O que um ataque pode nos revelar?

*** artigo publicado na revista RTI, agosto/2013 ***

O que um orçamento de 100 milhões de dólares em segurança da informação significa para você, caro leitor? Pois esse foi o valor gasto pela FIS - Fidelity Information Services – após a grande invasão e fraude que ocorreu na empresa em 2011. Para aqueles que não se recordam do caso, a FIS é uma empresa americana e prestadora de serviços a vários bancos e instituições financeiras, com atuação global. Em Maio de 2011 a empresa reconheceu em seu relatório trimestral que sofreu uma invasão que resultou em perdas de 13 milhões de dólares. Embora sem especificar detalhes, soube-se que hackers invadiram os sistemas de controle dos cartões de débito pré-pago da companhia e alteraram os limites de 22 cartões pré-pagos de débito de um dos seus clientes. Depois esses cartões foram clonados e espalhados pelos mundo, e saques foram realizados simultaneamente na tarde de um domingo em vários países da Europa. Enquanto os saques eram realizados, os hackers continuavam dentro dos sistemas de controle de saldo dos cartões, aumentando-os quando estes chegavam a zero.

Após a invasão milionária a empresa sofreu sucessivas auditorias do Federal Deposit Insurance Corp. (FDIC), órgão de seguros do mercado financeiro dos Estados Unidos. Dados do último relatório dessas auditorias foram relevados no blog KrebsOnSecurity, e ilustram com mais detalhes os problemas e desafios enfrentados por companhias desse tamanho. O relatório não é bom para a empresa americana, principalmente por revelar que a invasão foi mais extensa do que publicado inicialmente, e também porque dados de vários outros clientes, aparentemente não afetados no ataque, foram extraidos e poderiam ser utilizados em novas ações. Para começar os auditores identificaram atrasos na integração de sistemas e redes de empresas adquiridas pela FIS nos últimos anos, no entanto reconheceram a complexidade em um projeto que consiste de “aproximadamente 30 mil servidores e sistemas operacionais, outros 30 mil dispositivos de rede, mais de 40 mil estações de trabalho, 50 mil circuitos de rede e 28 mainframes rodando 80 partições lógicas”. É claro que não é fácil assegurar uma rede desse tamanho, principalmente quando vem de empresas adquiridas e desconhecidas. Foram listados também “18.747 vulnerabilidades de rede e mais de 291 vulnerabilidades de aplicação”. Essas varreduras também revelaram mais de 10 mil ocorrências de senhas default no ambiente, assim como senhas em branco.  Outro problema é que a habilidade dos investigadores em identificar a origem da invasão foi seriamente afetada porque o pessoal de resposta a emergências apagaram e reinstalaram vários sistemas comprometidos na tentativa de restabelecer as operações normais, antes que estes pudessem ser analisados.

Obviamente é fácil criticar quando temos a visão privilegiada do observador, e meu objetivo é listar quatro aprendizados para melhorar a segurança da informação em nossas empresas:

Aparências enganam

Em um ataque hackers podem colher informações para ataques futuros, portanto, quando vítima de uma quebra, não se limite a analisar os alvos aparentes de um ataque. Não se contente em dizer que “apenas sistemas de pouca relevância foram afetados” e esquecer a questão. Sementes para outras invasões podem ter sido plantadas. Dessa forma a investigação e revisão de segurança devem se estender por toda a rede, por mais custoso que isso possa ser, inclusive para sua carreira na empresa. É da natureza humana minimizar ocorrências para nossos chefes, mas será muito pior se o que inicialmente dissemos ser  “algo pequeno” se revela depois algo bem mais destrutivo.

Prepara-se para o pior

É essencial que empresas de todos os portes e segmentos possuam um plano de resposta a incidentes, no intuito de preservar não só os ativos da empresa mas também as evidencias dos ataques, permitindo que investigadores possam identificar autores e métodos, e impedir quebras futuras. Esse é o ponto falho mais comum nos planos. Como muitas empresas não possuem sistemas redundantes a única alternativa face a um ataque é restabelecer rapidamente os servidores para que as operações voltem ao normal. Isso ocorre mesmo em grandes empresas e preservar ou não servidores atacados é uma decisão que deve ser tomada pelos executivos. Mas há alternativas como gerar imagens dos sistemas afetados antes de estes serem recuperados. Pode atrasar o restabelecimento da rede mas salvar a investigação e impedir novas ocorrências.

