Compreendendo as Vulnerabilidades de Software

Neste artigo vamos analisar de uma forma geral o que representa as vulnerabilidades para as organizações e para as pessoas, nomeadamente qual a origem e seu o seu impacto.

Uma vulnerabilidade, múltiplos vectores:

• Rede Remota
• Rede Local
• Sistema local

Falhas com origem no código de aplicação devido a:

• Falha de segurança
• Erros funcionais

Onde estão essas aplicações:

• Servidores
• PCs, Portáteis, VMs
• Dispositivos móveis
• Impressoras, switch’s e router’s
• Appliances domésticas/empresariais

 

Da vulnerabilidade à ameaça

---

1. Um hacker identifica uma vulnerabilidade
2. Desenvolve uma forma de utilizar a vulnerabilidade para manipular a aplicação, dando origem a um exploit
3. O exploit é executado com sucesso
4. O hacker faz a festa.

Ameaças múltiplas

---

• Uma única vulnerabilidade pode ter diversos exploits
• As defesas mais comuns protegem exploits, não vulnerabilidades

 

Gestão de Riscos

---

• Conhecimento de vulnerabilidade e ameaças
• Nem todas as vulnerabilidades representam risco idêntico.
• Conhecimento de todos os equipamentos
• Nem todos os equipamentos têm, ou precisam, do mesmo nível de segurança

 

Visão global de vulnerabilidade, factos

Em 2013:

• 10 falhas zero-day foram descobertas nas 50 aplicações mais populares
• 14 falhas zero-day foram descobertas no total na generalidade das aplicações
• 13,073 vulnerabilidades foram descobertas em 2289 produtos vulneráveis
• Aumento de 45% em vulnerabilidades (tendência 5 anos)
• 79% das vulnerabilidades tiveram um patch disponível no dia em que foram divulgados.

Isto significa que é possível corrigir a maior parte das vulnerabilidades, e que as empresas e utilizadores finais têm fortes probabilidades de ter uma solução disponível para a origem do problema das suas falhas de segurança originadas nas vulnerabilidades do software.

Fonte: “Secunia Vulnerability Review 2014”

Novas e velhas ameaças

---

“Houve um aumento surpreendente de incidentes envolvendo o work Conficker, apesar de ter sido disponibilizado uma patch desde 2008.”

Fonte: “Information Security Breaches Survey 2013.” Technical Report. PwC

“Criando um código malicioso não é nenhuma ciência impossível: Em 2012, uma criança com 11 anos de idade desenvolveu um Trojan para roubar dados de login de jogadores online.”

Fonte: “AVG Community Powered Threat Report.” Q4 2012. AVG

Ao que estamos sujeitos

---

Fonte: Microsoft Security Intelligence Report volume 11 

É interessante analisar este gráfico que nos dá várias métricas e informação de análise, desde o momento em que é reportada a falha, até que é lançado o update. Devemos ainda considerar que que antes de ser reportada a falha pode já estar a ser explorada.

Mais curioso ainda é analisar a quantidade de ataques, sendo que há um pico de ataques no momento em que é lançada a atualização, surgindo no 1º mês seguintes uma maior intensidade dos ataques e no 2º mês após a falha ter sido detetada, dão-se ataques intensivos.

 

O que vulnerabilidades não resolvidas podem fazer

---

Departamento de Energia dos EUA

• A exploração das vulnerabilidades dos seus sistemas de informação causaram um roubo de informação pessoal de mais de 104.000 individuos
• Os atacantes neste caso foram capazes de utilizar exploits bem conhecidos e disponibilizados na internet, para ganhar acesso aos sistemas relevantes e retirar grande quantidade de dados
• informação que pode afectar os interesses pessoais e financeiros de muitos individuos.

Custos de limpeza:

• um valor estimado de 1,6 milhões de dólares (monitorização de crédito e de trabalho), mais 2,1 milhões devido a perdas de produtividade.

Universidade da California, Berkeley

• Milhões de tentativas de ataque registadas, numa base semanal.
• O tempo entre o anúncio da vulnerabilidade e quando são verificados os primeiros ataques tornaram-se cada vez mais curtos. Falamos de dias, e por vezes horas.

