Ameaças internas e cibersegurança: quais os impactos reais e controles mais efetivos?

QUANDO O ASSUNTO É CIBERSEGURANÇA TENDEMOS A FOCAR EM COMO NOS PROTEGER DO MUNDO EXTERNO EM DETRIMENTO DAS AMEAÇAS INTERNAS. Não que isso esteja exatamente errado: Ransonwares, ataques de negação de serviço, cibercriminosos em todos os locais do planeta e um número impossivelmente alto de fontes de ameaça e vulnerabilidades que podem expor o ambiente corporativo são o pesadelo para qualquer gestor de segurança da informação.

O problema é quando passamos a minimizar os controles que são direcionados para ameaças dentro de casa, incluindo nossos próprios colegas de trabalho, terceiros contratados ou visitantes. Não é nada interessante pensar que a pessoa que está sentada próximo a você pode estar pronta para cometer um ciberdelito, mas a realidade é que fontes internas podem ser tão ou mais impactantes que ataques externos, afinal, possuem conhecimento adquirido sobre o funcionamento da empresa, seus pontos fortes e fracos, e também credenciais e senhas de acesso válidas, que podem ser usadas como base para ataques extremamente direcionados que muitas vezes passam desapercebidos. Todo bom CISO deve buscar meios para frustrar ameaças internas. Mas qual é a maneira realmente efetiva de encarar esse desafio? Bem, vamos a alguns pontos essenciais:

Passo 1: Reconhecendo os tipos de ameaças internas

O primeiro ponto é bastante obvio, é necessário que você entenda as fontes de ameaça internas. Muitos incidentes de segurança ocorrem de maneira acidental, devido a falta de regras ou conhecimento por parte dos envolvidos. Um dos mais comuns são casos onde um colaborador sai da empresa e leva junto um “backup” dos seus e-mails, planilhas e documentos. Malicia? Imperícia? Imprudência? Não importa, é um vazamento de informações corporativas que podem ir parar nas mãos de concorrentes.

Os casos de incidentes deliberados também não são raros. Tive a oportunidade de prestar consultoria a uma empresa que teve o infeliz caso onde um setor inteiro pediu demissão. Haviam copiado todos os arquivos de projetos estratégicos, abriram uma nova empresa e em seguida venceram uma concorrência de mais de USD 10.000.000 que meu cliente estava trabalhando há mais de dois anos.

Pequenos abusos de privilégio também não são incomuns, especialmente dentro da área de TI. Por exemplo, enquanto é difícil encontrar pessoas que “adoram” seguir o processo de gestão de mudanças, não é nada raro ter conhecimento de casos onde a própria equipe de TI burlou regras e, por exemplo, implantou algo diretamente em produção. Parece algo inconsequente, não é? Até um outro cliente me contar como uma pequena alteração em configurações do seu firewall tornaram o sistema de vendas por cartão de crédito inoperante. Era uma grande empresa varejista brasileira, como a paralisação durou em torno de 2 horas, o montante de vendas perdido superou R$ 20.000.000,00 (sim, o valor foi esse mesmo, não errei na digitação…). Foi um preço bem alto para convencer a direção da necessidade de se implantar um plano de recuperação de desastres e melhorar boas práticas de gestão de serviços de TI.

Por fim, a infeliz realidade é que toda grande organização está sujeita a ter em seu quadro pessoas que são literalmente criminosos. Ocorrências de vendas de informações, sabotagens, espionagem, hacking, fraudes e corrupção são muito mais comuns do que imaginamos e – novamente – em boa parte das vezes não são descobertas a tempo.

Passo 2: Gerenciando riscos internos

Entender as fontes de ameaça é um ponto essencial, mas apenas isso não vai impedir a ocorrência de incidentes. Construir uma boa gestão de riscos é fundamental, assim como entender que o seu escopo deve estar alinhado a realidade da empresa. O que queremos proteger? Quais são os impactos reais que ocorrências de segurança podem causar? Quais são os controles atuais de segurança da informação e o que ainda precisamos implantar para garantir níveis adequados de proteção?

