O presente e o futuro da proteção de aplicações
Visão geral
No mundo atual, centrado em aplicações, realmente existe um aplicativo para tudo. As organizações oferecem a funcionários e consumidores aplicações com acesso a dados para aumentar a produtividade, atender às demandas dos negócios e, em última análise, obter uma vantagem competitiva. No entanto, à medida que disponibilizam cada vez mais dados confidenciais por meio de aplicações, as organizações também introduzem riscos cada vez maiores. Isso ocorre porque os usuários de hoje estão em toda parte — muitas vezes fora da rede corporativa — e os aplicativos dos quais dependem podem estar em qualquer lugar, desde data centers privados até a nuvem pública. O resultado é menos visibilidade e controle para a organização. Não é de surpreender que os cibercriminosos estejam se aproveitando dessa exposição ao atacar essas aplicações, que existem, em grande parte, fora do alcance das proteções de segurança tradicionais, como firewalls, softwares antivírus e criptografia TLS/SSL.
Seja um ataque volumétrico de negação de serviço (DoS), um malware baseado em navegador ou uma ameaça persistente avançada, os ataques atuais a aplicações são, na verdade, tentativas de obter ou comprometer dados corporativos. Como uma parcela cada vez maior dos dados trafega de forma criptografada, a maioria das ferramentas de segurança atuais opera às cegas, sem conseguir descriptografar esses dados para garantir que não sejam maliciosos.
Tradicionalmente, a abordagem à segurança de aplicações tem se concentrado no ciclo de vida de desenvolvimento de software (SDLC), buscando garantir que os desenvolvedores sigam as práticas recomendadas de codificação segura. Embora o código seguro ainda seja uma peça fundamental do quebra-cabeça geral da segurança, ele não representa o cenário completo. O antigo perímetro de segurança continua a desaparecer à medida que mais endpoints e redes ficam fora dos limites das redes corporativas convencionais, enquanto os riscos para as aplicações e os dados corporativos confidenciais continuam a evoluir.
As medidas de segurança precisam ser reforçadas para garantir que os aplicativos estejam protegidos em todos os ambientes. Atualmente, a grande maioria dos ataques tem como alvo a camada de aplicação, mas as empresas não estão fazendo investimentos equivalentes em segurança nesse nível. É hora de as organizações aceitarem uma nova realidade: a segurança precisa estar mais concentrada na camada de aplicação.
Uma abordagem baseada em riscos para a segurança de aplicações
Analisar a segurança de aplicações sob essa perspectiva baseada em riscos permite que as organizações se concentrem nas falhas dos componentes e ajuda a oferecer a proteção mais robusta para os dados, que são o alvo final da maioria dos ataques. Ao analisar todos os componentes que constituem uma aplicação, as organizações podem desenvolver uma estratégia que ofereça a proteção mais robusta e adequada para a aplicação como um todo. Isso porque comprometer um componente de uma aplicação ou da rede que a disponibiliza — seja por uma vulnerabilidade no código, pela disponibilidade da rede ou pelo DNS — coloca em risco toda a aplicação, bem como os dados nela armazenados.
Componentes essenciais da segurança de aplicações
É fundamental que as organizações implementem o conjunto mais robusto possível de controles de segurança de aplicações para reduzir o risco de dados confidenciais serem comprometidos por um ataque no nível da aplicação. Os principais componentes de uma postura de segurança proativa e de defesa em profundidade para o perímetro das aplicações incluem testes de segurança de aplicações, serviços de firewall, controles de acesso e proteção específica contra diversos tipos de ameaças.
Testes de segurança de aplicações
A segurança de software continua sendo um dos pilares de uma estratégia abrangente de proteção de aplicações. As organizações devem garantir que novos sites e softwares sejam desenvolvidos de forma segura, mas também precisam lidar com as inúmeras vulnerabilidades já presentes em sites existentes, criados sem um ciclo de vida de desenvolvimento de software seguro. É importante lembrar que encontrar e corrigir vulnerabilidades não é um exercício acadêmico; o objetivo é impedir que um invasor consciente acesse os sistemas corporativos e os dados que eles protegem. No entanto, sem uma visão clara dos adversários e de suas táticas, os profissionais de segurança terão dificuldade para desenvolver estratégias eficazes para combatê-los. Daqui em diante, será fundamental que mais pessoas da comunidade de segurança compreendam melhor o software — e a segurança de software.
