Quando a aplicação de patches não acompanha o ritmo e a proteção não pode esperar

Nirav ShahVice-presidente sênior de Marketing de Produtos e Soluções | F5

Durante anos, a segurança de aplicações se baseou em uma premissa conhecida: quando uma vulnerabilidade é descoberta, as organizações têm tempo para avaliar o risco, desenvolver ou obter uma correção, testá-la e implantá-la antes que invasores possam explorar a falha.

A inteligência artificial está tornando essa premissa cada vez mais perigosa.

A IA está acelerando a descoberta de vulnerabilidades, o reconhecimento, o desenvolvimento de exploits e a automação de ataques. À medida que esses recursos se tornam mais sofisticados, os invasores conseguem identificar e explorar falhas em uma velocidade que os processos tradicionais de segurança e desenvolvimento nunca foram projetados para acompanhar. Em alguns casos, a exploração começa antes mesmo de as vulnerabilidades serem divulgadas publicamente.

As implicações vão muito além da necessidade de aplicar patches mais rapidamente. As organizações precisam repensar como protegem aplicações e APIs quando o tempo necessário para corrigir uma vulnerabilidade pode ser muito maior do que o tempo de que os invasores precisam para explorá-la. Esse é um tema que abordo em profundidade na minha sessão, “WAAP para o mundo pós-Mythos”, no evento virtual e sob demanda F5 Post-Mythos Security Summit.

Como explico na minha sessão, a resposta começa por reconhecer que a proteção imediata e a correção definitiva são dois desafios distintos. Veja três maneiras pelas quais os líderes de segurança devem repensar sua abordagem à medida que essa lacuna continua a aumentar.

1. Reconheça que a lacuna de exposição se tornou estrutural

As equipes de segurança dedicaram anos à melhoria da gestão de vulnerabilidades e à aceleração da implantação de patches. Esses esforços continuam sendo essenciais. Mas há um limite fundamental para a rapidez com que as organizações conseguem modificar aplicações e infraestrutura com segurança.

Os patches devem ser avaliados, testados e implantados. As equipes de desenvolvimento devem considerar as dependências das aplicações, a estabilidade operacional e a possibilidade de que uma correção emergencial introduza novos problemas. Para empresas que gerenciam milhares de aplicações em vários ambientes, esses processos são necessariamente complexos.

Enquanto isso, a IA está mudando a equação do lado dos atacantes.

A crescente capacidade de automatizar a descoberta e a exploração de vulnerabilidades permite que os atacantes operem na velocidade das máquinas, enquanto os defensores continuam limitados pelos ciclos de desenvolvimento e pelos requisitos operacionais. Mesmo as organizações de segurança mais eficientes não conseguem eliminar esse descompasso simplesmente pedindo às suas equipes que trabalhem mais rápido.

Isso cria uma lacuna estrutural de exposição. Vulnerabilidades podem se tornar exploráveis muito antes que as organizações consigam implementar correções definitivas com segurança. E, à medida que a IA continua avançando, essa lacuna tende a se tornar ainda mais difícil de gerenciar.

A questão que os líderes de segurança precisam enfrentar já não é apenas como acelerar a aplicação de patches, mas também como proteger suas organizações quando os patches não podem ser aplicados com a rapidez necessária.

2. Proteção e remediação exigem prazos diferentes

Enfrentar esse desafio exige uma mudança de mentalidade. Tradicionalmente, a gestão de vulnerabilidades tem se concentrado fortemente na remediação: identificar a falha, priorizá-la e eliminá-la o mais rápido possível. Mas, quando a exploração pode ocorrer antes da disponibilização de um patch, as organizações não podem se dar ao luxo de tornar a proteção totalmente dependente da remediação.

As organizações precisam separar as duas coisas. A correção definitiva resolve a vulnerabilidade subjacente. Já a proteção imediata se concentra em impedir que invasores explorem essa vulnerabilidade enquanto a correção está em andamento.

Essa distinção é particularmente importante para aplicações críticas para os negócios. Colocar uma correção não testada em produção às pressas pode gerar riscos operacionais por si só. Por outro lado, adiar a implantação para seguir os procedimentos estabelecidos de controle de mudanças pode deixar a organização exposta.

A aplicação de patches virtuais é uma forma de lidar com esse dilema. Ao implementar controles de proteção externos à aplicação vulnerável, as organizações podem bloquear técnicas conhecidas de exploração de vulnerabilidades sem modificar imediatamente o código subjacente.

É importante ressaltar que a aplicação de patches virtuais não substitui a correção de vulnerabilidades. Tampouco elimina todos os possíveis vetores de ataque. Seu valor está em reduzir a exposição enquanto as equipes de desenvolvimento e segurança concluem o trabalho necessário para uma correção definitiva.