Snapchat

• Esta popular aplicação de troca de envio de fotos orientada principalmente ao mercado mais jovem, foi atingida por uma falha de segurança devido a uma vulnerabilidade.
• Especificamente, a relutância da empresa Snapchat em resolver os problemas de segurança levou a que fossem roubados nomes e números de telefones de 4,6 milhões de utilizadores da aplicação.

Facebook

• Cerca de 6 milhões de utilizadores foram afectados por uma vulnerabilidade de software, resultando na exposição de informação pessoal (ex: emails e números de telefone) durante cerca de 1 ano após o erro de software ter sido corrigido.
• Adicionalmente, o Facebook detetou uma infeção causada por malware em portáteis de diversos funcionários em Fevereiro, levando a que houvesse ataques direcionados aos programadores que visitassem o site de desenvolvimento que tinha sido comprometido.

Fontes:
“Department of Energy’s July 2013 Cyber Security Breach.” Special Report: IG-0900. Energy.gov. Dezembro 2013
“Universities Face a Barrage of Cyberattacks.” The New York Times. Julho 2013
“Technologists scold Snapchat for poor security.” USA Today, Janeiro 2014
“Top 10 Security Breaches of 2013.” CRN, Dezembro 2013

 

Custos operacionais por incidente de segurança

---

• Linha da frente (possui ferramentas e estratégias)
• Bombeiros (age sobre necessidade e solicitação; medidas reactivas)
• Líderes (um consultor de segurança, com medidas preventivas e monitorização)

 Fonte: “Defending Yesterday – The Global State of Information Security Survey 2014”, PWC, CIO magazine, CSO magazine, 2013

Investigação de vulnerabilidades

---

• Investigação, descobrindo e coordenando a divulgação de vulnerabilidades ajuda a melhorar a segurança geral e performance quer para os negócios, quer para os utilizadores
• As vulnerabilidades no software variam como elas podem expor máquinas e ambientes
• Compreendendo os riscos relacionados com cada vulnerabilidade permite que sejam classificados de acordo com o nível de importância
• O ponto anterior permite prioritizar o esforço de mitigação e de enfoque nas operações de segurança
• Investigação é um elemento chave no tratamento e resposta das vulnerabilidades.

 

Gestão de vulnerabilidades

---

As brechas vão continuar a acontecer, como tal devemos considerar:

1. Incluir segurança da informação como parte da estratégia do negócio
2. Desenvolver políticas e obrigar a que essas políticas estejam alinhadas com a estratégia
3. Focar em reduzir a área de ataque ou possibilidades de ataque
4. Preparar para responder a falhas
5. Monitorizar e reportar as actividades
6. Estar informado e acompanhar sobre o panorama das vulnerabilidades e ameaças

 

Advertisement

Tendências para 2011

Com a passagem para o ano novo, diversos analistas nacionais e internacionais de TI fazem as suas antevisões das tendências para este ano de 2011. Com este post pretendo fazer uma compilação das que considero mais viáveis e que serão realmente implementadas já neste ano.

 

• Mais Ataques, Mais Segurança

A segurança sempre foi um elemento chave para as organizações, com as empresas a colocarem cada vez mais informação na Web e com sistemas de informação cada vez mais complexos, a segurança passará a ser algo que as empresas terão de se preocupar cada vez mais. Por outro lado, também haverão mais ataques pois os motivos para atacar são ainda mais do que no passado.

Deixará de haver ataques de Correio Electrónico (SPAM), passando as redes sociais a serem o novo alvo.

• Social na Organização

Já temos vindo a assistir em 2010 a um crescimento enorme na ligação entre as empresas e as redes sociais. Para este ano de 2011, essa ligação passará a ser algo comum e à qual as organizações, independentemente da sua dimensão, terão de se adaptar para serem competitivas. Actualmente, apesar das empresas se manifestarem numa componente social, ainda existe a distinção entre ’empresa’ e ‘rede social’, prevê-se que este ano essa distinção deixe de existir, pois o trabalho diário da empresa estará integrada com as redes sociais.