Priorize

Priorizar vulnerabilidades é essencial, e para isso é também essencial que se conheça os níveis de importancia de cada servidor e sistema para os negócios da empresa. Mas primeiro devemos reconhecer que detecção de vulnerabilidades não é gerenciamento de vulnerabilidades. Não basta executar varreduras e depois enxugar gelo tentando corrigi-las. O primeiro passo é trabalhar em um inventário realista de equipamentos e sistemas, onde o valor de cada um é corretamente avaliado. As primeiras vulnerabilidades a corrigir são as de alto risco que afetam sistemas altamente críticos. Deve-se também coletar inteligência de ataques e acrescentar a essa equação a probabilidade da vulnerabilidade ser invadida, medido pela existência de exploits ativos. Lembremos também que a probabilidade de invasão é reduzida ou eliminada se há um sistema bem configurado de prevenção de intrusos ou se as portas TCP/IP estão bloqueadas nos firewalls, caso isso seja possível.

Segurança também é cultura

Há algo errado quando funcionários de TI, mesmo trabalhando em uma companhia que preza a segurança da informação, continuam a não alterar senhas default de sistemas. Esse fato revela a falta de uma cultura de segurança e um imenso risco para as operações, não importa quanto se gaste em controles e sistemas de segurança.  Não me canso em repetir que segurança é como qualidade, ou se faz diariamente ou não temos nada. E funcionários que não julgam importante a segurança e a comprometem são pessoas que não compartilham da mesma cultura da empresa, e essa deve avaliar se vale a pena mantê-los.

Ajudando hackers a invadir sua empresa

Há algum tempo, um post no blog da Errata Security chamou minha atenção. Com o sugestivo título de “Cyberspyes #2” (http://erratasec.blogspot.com/2009/04/cyberspies-2.html), o autor comentava sobre uma notícia falsa, uma barriga no jargão do jornalismo, publicada nos dias 8 e 9 de abril, sobre supostas invasões à rede de distribuição de energia elétrica dos Estados Unidos por espiões russos e chineses. A notícia saiu em midias importantes dos Estados Unidos: Wall Street Jornal, BBC News, Reuters e CNN. Como a característica principal da Internet é a velocidade da informação, comprometendo obviamente sua qualidade, a noticia foi replicada em diversos blogs e sites mundo afora. A revelação da barriga saiu da própria comunidade de segurança, incluso de profissionais independentes que são contratados para testar os sistemas de infraestrutura norte-americanos.

Notícias sobre invasões digitais e cyberwar saem a toda hora, há muitos anos. Algumas são verídicas, outras simplesmente alarmistas. Mas nessa história da suposta espionagem à rede elétrica dos Estados Unidos, o artigo mais interessante foi publicado ainda em abril no site do Economist (http://www.economist.com/opinion/displaystory.cfm?story_id=13527677). Nele o jornal discute a possível origem da notícia falsa: uma disputa interna entre diferentes órgãos de segurança interna dos Estados Unidos por espaço e fundos dentro do novo orçamento que o governo Obama irá definir para segurança digital. Caso o Economist esteja correto, essa versão é mais assutadora que a notícia de espionagem e vulnerabilidade da infraestrutura do país mais poderoso do mundo. Os próprios responsáveis pela segurança nacional estariam plantando notícias, e imagina-se o que mais, para desfrutar de mais poder e dinheiro.

Alguns dias antes desse fato, a CNN publicou um artigo sobre as vulnerabilidades do “Smart Grid”, a rede de distribuição elétrica inteligente, iniciativa criada para reduzir custos e aumentar e eficiência do sistema. O objetivo do Smart Grid, uma iniciativa em escala global, porém prioridade do governo dos Estados Unidos, é modernização das redes de transmissão e distribuição de energia através do emprego de uma série de equipamentos e software. O título do artigo “Smart Grid pode ser vulnerável a hackers” soa um tanto óbvio para especialistas de segurança, e possui um tom alarmista desnecessário. A modernização via o Smart Grid irá adicionar novas vulnerabilidades ao sistema que controla energia, seja qual for o país que o implemente, não porque seja ruim, mas porque qualquer sistema de informática ou transmissão de dados possui vulnerabilidades, tal qual redes de telefonia VoIP, internet banking e votação eletrônica. O fato desses sistemas possuirem vulnerabilidades não significa que não devam ser usados, e sim que devem ser implementados controles para mitigar o risco dessas delas serem exploradas. Alardear que a implantação deve ser retardada até que suas vulnerabilidades sejam sanadas não faz nenhum sentido. Se fôssemos seguir a regra não teriamos hoje em dia nem a web mais básica.

