O que um ataque pode nos revelar?

*** artigo publicado na revista RTI, agosto/2013 ***

O que um orçamento de 100 milhões de dólares em segurança da informação significa para você, caro leitor? Pois esse foi o valor gasto pela FIS - Fidelity Information Services – após a grande invasão e fraude que ocorreu na empresa em 2011. Para aqueles que não se recordam do caso, a FIS é uma empresa americana e prestadora de serviços a vários bancos e instituições financeiras, com atuação global. Em Maio de 2011 a empresa reconheceu em seu relatório trimestral que sofreu uma invasão que resultou em perdas de 13 milhões de dólares. Embora sem especificar detalhes, soube-se que hackers invadiram os sistemas de controle dos cartões de débito pré-pago da companhia e alteraram os limites de 22 cartões pré-pagos de débito de um dos seus clientes. Depois esses cartões foram clonados e espalhados pelos mundo, e saques foram realizados simultaneamente na tarde de um domingo em vários países da Europa. Enquanto os saques eram realizados, os hackers continuavam dentro dos sistemas de controle de saldo dos cartões, aumentando-os quando estes chegavam a zero.

Após a invasão milionária a empresa sofreu sucessivas auditorias do Federal Deposit Insurance Corp. (FDIC), órgão de seguros do mercado financeiro dos Estados Unidos. Dados do último relatório dessas auditorias foram relevados no blog KrebsOnSecurity, e ilustram com mais detalhes os problemas e desafios enfrentados por companhias desse tamanho. O relatório não é bom para a empresa americana, principalmente por revelar que a invasão foi mais extensa do que publicado inicialmente, e também porque dados de vários outros clientes, aparentemente não afetados no ataque, foram extraidos e poderiam ser utilizados em novas ações. Para começar os auditores identificaram atrasos na integração de sistemas e redes de empresas adquiridas pela FIS nos últimos anos, no entanto reconheceram a complexidade em um projeto que consiste de “aproximadamente 30 mil servidores e sistemas operacionais, outros 30 mil dispositivos de rede, mais de 40 mil estações de trabalho, 50 mil circuitos de rede e 28 mainframes rodando 80 partições lógicas”. É claro que não é fácil assegurar uma rede desse tamanho, principalmente quando vem de empresas adquiridas e desconhecidas. Foram listados também “18.747 vulnerabilidades de rede e mais de 291 vulnerabilidades de aplicação”. Essas varreduras também revelaram mais de 10 mil ocorrências de senhas default no ambiente, assim como senhas em branco.  Outro problema é que a habilidade dos investigadores em identificar a origem da invasão foi seriamente afetada porque o pessoal de resposta a emergências apagaram e reinstalaram vários sistemas comprometidos na tentativa de restabelecer as operações normais, antes que estes pudessem ser analisados.

Obviamente é fácil criticar quando temos a visão privilegiada do observador, e meu objetivo é listar quatro aprendizados para melhorar a segurança da informação em nossas empresas:

Aparências enganam

Em um ataque hackers podem colher informações para ataques futuros, portanto, quando vítima de uma quebra, não se limite a analisar os alvos aparentes de um ataque. Não se contente em dizer que “apenas sistemas de pouca relevância foram afetados” e esquecer a questão. Sementes para outras invasões podem ter sido plantadas. Dessa forma a investigação e revisão de segurança devem se estender por toda a rede, por mais custoso que isso possa ser, inclusive para sua carreira na empresa. É da natureza humana minimizar ocorrências para nossos chefes, mas será muito pior se o que inicialmente dissemos ser  “algo pequeno” se revela depois algo bem mais destrutivo.

Prepara-se para o pior

É essencial que empresas de todos os portes e segmentos possuam um plano de resposta a incidentes, no intuito de preservar não só os ativos da empresa mas também as evidencias dos ataques, permitindo que investigadores possam identificar autores e métodos, e impedir quebras futuras. Esse é o ponto falho mais comum nos planos. Como muitas empresas não possuem sistemas redundantes a única alternativa face a um ataque é restabelecer rapidamente os servidores para que as operações voltem ao normal. Isso ocorre mesmo em grandes empresas e preservar ou não servidores atacados é uma decisão que deve ser tomada pelos executivos. Mas há alternativas como gerar imagens dos sistemas afetados antes de estes serem recuperados. Pode atrasar o restabelecimento da rede mas salvar a investigação e impedir novas ocorrências.