Todas essas são questões que devem ser respondidas não só uma vez, mas sim periodicamente, afinal a gestão de riscos é um processo contínuo, que vai exigir investimento e disciplina para poder ser realmente efetivo. Existem diversas publicações que podem ajudar CISOS a implantar um bom programa de gerenciamento de riscos, mas como o tema é segurança da informação recomendo particularmente a ISO 27005 em conjunto com o CobiT 5.

Passo 3: Usando a tecnologia para se proteger de ciberameaças

Existem inúmeras soluções focadas na proteção contra as mais recentes ciberameaças. Se você já sabe o que realmente precisa proteger, busque entender como a tecnologia pode trabalhar a seu favor. Machine Learning, IA, ATP, DLP são todas buzzwords que ficam maravilhosas em apresentações no Power Point, mas entenda que soluções tecnológicas devem estar bem alinhadas com a sua gestão de riscos. Afinal, comprar uma ferramenta apenas por que ela aparece como líder no quadrante mágico do Gartner pode ser um péssimo investimento se você não conseguir realizar o tratamento de riscos específicos ao seu cenário atual.

Será que estamos olhando para soluções que pensam somente nos riscos externos? Será que parte dos controles essenciais que usamos em sistemas publicados na internet não são deixados de lado quando são acessados apenas dentro de casa? Como andam suas trilhas de auditoria? Você consegue identificar quem fez o que e quando? Essas são perguntas que devem ser respondidas para tratar ameaças internas.

99% bom funcionário.. mas aquele 1% é cibercriminoso 🙂

Passo 4: Entendendo a importância dos processos para Segurança da Informação

Tecnologia não é o único fator que vai garantir uma boa proteção ao seu ambiente. Criar processos adequados a sua realidade deve ser uma prioridade para a gestão de segurança da informação. Uma boa gestão de identidades pode prevenir muitos casos de vazamento ou abuso de privilégios. Outro ponto interessante é ter um bom alinhamento com o departamento de recursos humanos, e em alguns casos específicos com o jurídico, sobre verificação de antecedentes e saúde financeira de novos colaboradores ou mesmo veteranos que ocupam posições críticas na organização. Esse é um tema delicado, mas um empregado que está passando por uma situação financeira difícil e tem acesso a ativos estratégicos da organização, pode se sentir tentado a cometer fraudes ou mesmo participar em ações de espionagem industrial, venda de informações sensíveis.

Um dos processos mais importantes é o de resposta a incidentes de segurança da informação. Muitas ocorrências passam dias, meses ou mesmo anos até ser descobertas. Nesse caso a única opção é aprender com os erros e assumir o impacto. Idealmente, uma boa gestão de incidentes deve ser efetiva na detecção e resposta de ocorrências de segurança independentemente se a origem é interna ou externa.

O fato é que processos são vivos, precisam amadurecer constantemente e tirar lições aprendidas de desvios e ocorrências impactantes. Mas nada disso vai bastar se sua equipe não estiver adequadamente treinada e disciplinada para seguir cada passo necessário. Processos que não são respeitados tendem a ser contornados e esquecidos, só são realmente lembrados quando algo dá errado, o que é bem provável nesse cenário.

Passo 5: Educando pessoas e mudando a cultura corporativa

Educação e cultura corporativa são os dois pontos relacionados a Segurança da Informação que mais me chamam atenção nos últimos anos. Infelizmente boa parte das vezes ambos são postos de lado justamente por que falta uma percepção real de sua importância como ferramenta disruptiva para criação de um novo patamar de proteção.

Pessoas muitas vezes são vistas como o elo mais fraco na segurança da informação, mas quando adequadamente treinadas e conscientes da importância que possuem na proteção do ambiente corporativo, funcionam extremamente bem como firewalls humanos. O primeiro passo é ter um bom entendimento da atual cultura corporativa buscar o apoio da alta direção na criação de um programa de conscientização sobre segurança da informação.