Os scanners de vulnerabilidades ajudam a identificar e mitigar problemas de software, sejam eles encontrados antes ou depois que novos sites e aplicações web entram no ar. No entanto, as organizações podem obter a melhor proteção integrando um scanner de vulnerabilidades robusto a um firewall de aplicações web com proxy completo.
Firewall de aplicações web
Hoje, um firewall de aplicações web robusto e ágil não é um luxo, mas uma necessidade. O crescimento das aplicações web hospedadas na nuvem tem sido acompanhado por ataques de segurança e riscos cada vez mais sofisticados, que ameaçam os dados corporativos.
Um firewall híbrido de aplicações web pode ajudar as empresas a se protegerem contra as 10 principais ameaças da OWASP, vulnerabilidades de aplicações e ataques de dia zero, independentemente de onde as aplicações estejam localizadas. Defesas robustas contra ataques distribuídos de negação de serviço (DDoS) na camada 7, técnicas de detecção e mitigação, aplicação de patches virtuais e visibilidade granular dos ataques podem impedir até mesmo as ameaças mais sofisticadas antes que elas cheguem aos servidores da rede. Além disso, a capacidade de detectar e bloquear invasores antes que eles acessem o data center de uma empresa oferece uma grande vantagem. Um firewall de aplicações web avançado, capaz de interromper atividades maliciosas logo no estágio inicial de um possível ataque, permite que as organizações reduzam significativamente os riscos e aumentem a eficiência do data center, eliminando os recursos gastos no processamento de tráfego indesejado.
As empresas devem procurar um firewall de aplicações web que:
- Oferece uma defesa proativa contra redes de ataques automatizados.
- Integra-se aos principais scanners de teste dinâmico de segurança de aplicações (DAST) para a correção imediata de vulnerabilidades.
- Identifica eventos suspeitos correlacionando atividades maliciosas com violações.
- Fornece relatórios de fácil leitura para ajudar a simplificar a conformidade com importantes normas regulatórias, como o Padrão de Segurança de Dados da Indústria de Cartões de Pagamento (PCI DSS), a HIPAA e a Lei Sarbanes-Oxley.
Inspeção SSL
Hoje, o SSL está em toda parte. Analistas preveem que o tráfego criptografado aumentará para quase 64% de todo o tráfego on-line na América do Norte em 2016, em comparação com apenas 29% em 2015.1 As organizações estão se empenhando para criptografar a maior parte do tráfego, incluindo desde e-mails e mídias sociais até vídeos por streaming. O nível de segurança oferecido pelo SSL é atraente, mas, ao mesmo tempo, ele se tornou um vetor de vulnerabilidade, pois os invasores usam o SSL para ocultar malware de dispositivos de segurança que não conseguem inspecionar o tráfego criptografado.
As soluções de segurança empresarial precisam ter visibilidade desse tráfego criptografado para garantir que ele não esteja introduzindo malware na rede. Uma forma de combater essas ameaças criptografadas é implantar uma solução de “air gap” SSL, que consiste em posicionar um Controlador de Entrega de Aplicações (ADC) em cada extremidade da cadeia de visibilidade. O ADC mais próximo dos usuários descriptografa o tráfego de saída e encaminha as comunicações descriptografadas pelos dispositivos de segurança. Esses dispositivos, que agora conseguem visualizar o conteúdo, aplicam políticas e controles, detectando e neutralizando malware. Na outra extremidade da cadeia, outro ADC criptografa novamente o tráfego à medida que ele sai do data center. Essa solução oferece a flexibilidade de manter os dispositivos de segurança em linha, garantindo que possam desempenhar a função para a qual foram projetados.
Proteção contra DDoS
Hoje, a maioria dos aplicativos é baseada na Internet, portanto, um ataque DDoS volumétrico pode comprometer — ou até mesmo derrubar — um aplicativo. Os ataques DDoS estão aumentando em escala e complexidade, ameaçando sobrecarregar os recursos internos de empresas em todo o mundo. Esses ataques combinam o congestionamento causado por tráfego de alto volume com técnicas furtivas direcionadas a aplicativos — tudo com o objetivo de interromper o serviço para usuários legítimos.