Então sempre é bom recordarnos de alguns conceitos elementares, que nunca ficarão obsoletos:
1. Qualquer sistema de informática possui vulnerabilidades
2. Qualque sistema possa ser invadido por alguém que possua conhecimento, acesso e motivação para tal. Não há sistema 100% seguro.
3. Risco é o resultado da equação vulnerabilidades x ameaças x valor do ativo. Portanto o aumento do nível de vulnerabilidades não significa que os riscos serão aumentados irremediavelmente. Novas vulnerabilidades são compensadas por controles que reduzem a exposição a ameaças.
4. Se o dito ativo ou sistema não possui valor, e não pode ser usado para invadir outros sistemas, esqueça. Não desperdice dinheiro com ele.
5. O guia dos investimentos deve ser o valor dos ativos. Identificando-se os ativos mais importantes deve-se atuar sobre vulnerabilidades e ameaças.

Esses fatos são uma boa oportunidade para procurar em nossas empresas ocorrências semelhantes. Boas idéias não devem ser descartadas somente porque possuem riscos. Estes devem ser tratados. É função da área de segurança procurar o equilibrio e indicar o caminho com menor risco para implementar a idéia. Normalmente boas idéias estão associadas a bons negócios e uma má implementação, não segura, pode simplesmente destrui-la. Assim a área de segurança se torna uma peça fundamental para os negócios de qualquer empresa: viabilizar seus negócios através de meios digitais. Qualquer coisa diferente disso é paranóia inútil. Por outro lado, ignorar a importância das medidas de mitigação de riscos, portanto da área de segurança, nos novos negócios e implementações, achando que as tecnologias tem a segurança nelas embutidas é achar que o mundo é cor de rosa. Pura inocência.

Uma das coisas que mais atrapalham a implementação bem sucedida de controles de segurança são as disputas entre departamentos, muito similar às disputas entre os órgãos do governo americano. Elas, além de nada ajudar, ainda pioram a situação porque ajudam a manter abertas vulnerabilidades que podem ser exploradas, as janelas de oportunidade dos hackers. O nível de segurança e vulnerabilidade deve ser divulgado como é, nem a mais, nem a menos. Esconder vulnerabilidades ajudam invasores, sejam programas ou pessoas, já que as falhas omitidas não são corrigidas. Disputas internas quase sempre levam a empresa a gastar onde não deve, com prioridades erradas.

Vulnerabilidades e Ameças para Web e Phishing

O IBM X-Force, a equipe de pesquisa e inteligência em segurança da IBM Internet Security Systems, publicou neste mês o seu relatório de meio de ano, analisando as ameaças e vulnerabilidades do ano, além das tendências para o segundo semestre de 2008. Essa análise no meio do ano é uma ótima oportunidade para analisarmos a situação geral da segurança digital, comparar com a estratégia e ações adotadas e realizar desde já ajustes de rota. O relatório está disponível no endereço http://www-935.ibm.com/services/us/iss/xforce/midyearreport e vale a pena ser lido.

Boa parte do relatório está focado na análise de vulnerabilidades e ameaças para aplicações web. O primeiro dado importante é que ele confirma as tendências anunciadas no ano passado que indicavam o ambiente web – browser, plugins, aplicações – como o novo foco e alvo principal do crime digital, evidenciando que as empresas precisam acompanhar e ajustar o foco de sua estratégia, destinando recursos para a proteção de aplicações web. É fato que a maior parte das empresas ainda é lenta em acompanhar movimentações do crime digital, o que nesse tema se traduz em ainda privilegiar e direcionar a maior parte dos recursos de segurança para a proteção do sistema operacional.

Alguns dados no relatório chamam bastante atenção. Aplicações relacionadas a web respondem por 51% de todas as vulnerabilidades mapeadas desde 2006, e 54% das que foram reportadas este ano. Esse dado dá a dimensão do problema, porém outro é ainda mais preocupante: 94% dos exploits (os programas de ataque) foram lançados no mesmo dia da publicação da vulnerabilidade, o que significa pouquissimo tempo de reação para empresas que ainda adotam essa postura em sua estratégia de segurança.

O relatório também aborda spams e phishing, com uma visão atualizada, e mostra como funciona a dinâmica no mundo do crime digital. Nos últimos anos os fabricantes de sistemas anti-spam investiram para sofisticar as tecnologias de detecção, passando a detectar spam em mensagens contendo apenas imagens, textos complexos ou estruturas de HTML complexas. Esse investimento surtiu efeito e a eficácia das mensagens spam em passar pelos sistemas de detecção reduziu bastante. E o que o X-Force observou? A substituição dessas técnicas pela de mensagens URL inseridas em textos pequenos, e o uso de URLs com pequena duração, o que dificulta a detecção.