Mudar a forma como pessoas pensam e agem é bem mais demorado do que alterar uma configuração ou implantar uma nova tecnologia, mas no longo prazo o resultado é muito mais significativo. Um programa de conscientização efetivo vai garantir que um nível adequado de educação seja entregue a todos os níveis corporativos: Colaboradores que são apenas usuários de sistemas devem ter noções das políticas e procedimentos adotados pela empresa, assim como conhecimento básico dos principais conceitos de segurança. Executivos devem estar cientes de ameaças mais avançadas/direcionadas como ataques de engenharia social e spear phishing. A equipe de segurança deve receber níveis adequados de treinamento em todas as tecnologias adotadas. E por último, mas nem um pouco menos relevante, todos devem estar cientes das consequências de se violar regras ou mesmo tentar cometer ilícitos, a organização nunca deve ter medo – e precisa ser extremamente clara – sobre como serão aplicadas sanções e punições.

Seguir esses passos garante que todas ameaças internas estarão contidas? Infelizmente não, toda boa gestão de riscos parte do princípio que certas ameaças não são completamente eliminadas, o importante é garantir níveis apropriados de tratamento aos riscos e se você adotar as recomendações acima, com certeza, é isso que vai acontecer.

Drones: Inovação, disrupção e preocupações básicas com privacidade, segurança e terrorismo

“AES Tietê, Vale, Manserv e Flex já adotaram as máquinas voadoras antes mesmo de todas as regras brasileiras para drones já terem entrado em vigor.” Sim, inovação e tecnologias disruptivas geralmente não se dão ao trabalho de aguardar a legislação.

Zangões no dia a dia: Inovação e disrupção não esperam legislação.

Pode parecer assunto de ficção científica, mas não é! Drones já são usados pelo crime tem um tempinho, em 2015 um zangão foi apreendido voando sobre um presídio no sul da Bahia com 340 chips e 9 celulares, no começo de 2017, outro drone causou um tumulto em um presídio no MS, presos ficaram com medo de armas estarem sendo entregues a grupos rivais e  quebraram portas das celas e ocuparam o pátio da penitenciária. As câmeras de segurança registraram o drone sobrevoando o presídio, mas não deu tempo de os policiais, que estavam monitorando o local, fazerem algo para abater o objeto.

Drones apreendidos em presídios brasileiros com cargas de drogas e armas 

Não estamos longe do dia que esse mesmo tipo de equipamento será usado em massa como ferramenta de espionagem e representarão um meio rápido para terroristas que querem fazer um ataque a base de explosivos ou mesmo ataques químicos, o grupo terrorista ISIS já está ativamente trabalhando nisso.

As previsões mais otimistas olham para 2020 com medo de ataques do tipo “dronejacking”, que interceptam sinais/desviam sinais e permitem o controle dos zangões conforme a vontade do atacante. Em resumo: Teremos drones roubados, sabotagens e, novamente, abertura para crimes como tráfico de drogas e terrorismo.

Assim como muitos, sempre fui fascinado pela tecnologia dos zangões, mas não podemos esquecer do papel da segurança da informação, leis e regulamentações ANTES de massificar a sua adoção. O problema é conseguir correr com a burocracia, a tecnologia não vai esperar.

De toda forma, é melhor vigiarmos bem os céus.

Arma anti-drone e zangão derrubado enquanto levava drogas para um presídio no mexicano

fonte: http://g1.globo.com/tecnologia/noticia/drones-ja-substituem-trabalhadores-dentro-de-empresas-no-brasil.ghtml

Cracker diz que essa fralda não está cheirando bem! E sim, isso é um problema de Segurança da Informação

Ok, até eu concordo: O assunto já está ficando batido. Sempre que escrevo sobre Segurança da Informação, invariavelmente acabo mencionando o quão usuários são avessos aos mais simples controles de segurança, mesmo que isso exponha os importantes ativos corporativos a riscos completamente desnecessários. Fato: #UsersHateSecurity!