As organizações devem garantir a implementação de uma estratégia robusta de proteção contra DDoS para assegurar a disponibilidade de suas aplicações críticas. Considere soluções que ofereçam proteção abrangente e multicamadas, da L3 à L7, e que possam interromper ataques DDoS na nuvem antes que eles atinjam a rede e o data center.
Segurança de DNS
Embora não faça parte da visão tradicional de segurança de aplicações baseada em práticas de codificação segura, a estratégia de DNS de uma empresa desempenha um papel fundamental na segurança e na disponibilidade de suas aplicações. O DNS é a espinha dorsal da Internet, além de ser um dos pontos mais vulneráveis da rede de uma organização. As organizações devem se proteger contra uma variedade cada vez maior de ataques de DNS, incluindo inundações de consultas de amplificação de DNS, ataques de dicionário e envenenamento de DNS.
Uma empresa pode garantir que clientes — e funcionários — tenham acesso a serviços essenciais de web, aplicativos e bancos de dados sempre que precisarem, por meio de uma solução que gerencie de forma inteligente o tráfego global, mitigue ameaças complexas bloqueando o acesso a domínios de IP maliciosos e se integre perfeitamente a fornecedores terceirizados para implementação, gerenciamento centralizado e manuseio seguro de chaves DNSSEC. Algumas soluções oferecem DNS de alto desempenho, capaz de escalar rapidamente para absorver melhor ataques DDoS.
Detecção de fraudes na web
Há cinquenta anos, se você quisesse assaltar um banco, teria que ir pessoalmente até lá. Hoje, é possível assaltar um banco a 8.000 quilômetros de distância. A natureza global da Internet faz com que tudo esteja à mesma distância para os criminosos, e as instituições financeiras estão entre os alvos mais valiosos da Internet. Para combater com eficácia os riscos de fraude, as organizações que oferecem serviços financeiros pela Internet precisam proteger seus negócios com uma combinação de tecnologias de segurança.
Considere uma solução que ajude a proteger contra uma ampla variedade de vetores de ameaça de fraude, impedindo que invasores falsifiquem, desativem ou contornem de alguma outra forma as verificações de segurança. Assim, as organizações podem reduzir o risco de perdas financeiras e de propriedade intelectual — e contar com a tranquilidade de uma proteção proativa contra ameaças emergentes na Web e fraudes.
Controles de acesso
Algumas das violações de segurança mais recentes e prejudiciais ocorreram devido ao comprometimento das credenciais de usuários e administradores. Essas violações poderiam ter sido evitadas por meio da autenticação e autorização das pessoas certas para acessar as informações adequadas e da garantia de conectividade segura com os aplicativos, usando tecnologias de logon único e autenticação multifator. Além disso, os controles de identidade e acesso centralizados pela empresa podem fornecer autenticação segura entre a rede corporativa e os aplicativos baseados na nuvem ou oferecidos como Software como Serviço (SaaS).
Conclusão: o futuro da proteção de aplicações
A proteção de aplicações é extremamente complexa e, com o crescimento exponencial da Internet das Coisas e das aplicações associadas a ela, os desafios só aumentam. Em 2010, havia 200 milhões de aplicações web; hoje, há quase um bilhão.2 (https://www.f5.com/resources/white-papers/the-present-and-future-of-application-protection#footnote02) Em 2020, esse número poderia facilmente chegar a cinco bilhões. Todas essas aplicações são vetores de vulnerabilidade — e muitas delas contêm dados críticos que podem ser alvo de invasores.
Ao aprimorar os portfólios de segurança existentes com soluções e serviços voltados para a camada de aplicações, as organizações podem proteger melhor os aplicativos que podem expor seus dados confidenciais. É fundamental garantir que os aplicativos estejam protegidos, independentemente de onde estejam hospedados — e há muito em jogo.
É hora de ampliar a visão sobre a segurança de aplicações para que as organizações estejam mais bem preparadas para proteger com eficácia todos os componentes que compõem suas aplicações críticas, manter seus dados seguros e proteger seus negócios.
1 Sandvine, Destaque sobre fenômenos globais da internet: criptografia do tráfego da internet, 2015.
PUBLICADO EM 24 DE FEVEREIRO DE 2016