Quando o assunto é segurança, não existe aplicativo que não seja crítico

Lori Mac VittieEngenheiro Emérito e Evangelista-Chefe | F5

Na Batalha das Termópilas, segundo a história, Leônidas e seu grupo de trezentos espartanos foram derrotados não por causa do esperado ataque frontal. Não, foi porque os persas deram a volta furtivamente e os flanquearam graças a uma estreita trilha de cabras, que lhes permitiu se posicionar atrás da linha espartana que defendia as Portas Quentes*.

Talvez tenha sido um erro estratégico não proteger a rota de ataque menos óbvia, uma trilha de cabras. É fácil perceber isso em retrospecto, e agora podemos ver que deixar de vigiar todos os possíveis pontos de entrada pode ter consequências devastadoras.

Então, aprendemos com a história ou estamos condenados a repeti-la?

Com base nos resultados da nossa pesquisa State of Application Delivery 2018, estamos fazendo o possível para repeti-la.

O que este gráfico mostra é que 2% das organizações estão usando um WAF para proteger... nada. Nenhuma de suas aplicações está protegida por essa tecnologia. Por outro lado, 13% das organizações estão protegendo todas as suas aplicações (100%) com um WAF.

Em algum ponto entre esses extremos está a maioria das organizações, sendo que 34% protegem um quarto ou menos (1% a 24%) de suas aplicações. Essas aplicações provavelmente são como as Termópilas. São as mais visíveis, aquelas que você promove e divulga. São as que recebem mais tráfego e, logicamente, constituem a rota de ataque mais provável.

O restante são trilhas de cabras: caminhos estreitos e tomados pelo mato que levam ao data center, raramente usados e com menor probabilidade de sofrer ataques. Ou pelo menos é o que você espera.

Como setor, costumamos falar em aplicativos “críticos”. São os aplicativos de que a empresa precisa para operar a cada minuto de cada dia. Isso inclui seu CRM, seu SFA, sua loja virtual e as APIs que seus parceiros usam para gerar negócios para você. São esses os aplicativos dos quais falamos com reverência. Você precisa protegê-los contra ataques, dimensioná-los para atender à demanda e melhorar seu desempenho, para que até os consumidores mais exigentes fiquem encantados com a atenção que você dedica à experiência do usuário.

Temos a tendência de ignorar as aplicações “não críticas”. Às vezes, chegamos até a colocá-las em alguma nuvem pública sem nos preocupar em configurar os controles de segurança necessários para manter os dados e as credenciais protegidos.

Hoje, afirmo que, assim como aquela trilha de cabras acabou se revelando um ponto de entrada crucial nas defesas espartanas, o mesmo vale para todos esses “outros” aplicativos. Se eles se conectam à Internet — e, pelo simples fato de se conectarem a uma rede, provavelmente se conectam —, representam um possível ponto de entrada para invasores. Se utilizam as mesmas plataformas e os mesmos protocolos que seus aplicativos “críticos” — e provavelmente utilizam —, então representam um risco para todos os aplicativos, pois compartilham as mesmas vulnerabilidades.

Basta um único caminho estreito para entrar na rede por meio de qualquer aplicativo para colocar toda a organização (a empresa) em risco. Conseguir se estabelecer em um aplicativo ou servidor abre uma infinidade de caminhos para os invasores explorarem. De credenciais a conexões, um único ponto de ataque dentro do data center (seja na nuvem pública ou no ambiente local) representa uma ameaça maior do que gostaríamos de admitir.

Não há motivo para ignorar aplicações “não críticas” quando o assunto é segurança. Na verdade, há centenas, talvez milhares, de bons motivos para dar atenção a elas e oferecer a proteção proporcionada por um WAF. Credenciais de funcionários. Dados pessoais. Rotas para outras aplicações e serviços mais atraentes.

Quando se trata de segurança, não existe aplicativo que não seja crítico.

Não ignore os atalhos informais em favor das Termópilas.

*Sim, os persas provavelmente teriam vencido de qualquer forma, mas agora nunca saberemos, não é?

Sobre o autor

Lori Mac VittieEngenheiro Emérito e Evangelista-Chefe | F5

Lori MacVittie é engenheira distinta e evangelista-chefe no Escritório do CTO da F5, com ampla experiência em entrega de aplicações, estratégia de automação e infraestrutura. Ela é conhecida por transformar complexidade em clareza, seja definindo diretrizes para agentes de IA, analisando arquiteturas multinuvem frágeis ou investigando os limites de sistemas escaláveis. Ela acumula mais de trinta anos de experiência no setor, abrangendo desenvolvimento de aplicações, arquitetura de TI e operações de redes e sistemas. Antes de ingressar na F5, atuou como editora de tecnologia e recebeu diversos prêmios. MacVittie tem mestrado em Ciência da Computação e é uma autora prolífica, com publicações que abrangem segurança, nuvem e arquitetura empresarial. Ela também é uma entusiasta de jogos de tabuleiro e videogames, além de ter opiniões assumidamente fortes sobre queijos.

Mais publicações de Lori Mac Vittie