou auditorias anteriores podem ajudar a definir a estratégia, o planejamento e a comunicação de um programa de AppSec mais robusto que inclua seus aplicativos móveis.
Operações de Engenharia e Desenvolvimento
Para ajudar esse grupo a entender melhor como os aplicativos móveis que estão desenvolvendo podem ser comprometidos, o painel explicou como funcionam os ataques de reempacotamento e hooking de aplicativos, compartilhando algumas perspectivas práticas sobre como as equipes de engenharia e operações podem coordenar esforços para proteger melhor seus aplicativos contra essas ameaças.
Em uma perspectiva mais positiva, o painel também mostrou como as equipes de engenharia podem encontrar benefícios ocultos em seu pipeline de CI/CD ao terem uma visão clara e um plano para lidar com os riscos de segurança em seus aplicativos móveis. Às vezes, a segurança pode ir além da mitigação de riscos — neste caso, ela também pode melhorar processos e resultados.
Exemplos reais ilustram o valor de agir
O grupo também discutiu alguns exemplos reais para ajudar a demonstrar a necessidade de incorporar o desenvolvimento para dispositivos móveis ao processo mais amplo de CI/CD e DevSecOps:
- Manutenção da conformidade: as equipes conseguem atender a requisitos regulatórios, como o GDPR e a HIPAA, com pouco ou nenhum impacto na entrega e na manutenção de aplicativos móveis.
- Operações simplificadas: a equipe de operações de TI consegue lidar melhor com o aumento das ameaças móveis sem ficar sobrecarregada, adotando as melhores práticas de comunicação entre seus integrantes e com a equipe de liderança executiva.
- Defesa contra ameaças no aplicativo: uma equipe de DevOps pode monitorar e avaliar continuamente a postura de AppSec para se defender com sucesso contra ameaças direcionadas ao aplicativo durante a execução, trocando informações críticas com a equipe de SecOps para obter a melhor resposta possível.
Dê um basta à loucura dos ataques a dispositivos móveis
Se você quer saber como o programa de segurança do seu aplicativo móvel se compara às ameaças em tempo real que visam esses sistemas durante a execução, confira o webinar sob demanda Impeça agentes mal-intencionados de atacar seus aplicativos móveis.
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...