Uma mensagem phising que está obtendo bastante sucesso aqui no Brasil falsifica uma mensagem do UOL charges, simulando que a vítima está recebendo uma charge enviada por um amigo ou parente. Ao infectar o computador, o programa envia novas mensagens para toda a lista de contatos da vítima. A mensagem é bem escrita e parece ser real. Apenas uma análise atenta da URL contida na mensagem levanta suspeitas, porém um usuário sem conhecimentos de informática dificilmente irá perceber a fraude. Adicionalmente, poucos antivirus detectam o programa com sucesso, o que se é de esperar já que muitos grupos estão utilizando técnicas de mutação de código para enganá-los. Por outro lado, o vírus é facilmente eliminado do computador e não utiliza técnicas rootkit, que tornam o vírus invisível até mesmo de programas avançados de detecção. Os rootkits mais avançados chegam a exigir uma completa reinstalação do sistema operacional.

A mensagem para gerentes de segurança é: fique sempre alerta e não descanse sobre uma ameaça aparentemente vencida. Para isto, três atividades são essenciais: informação, monitoração e análise. Informação para acompanhar o que está ocorrendo no mundo e não ser pego de surpresa. Para isto as empresas contam com serviços gratuitos e pagos disponíveis para todos os orçamentos e perfis. No site da IBM é possível obter gratuitamente informações sobre o nível de risco atual, vulnerabilidades e ameaças. Pela monitoração a empresa pode detectar rapidamente uma tentativa ou inicio de invasão, e medir a eficiência de seus dispositivos de proteção. Porém, mas do que acompanhar eventos, pela monitoração se pode identificar tendências, o que serve para a análise dessas tendências de ataque a empresa em relação às tendências mundiais, e a definição de ações imediatas e médio prazo, além de prover insumos para o planejamento de longo prazo em segurança.

RFID é Seguro?

Uma das tendências apontadas para 2008 é o aumento de ocorrências de segurança nos sistemas de identificação por rádio-frequência ou RFID. Analistas já falam de vulnerabilidades nos sistemas de RFID há anos, mas só agora esse problema está chamando atenção, por certo acompanhando o crescimento das implementações de soluções nele baseadas.

Quais as ameaças associadas com sistemas RFID? Se os órgãos de trânsito realmente implementarem controle de veículos por RFID qual ameaças que os condutores estarão sujeitos –além é claro dos criminosos de plantão nas esquinas e sinais de trânsito? Quais as ameaças que uma empresa está sujeita quando controla estoque e logística por RFID? O assunto é extenso, como sempre é em segurança digital.

O primeiro erro de segurança em RFID é pensar que as vulnerabilidades são menores apenas porque o sistema é baseado em hardware (microchips). Como qualquer outro dispositivo de informática os microchips usados também podem ser tão vulneráveis quanto um software. Um fator de preocupação é que a indústria, na busca de chips mais baratos está simplificando-os, o que em conseqüência reduz suas funcionalidades de segurança. Os chips em geral são passíveis de infecção por códigos maliciosos com objetivos diversos, incluindo a invasão do servidor de banco de dados. O invasor para isso teria que possuir um rádio capaz de conectar-se aos chips, o que não é nada complicado de obter. Inclusive um especialista mostrou na RSA Conference que é possível invadir um chip de RFID usando um telefone celular dotado de rádio. Um microchip infectado poderia derrubar sistemas de controle de estoques em indústrias ou em supermercados. Nos Estados Unidos alguns aeroportos utilizam RFID para controle de bagagens ou cargas.

Outro problema é o de espionagem. O microchip pode ser lido por sistemas de rádio intrusos, que podem inclusive estar fora da empresa. Embora irrelevante para a maior parte das pessoas comuns, essa técnica pode ser usada como método eficiente de espionagem industrial.

Outra ameaça interessa diretamente aos usuários: privacidade. Não só os chips podem ser lidos por sistemas intrusos, como os bancos de dados com milhões de informações sobre os portadores de chips – gerando informações valiosíssimas para uso indevido. Imagine o banco de dados do Detran de sua cidade com todo o mapeamento do percurso utilizado por você diariamente.

Mais uma vez a diferença se dá na implementar. Implementar um sistema de RFID sem pensar em segurança desde o início é garantia de dores de cabeça e custos maiore depois, como em qualquer outro sistema de TI.