• Comunicações Móveis nas Crianças

Temos vindo a constatar nos últimos anos que o contacto com a tecnologia nos mais novos começa cada vez mais cedo, levantando novos problemas e preocupações. No entanto, acaba por ser muito complicado regular certas situações, como proibir o acesso a computadores e telemóveis, quando há diversas maneiras das crianças terem acesso à mesma. As tecnologias são cada vez mais fáceis e automáticas, permitindo que as crianças passem também a tirar muito do potencial das máquinas que antigamente só os adultos conseguiam tirar. As crianças passarão a ter uma palavra a dizer no uso da tecnologia e na componente social.

Também será possível fazer mais com um telemóvel, as aplicações serão mais ricas e haverá novas possibilidades para o marketing móvel. As tecnologias e as aplicações irão tirar mais partido da posição das pessoas para tornar mais fácil a comunicação entre pessoas conhecidas ou que se encontrem num determinado lugar.

• Video-conferência, trabalho colaborativo via Online

As empresas deverão apostar mais na video-conferência e trabalho colaborativo online pelo facto que os processos produtivos obrigam a que o trabalho seja exercido a qualquer hora, em qualquer lugar, dando lugar a empresas cada vez mais online, cada vez menos será preciso estar no escritório a trabalhar, podendo estar em qualquer parte do mundo, acedendo à informação e comunicando com os outros trabalhadores quase como se estivessemos com elas. Os meios de comunicação serão mais rápidos, mais fáceis, mais intuitivos.

• Reestruturação e Adaptação das Infra-estruturas Informáticas

As empresas terão de reestruturar e repensar a forma como comunicam, obrigando-as a alterar o sistema de informação. Questões como a interoperabilidade entre aplicações, a performance, segurança e a disponibilidade e consumo de serviços (muitos em forma de Web Services) serão preocupações que irão ocupar o tempo dos administradores de sistemas.

Ao nível das Tecnologias de Informação, há muito trabalho a fazer nas nossas empresas, é preciso ter a noção que as TI estão a mudar como as empresas trabalham, como tal, deve haver um esforço conjunto entre todos para que os processos sejam bem pensados e desenvolvidos e que resolvam os problemas das empresas, assim como sirvam de suporte para que seja possível obter os resultados desejados.

O Petróleo do Futuro

Certamente já repararam que estamos a viver uma altura em que as T.I. estão claramente a destacar-se ao fazer com que a informação das pessoas e das empresas seja despejada na Web. Por um lado, esta tendência leva a que a informação seja acessível a partir de qualquer lugar, a qualquer altura, no entanto, será tudo perfeito?

Obviamente que Não! Questões como a segurança e a privacidade da informação estão a obter um enorme relevo exactamente porque começa a haver falta de controlo por parte da informação que é colocada online.

Um exemplo deste fenómeno é a famosa rede social Facebook que tem sido constantemente obrigada a facilitar e permitir uma maior segurança da informação das pessoas. O Facebook tem neste momento mais de 500 milhões de utilizadores activos e os seus utilizadores passam mais de 700 biliões de minutos online por mês (ver estatítiscas aqui), olhando para o perfil de cada pessoa, é fácil imaginar a quantidade de informação que esta empresa tem em sua posse, tornando-a um alvo apetecível para qualquer organização, para o próprio Facebook e seus investidores, ou, inclusivamente, para pessoas mal intencionadas.

Cada vez mais distante vai o tempo em que as petrolíferas e os investidores do petróleo dominam o mundo derivado à sua dependência generalizada, passando as Tecnologias de Informação a ser a nova dependência mundial.

Com a intensificação da aposta na Cloud Computing (ver definição), com empresas de relevo na área como a Google e a Microsoft a apostar cada vez mais nessa vertente, disponibilizando aplicações e recursos online, as organizações e as pessoas passarão cada vez mais a colocar o seu trabalho e a sua informação online, dependendo cada vez mais da Web.

Se por um lado há vantagens em colocar a informação online, por outro surgem muitas perguntas:

• até que ponto será seguro?
• que informação se pode colocar online?
• que dependências existem ou podem vir a existir?
• como podem os profissionais de T.I. contribuir para garantir o sucesso e eficácia desta tendência?

Pretendo com este blogue responder a estas e outras perguntas através da análise e discussão de ideias e publicação de notícias da área de T.I..