Priorize

Priorizar vulnerabilidades é essencial, e para isso é também essencial que se conheça os níveis de importancia de cada servidor e sistema para os negócios da empresa. Mas primeiro devemos reconhecer que detecção de vulnerabilidades não é gerenciamento de vulnerabilidades. Não basta executar varreduras e depois enxugar gelo tentando corrigi-las. O primeiro passo é trabalhar em um inventário realista de equipamentos e sistemas, onde o valor de cada um é corretamente avaliado. As primeiras vulnerabilidades a corrigir são as de alto risco que afetam sistemas altamente críticos. Deve-se também coletar inteligência de ataques e acrescentar a essa equação a probabilidade da vulnerabilidade ser invadida, medido pela existência de exploits ativos. Lembremos também que a probabilidade de invasão é reduzida ou eliminada se há um sistema bem configurado de prevenção de intrusos ou se as portas TCP/IP estão bloqueadas nos firewalls, caso isso seja possível.

Segurança também é cultura

Há algo errado quando funcionários de TI, mesmo trabalhando em uma companhia que preza a segurança da informação, continuam a não alterar senhas default de sistemas. Esse fato revela a falta de uma cultura de segurança e um imenso risco para as operações, não importa quanto se gaste em controles e sistemas de segurança.  Não me canso em repetir que segurança é como qualidade, ou se faz diariamente ou não temos nada. E funcionários que não julgam importante a segurança e a comprometem são pessoas que não compartilham da mesma cultura da empresa, e essa deve avaliar se vale a pena mantê-los.

Espionagem e a NSA

Há muitos artigos e discussão na rede sobre a NSA e a espionagem que a agência vem executando. Para quem deseja entender melhor o tema eu recomendo o blog de Bruce Schneier. Além de ser um dos maiores especialistas mundiais em segurança e criptografia, ele teve acesso aos documentos de Edward Snowden. Ou seja, ele sabe do que está falando. Em especial recomendo esse post:
https://www.schneier.com/blog/archives/2013/09/how_to_remain_s.html

Reflexões sobre emails e (ilusões de) segurança

*** artigo publicado na revista RTI Julho/2013 ***

Esse ano decidi mudar o meu endereço pessoal de email. O que inicialmente parecia uma tarefa simples, alterar cadastro em sites e avisar aos amigos, se revelou um caminho longo e árduo (perdoem-me pelo clichê). Minha maior preocupação, avisar a todos os amigos, se revelou infundada, pois em  tempos de Facebook, Linkedin e outros quase ninguém se comunica mais via email. Eu não havia me dado conta disso, mas nos comunicamos profissionalmente, ainda, por email, mas com os amigos é via alguma rede social. O problema mesmo foi alterar o cadastro em 62 sites e serviços, isso já descontando os que decidi descartar. Mas essa é uma coluna de segurança, e essa novela provocou reflexões que gostaria de compartilhar.

A primeira delas é a mudança da função do email. Ao mesmo tempo que diminui sua importância no relacionamento pessoal, aumenta o seu papel na gestão do relacionamento entre fornecedores e clientes. A preocupação ambiental e a busca pela redução do uso de papel contribui ainda mais para esse fenômeno, e muitas das correspondências que recebiamos chegam hoje por correio eletrônico. Vejam que me refiro à administração das relações comerciais e não aos aspector promocionais, estes migrando também para as redes sociais, embora muito presentes nas centenas de spams que recebemos todos os dias. A questão é que o correio eletrônico é um veículo com muitas restrições no quesito segurança, principalmente quando consideramos que o intuito desse tipo de comunicação entre fornecedor e cliente é a pessoalidade. Acontece que os emails são abertos por definição a não ser que se use chaves de criptografia, e nenhuma empresa envia emails cifrados a seus clientes. Dessa forma qualquer um pode ver o conteúdo de uma mensagem enquanto ela trafega. Você pode argumentar que correspondência em papel também não são criptografadas, entretanto se alguém abrir um envelope dificilmente passará desapercebido pelo destinatário. O mesmo não ocorre com um email. Os bancos resolveram esse problema enviando extratos bancários e outras informações relevantes em anexos cifrados e/ou protegidos, mas a maior parte das outras empresas não. Minha dúvida é o quanto elas estão cientes de como precária é sua confidencialidade. Considerando as vezes que me pedem dados de cartão de crédito via email não creio que saibam todas as implicações.