Não considero uma cruzada pessoal, mas como profissional de SegInfo, gosto da ideia de, sempre que possível, colaborar com um mundo um pouco mais protegido, seja no ambiente profissional ou em nossas vidas pessoais, as constantes ameaças mostram que a escolha é simples: ou nos protegemos ou nos deixamos dominar por ameaças cada vez mais assustadoras e presentes. É por isso que gosto tanto de bons exemplos e os de hoje, com certeza, estão entre os melhores que já usei aqui.

Imagine a seguinte situação: Um jovem casal, que devido a vida moderna não tem tempo para cuidar do seu bebê de apenas 1 aninho, contratam os serviços de uma babá. Cientes de que o jovem infante é um dos principais ativos estratégicos do núcleo familiar, utilizam uma câmera IP para matar a saudade fazer monitoramento remoto e diminuir o risco de maus tratos por parte da referida ama-seca. Nada mais louvável.

Thats a really poopy diaper!
Thats a really poopy diaper!

Leia mais

RaTs e Creepware: Será que alguém está me observando?

CONTEÚDO INTIMO DIVULGADO NA INTERNET NÃO É NENHUMA NOVIDADE. A massificação de tecnologias com capacidade de registrar fotos ou vídeos, associada ao amplo acesso a internet, trouxe “um certo inconveniente” quem gosta de guardar seus momentos mais reservados para a posteridade: O vazamento ou distribuição – geralmente não consensual – de material constrangedor é algo que afeta indiscriminadamente anônimos e famosos.

cuidadocuidadocuidado

Esse problema não se resume aos casos de divulgação feita por dissabores amorosos frustrados com o fim do relacionamento. O ‘sextorcion’, a extorsão ou chantagem feita por alguém de posse de material sexual da vítima, está se tornando cada vez mais comum. Foi o que aconteceu em 2012 com a artista Carolina Dieckmann, o que acabou ajudando concretizar uma lei que tipifica os delitos informáticos. Mas acredite: PODE FICAR AINDA PIOR.

Ambas as situações descritas acima tem um ponto comum: A vítima permitiu ou mesmo criou – de bom grado – material adulto e normalmente tem um mínimo de consciência da possibilidade daquele conteúdo vazar. Em outras palavras: se expôs de bom grado ao risco.

Agora imaginemos uma situação oposta: Uma jovem de apenas 19 anos, famosa e sem a menor disposição para oversharing de sua intimidade na internet, tem horas e horas de registros extremamente íntimos nas mãos de um pervertido virtual. Foi o que aconteceu com Cassidy Wolf, Miss Teen USA, que teve seu notebook invadido por um cracker, que fez uso de um Creepware, o Blackshades, e por quase um ano gravou tudo que acontecia, direto da própria webcam da vítima.

Cassidy Wolf, Miss Teen USA, vítima de Creepware
Cassidy Wolf, Miss Teen USA, vítima de Creepware

Foi traumatizante. Era meu quarto, meu o espaço íntimo e privado, onde me sentia mais segura.” Disse Cassidy durante uma entrevista a CNN. A jovem miss descobriu a invasão quando recebeu um e–mail anonimo com uma série de fotos suas nua, enquanto trocava de roupa. Junto também veio à ameaça: O invasor queria fotos com uma melhor qualidade e um show erótico de 5 minutos no Skype. Caso contrário distribuiria as fotos na internet, o que arruinaria quaisquer chances de manter sua carreira como miss.

O cracker que efetuou a invasão era Jared James Abraham – antigo colega de colégio de Cassidy que já é réu confesso – e faz parte de um grupo com aproximadamente 100 criminosos presos em maio pelo FBI, durante uma operação conjunta realizada em parceria com 19 países. Os suspeitos são acusados de desenvolver, vender ou usar códigos maliciosos como o Blackshades.