Em outras palavras, as organizações precisam ser capazes de responder a ameaças imediatas sem que cada incidente de segurança exija uma versão emergencial da aplicação. E isso exige uma abordagem arquitetural para a proteção de aplicações.

3. A arquitetura deve preencher essa lacuna

Quando as ameaças avançam mais rápido do que os ciclos de desenvolvimento e implantação de aplicações, a proteção precisa ser capaz de operar independentemente desses ciclos.

É nesse contexto que a proteção moderna de aplicações web e APIs (WAAP) (https://www.f5.com/solutions/web-app-and-api-protection) assume um papel cada vez mais relevante. Ao oferecer controles de segurança no caminho dos dados das aplicações, a WAAP pode ajudar as organizações a detectar e bloquear atividades maliciosas antes que elas atinjam aplicações vulneráveis. Recursos como firewalls de aplicações web, segurança de APIs, defesa contra bots e mitigação de DDoS oferecem camadas complementares de proteção.

A vantagem arquitetural é significativa. As organizações podem aplicar controles de proteção sem necessariamente esperar por alterações no código da aplicação, dando às equipes de desenvolvimento mais tempo para investigar vulnerabilidades e implementar correções permanentes.

Mas o desafio está se tornando mais complexo.

Os ambientes de aplicações atuais vão além das aplicações web tradicionais. As empresas dependem cada vez mais de APIs, aplicações baseadas em IA e agentes autônomos que introduzem novas interações, dependências e possíveis superfícies de ataque. Ao mesmo tempo, ataques potencializados por IA estão tornando mais difícil para as equipes de segurança distinguir atividades maliciosas do tráfego legítimo.

Simplesmente adicionar mais regras de segurança ou gerar mais alertas não é uma solução sustentável. A proteção precisa se tornar mais inteligente e adaptável, sem sobrecarregar as equipes de segurança nem prejudicar as atividades legítimas da empresa.

Isso torna cada vez mais importante a capacidade de identificar ameaças com precisão, minimizar falsos positivos e aplicar medidas de proteção adequadas. Também reforça a necessidade de uma arquitetura capaz de oferecer proteção consistente em todas as aplicações e ambientes.

Em última análise, as organizações não podem resolver um problema de segurança que evolui na velocidade das máquinas simplesmente aumentando suas equipes ou acelerando os processos existentes. Elas precisam de uma arquitetura projetada para proteger as aplicações enquanto os sistemas subjacentes se adaptam.

Confira minha sessão sobre como garantir a proteção quando a aplicação de patches não acompanha o ritmo

A IA está mudando profundamente a relação entre a descoberta, a exploração e a correção de vulnerabilidades. As organizações devem continuar aprimorando seus processos de aplicação de patches, mas também precisam de maneiras de proteger aplicações e APIs quando correções definitivas não estão disponíveis de imediato.

Na minha sessão, “WAAP para o mundo pós-Mythos”, no F5 Post-Mythos Security Summit, exploro como o WAAP moderno pode ajudar as organizações a responder a essa nova realidade. Demonstro como a proteção baseada em IA e a aplicação de patches virtuais podem ajudar as organizações a lidar com vulnerabilidades na borda sem precisar esperar por alterações no código das aplicações. Também analiso como esses recursos se integram a uma abordagem mais abrangente de proteção de aplicações, APIs e IA contra ameaças cada vez mais sofisticadas.

Para assistir à minha sessão, inscreva-se aqui.

Sobre o autor

Nirav ShahVice-presidente sênior de Marketing de Produtos e Soluções | F5

Nirav Shah é vice-presidente sênior e líder de Marketing de Produtos e Soluções na F5, onde define a direção estratégica de Segurança de Aplicações e Segurança de IA. Antes de ingressar na F5, trabalhou por onze anos na Fortinet em diversos cargos de liderança, com destaque para a gestão das soluções de SASE com tecnologia de IA, SOC e redes seguras. Sua ampla trajetória também inclui funções de destaque na Cisco Systems, onde liderou importantes iniciativas de SD-WAN. Com mais de duas décadas de experiência no setor de cibersegurança, possui um histórico consolidado de lançamento de produtos que redefinem o mercado e de formação de equipes de alto desempenho que alinham o desenvolvimento de produtos às áreas de vendas e marketing para maximizar os resultados. Reconhecido como referência no setor e ex-aluno da USC, participa frequentemente como palestrante em conferências do segmento e contribui regularmente para publicações de destaque sobre a convergência entre IA e cibersegurança, além de manter seu compromisso com a mentoria de profissionais em início de carreira na área de cibersegurança.

Mais publicações de Nirav Shah