Frustre ataques e retribua: a resposta a incidentes de segurança da F5 é por nossa conta

A maioria dos invasores não está atrás de você. Pelo menos, não a princípio. Em geral, eles adotam uma abordagem extremamente ampla antes de direcionar seus ataques a organizações que apresentam a vulnerabilidade específica que estão tentando explorar. A menos que você seja um alvo de valor particularmente alto (como instituições financeiras, grandes varejistas ou órgãos governamentais), não é nada pessoal. Provavelmente, você apenas tem a vulnerabilidade que eles procuram — o que, convenhamos, não serve de grande consolo quando se está sob ataque.

Analisando o cenário de forma mais ampla, os invasores geralmente procuram os mesmos tipos de vulnerabilidade em todos os lugares, o que, em teoria, torna o compartilhamento de conhecimento extremamente benéfico. No entanto, isso costuma não funcionar na prática, pois a maioria das organizações não dispõe de um mecanismo para: a) incorporar as lições aprendidas com incidentes de segurança anteriores no setor; ou b) relatar suas experiências de forma anônima, para que outras possam evitar os mesmos erros. Consequentemente, as informações sobre campanhas de ataque em andamento que exploram vulnerabilidades novas (ou conhecidas) não chegam tão longe quanto deveriam, e continuamos vendo manchetes sobre violações decorrentes das mesmas vulnerabilidades e explorações subjacentes. Por exemplo, em 2017, quantas vítimas do WannaCry usavam software em fim de vida útil (EOL) ou sem suporte, amplamente documentado como problemático? A resposta: muitas.

Para sermos justos, muito disso é compreensível dentro do contexto. Fornecer informações para a comunidade em geral não é a primeira coisa que passa pela cabeça de um profissional de segurança enquanto está sob ataque, possivelmente enfrentando uma violação, e lidando com a pressão de uma resposta emergencial a incidentes — ao mesmo tempo que está sob o escrutínio de um departamento jurídico que faz o possível para restringir as informações sobre o incidente até que os fatos sejam apurados. Supondo que você não esteja sob um nível esmagador de estresse e ainda se sinta altruísta o suficiente, o que, hipoteticamente, você poderia fazer para ajudar o restante do setor? Compartilhar os arquivos descobertos com o VirusTotal poderia ser uma opção, mas provavelmente você não conseguiria fazer muito mais do que deixá-los lá antes de voltar à tarefa mais urgente de proteger sua organização (e, talvez de forma ainda mais imediata, seu emprego). O ideal seria contar com uma equipe de reforço qualificada, pronta e apta a ajudar rapidamente na resposta à crise. Profissionais dedicados que possam analisar as informações, fornecer orientações imediatas de mitigação e, em seguida, ajudar você (e os demais internautas) a preparar melhor a rede para repelir futuros ataques.

De volta aos negócios

É aí que entra a F5. Se você é cliente, seu contrato de suporte inclui assistência emergencial gratuita (sim, GRATUITA) para resposta a incidentes. Isso não só garante que você receba a ajuda necessária nos momentos mais críticos, como também permite analisar, agregar e abstrair as experiências de diversas organizações em benefício de todo o grupo. Diante de uma ameaça iminente, basta ligar para o suporte técnico da F5 e informar que você está enfrentando um incidente de segurança para ser encaminhado diretamente à Equipe de Resposta a Incidentes de Segurança da F5 (SIRT). Essa equipe global é formada por engenheiros de segurança com ampla experiência em resposta a incidentes, oferece suporte em mais de uma dezena de idiomas e está disponível 24 horas por dia, 7 dias por semana, 365 dias por ano. Embora certamente retomem os tópicos mais abrangentes e relevantes de segurança para ajudar você a se preparar melhor para futuros incidentes, o principal objetivo da F5 SIRT é ajudar a conter os danos e dar a você tempo para desenvolver uma solução de mitigação de longo prazo para sua empresa.

A equipe global do F5 SIRT também pode recorrer a uma ampla variedade de opções de mitigação viabilizadas pelos produtos ou pelas ofertas da F5 nos ambientes dos clientes, como Advanced WAF (incluindo Proactive Bot Defense, CAPTCHA e muito mais), AFM, IP Intelligence (IPI), GeoIP, diversas opções de proteção contra ataques de força bruta e várias outras alternativas. A equipe também pode acionar o time do F5 Silverline ou recomendar proteção adicional contra DDoS ou de WAF baseada em nuvem, quando apropriado. Nos casos aplicáveis, essas e outras soluções estão disponíveis por meio da equipe de vendas da F5.