Caracterizados como RaTs (Remote Access Trojans) ou simplesmente apelidados de Creepwares, esse tipo de código malicioso – que custava apenas USD 40,00 – permite invadir e controlar remotamente computadores infectados, incluindo a cópia de arquivos, captura de vídeos na webcam, informações digitadas (keylogger) ou telas (screenlogger).

FBI: The Blackshades Global Takedown
FBI: The Blackshades Global Takedown

De acordo com o FBI, os suspeitos infectaram mais de meio milhão de computadores. O fato é que RaTs não são usados exclusivamente como Creepware: Criminosos digitais utilizam essa mesma técnica para obter informações financeiras, senhas ou simplesmente monitorar suas vítimas. Os alvos são pessoas comuns, políticos, empresas. Excluindo o óbvio impacto financeiro, para termos uma noção do nível de constrangimento que esse tipo de crime pode gerar, basta lembrarmos de casos recentes de suicídio após fotos intimas divulgadas em redes sociais.

Fica aqui duas perguntas básicas: Em um mundo onde com menos de R$ 100, qualquer um pode se tornar um cibercriminoso internacional, você tem certeza de que não está sendo monitorado neste exato momento? Nesse caso, o que podemos fazer para nos proteger?

creepware
Que tal um pequeno teste? Se você tem facebook, acesse o link acima e se divirta! (Sim, é seguro!)

Como em outros códigos maliciosos, A maioria das infecções dos RaTs/Creepwares acontece quando o usuário visita um site ou faz download de arquivos contendo código malicioso. As recomendações de proteção são as de sempre:

  • Use – e mantenha sempre atualizado – um software de proteção contra códigos maliciosos. Existem diversas opções, mesmo gratuitas, inclusive com opção de varredura online;
  • Evite abrir ou clicar em e–mails e anexos de fontes suspeitas ou com conteúdo estranho;
  • Tenha cuidado ao clicar em links em redes sociais ou compartilhados em serviços de mensagem instantânea;
  • Faça downloads apenas de fontes confiáveis e mesmo assim, faça uma varredura antes de abrir o arquivo;
  • Esteja atento a comportamento anormal em seu computador, por exemplo, se você não está usando a webcam luz da mesma não deveria estar acesa;
  • Por via das dúvidas, as vezes ser um pouquinho paranoico não faz mal: Já coloquei fita isolante na minha webcam 🙂
Não! Eu não sou paranoico! :)
Não! Eu não sou paranoico! 🙂

Infelizmente nem mesmo essas medidas podem garantir absolutamente que uma invasão não vai acontecer. Se você suspeita que pode estar sendo monitorado, busque imediatamente a ajuda de um especialista de segurança e, caso a ameaça se concretize, o apoio de um escritório especializado em direito digital é essencial.

[UNIFOR] – Palestra “Segurança da Informação: Perspectivas no Brasil para 2014 e além” – Download do Material de apoio

Prezados amigos,

Como mencionado previamente em outros posts, ontem (quinta-feira 07/11) tive o prazer de palestrar na UNIFOR apresentando o tema “Segurança da Informação: Perspectivas no Brasil para 2014 e além.”.

UNIFOR - Palestra “Segurança da Informação: Perspectivas no Brasil para 2014 e além”.
UNIFOR – Palestra “Segurança da Informação: Perspectivas no Brasil para 2014 e além”.

Foi grande prazer poder conversar com amigos, alunos e profissionais na minha cidade. Agradeço a todos os presentes, e em especial ao Prof. Marcus Venicius e a UNIFOR pela parceria.

Durante a apresentação, discutimos assuntos como hacktivismo, espionagem, guerra cibernética e, principalmente, o posicionamento do Brasil dentro do cenário global em face dos grandes eventos que vamos receber nos próximos anos.

Clique para fazer o download do arquivo da apresentação!
Clique para fazer o download do arquivo da apresentação!

Estou publicando  aqui <<[PDF]Segurança da Informação: Perspectivas no Brasil para 2014 e além>> o material de apoio que usei na palestra.

Para ver mais fotos do evento, que foram publicadas na comunidade do facebook, clique AQUI.