Nesse processo de mudança de endereço alguns de meus fornecedores, e entre estes não há nenhuma instituição financeira, criaram inúmeros obstáculos para que eu alterasse o email. A empresa que mais criou dificuldade foi, por incrivel que pareça, uma companhia aérea, “por motivos de segurança” de acordo com ela, “porque a senha de resgate de pontos é enviada por email”. Assim me pediram para enviar, por email, copias de documentos e até de comprovante de residência, “para análise posterior”. E assim chego à minha segunda reflexão, que se refere a dois principios em segurança. O primeiro vou chamar de “teoria da dificuldade” e o segundo de “teoria do alerta”. A primeira, como iremos ver, resulta na maioria das vezes em uma confortável ilusão de segurança.

Na teoria da dificuldade o fornecedor tenta dificultar uma ação com o objetivo que o fraudador desista ou não consiga atender a todos os requerimentos. Algo como proteger uma bicicleta com um corrente bem grossa, na esperança do ladrão não consiga cortá-la ou que ache outra bicicleta mais fácil de roubar. Na falta da corrente grossa a pessoa tenta dificultar o acesso colocando obstáculos, outras bicicletas por exemplo. A principal falha dessa teoria é a falsa relação entre dificuldade e segurança.  Como veremos mais a frente algumas das melhores soluções são simples. A segunda falha é basear-se em premissas equivocadas. Essa companhia aérea acredita que é mais seguro exigir de seu cliente todo esse trabalho de escanear e enviar documentos por email que simplesmente confirmar dados por telefone, ou seja, partem da premissa que email é mais seguro que telefone. Por último, a falha de desconhecer ou ignorar que se um hacker tiver um alvo especifico, ele o invadirá, não importam os obstáculos. Foi o que aconteceu com o jornalista Matt Honan, tema de meu artigo aqui na RTI em Outubro de 2012.  Aliás, nessa mesma cia aérea, se um hacker invadir meu correio eletrônico ele conseguirá alterar a senha do site, precisando somente de mais alguns dados que podem ser obtidos sem dificuldade.

Já a teoria do alerta parte de outra premissa, muito mais realista. Se é impossível evitar o pior (pois não há 100% de segurança), que ao menos se possa avisar o cliente de todas as formas possíveis. Foi uma boa surpresa que a maioria dos sites se comportou dessa maneira. O melhor é que todas essas ações são simples e eficazes. A primera delas é enviar um aviso ao email anterior, comunicando a alteração. Assim, em caso do fraudador roubar o acesso ao site ou os dados pessoais do usuário, para uso por telefone, a possível vítima seria alertada. Ainda mais eficiente é cadastrar um endereço alternativo, e enviar um alerta também para essa conta. O primeiro caso exige que o hacker tome controle também do email atual do usuário, o segundo que até o email alternativo seja invadido. Os sites mais avançados também cadastram o telefone celular e enviam mensagens de texto alertando a mudança. No Google, por exemplo, o usuário pode ativar a segurança em duas camadas, exigindo assim que o hacker use um computador autorizado para mudar o endereço, mudança essa que será de qualquer forma avisada para os endereços cadastrados. Uma invasão teria que ser dessa forma generalizada e, portanto, bem mais complexa, até porque um acesso desde um computador ou local desconhecido também é alertado. Notem que aqui também há maior dificuldade, mas para o hacker e não para o cliente. Minha conclusão é que segurança não pode dificultar a vida do usuário e muito menos de um cliente, porque fazer isso significa atrapalhar os negócios.