A equipe SIRT é especialmente qualificada no uso das iRules programáveis da F5, que podem ser desenvolvidas e implantadas rapidamente para modificar os fluxos de tráfego. Com que rapidez? Embora a complexidade do problema sempre seja um fator relevante, iRules personalizáveis podem ser preparadas em minutos e implantadas pelo cliente em poucas horas (seguindo, é claro, os procedimentos adequados de controle de mudanças emergenciais).

Vejamos um exemplo rápido: um cliente da F5 estava sofrendo um ataque de força bruta contra servidores RDP protegidos por um dispositivo F5. Os servidores estavam abertos à Internet e precisavam permanecer acessíveis para dar suporte às operações da empresa, mas apenas para um conjunto específico de intervalos de rede. Para mitigar o ataque, foi desenvolvida, em conjunto com a equipe SIRT da F5, uma iRule que usava um grupo de dados para verificar o IP do cliente em relação a um conjunto de redes externas “conhecidas e confiáveis” e descartar todo o tráfego que não se originasse de uma delas. Isso mitigou o ataque de forma eficaz e melhorou a postura de segurança do cliente. Além disso, essa abordagem preservou a possibilidade de adicionar ou remover redes da lista de redes confiáveis — permitindo que o cliente configurasse grupos de dados específicos na interface gráfica — para evitar ataques semelhantes no futuro.

De volta à comunidade

Se, durante a investigação de um incidente, forem descobertos detalhes relevantes, como um novo exploit, uma campanha, um malware ou uma vulnerabilidade que ainda não tenha sido observada em ambientes reais ou que não seja particularmente bem compreendida, o F5 SIRT poderá recorrer a uma rede de equipes de toda a empresa para obter perspectivas adicionais. Essa abordagem reúne de forma eficaz o conhecimento dos pesquisadores de ameaças, dos desenvolvedores de produtos de segurança e de outros especialistas da F5 para analisar as descobertas e oferecer medidas de remediação aprimoradas no futuro. Se determinado elemento for adequado para publicação e puder beneficiar o setor como um todo, nenhum detalhe sobre clientes específicos ou incidentes particulares será divulgado. As informações se limitam à descoberta e ao comportamento de uma ameaça específica — como fizemos com o PyCryptoMiner —, além de orientações gerais, quando aplicáveis.

Você pode proteger e gerenciar melhor sua infraestrutura sabendo que as equipes de especialistas da F5 estão prontas para ajudar — e que não haverá uma montanha de burocracia e papelada entre você e a ajuda de que precisa caso sofra um ataque. Além disso, há também o benefício de saber que outros clientes não precisarão sofrer o mesmo destino e que, de fato, sua organização também ficará mais segura ao longo do tempo graças a essa abordagem de compartilhamento de conhecimentos inestimáveis.

Então, o que a F5 ganha com isso? Obviamente, queremos que as empresas estejam em pleno funcionamento, conduzindo seus negócios com sucesso e segurança; o sucesso dos clientes impulsiona o sucesso da F5. Além disso, reconhecemos que os incidentes de segurança não afetam apenas a entidade visada; muitas vezes, há um efeito cascata sobre seus clientes e parceiros e, às vezes, muito além deles. (Para ilustrar, os usuários costumam usar senhas iguais ou semelhantes em vários sites, ampliando consideravelmente o alcance de um incidente de segurança — por exemplo, constatou-se que os usuários da Sony e do Yahoo usavam as mesmas senhas nas duas contas em 59% dos casos.) Sem exagerar demais, esse efeito cascata pode afetar todos que fazem negócios na Internet. (Outro aparte: Pesquisas indicam que, atualmente, há uma média de três registros comprometidos para cada usuário on-line.)

Nós — ou seja, o setor — podemos aprimorar a forma como lidamos com os problemas subjacentes que tornam os sistemas vulneráveis, criando oportunidades para compartilhar detalhes relevantes sobre ataques e os principais aprendizados. Com o F5 SIRT, isso começa por colocar os clientes em uma posição favorável para contribuir com o bem comum e, ao mesmo tempo, melhorar sua própria situação.

Para obter mais informações e entrar em contato com a Equipe de Resposta a Incidentes de Segurança (SIRT) da F5, acesse a página da equipe.