A vulnerabilidade humana na segurança

Os ataques cibernéticos clássicos geralmente começam com um e-mail. Um usuário abre e inocentemente clica no link que está dentro e... as luzes se apagam na empresa. Não é à toa que muitos tendem a identificar a causa do problema com a vulnerabilidade do "usuário". Uma análise da Trend Micro.

A constatação de que os usuários são o problema disse mais da metade dos entrevistados a dois webinars em alemão e inglês (para a Europa) que ocorreram em julho de 2021 com um total de mais de 1000 participantes. Em cada caso, perguntou-se qual dos seguintes problemas era o "maior" na segurança de TI da própria empresa: "funcionários cometem erros que levam a infecções", "falta de orçamento", "ferramentas de segurança defeituosas" ou "sobrecarga do departamento de segurança de TI. Obviamente, em empresas realmente afetadas por ataques cibernéticos, vários desses fatores se aplicam. Mas as maiores dores de cabeça foram causadas pelos funcionários "inexperientes", cada um com mais de 50%. Não há dúvida de que muitos problemas em segurança de TI estão relacionados ao fator humano, mas um foco unilateral no funcionário descuidado pode levar a conclusões erradas e consequências graves.

funcionários de vulnerabilidade

Esta tese postula que um funcionário que clica em um link ou abre um anexo que parece suspeito está, sem saber, ajudando a configurar um ataque. Na verdade, o "funcionário descuidado" é um problema bem menor em relação aos outros "pontos fracos do ser humano", mas é um dos poucos parafusos de ajuste com os quais melhorias relevantes podem ser alcançadas sem grande esforço para todos os envolvidos. Portanto, os funcionários definitivamente devem ser informados sobre os truques mais recentes. Eles também devem ter uma maneira de verificar e-mails suspeitos - e agradecer toda vez que um funcionário vir um e-mail de ataque, porque isso ajuda a interromper os ataques.

Aliás, os funcionários só são capazes de identificar tal ataque porque os cibercriminosos ainda são bem-sucedidos o suficiente em usar e-mails gerados genericamente para atingir seus propósitos. O próximo truque deles está no kit há muito tempo. O Emotet já usou respostas a e-mails enviados anteriormente. E mesmo isso não é o fim do que é tecnicamente possível. Mas os cibercriminosos evitam esforços desnecessários. Mas isso significa que qualquer treinamento serve apenas para dificultar o trabalho do atacante. Não vai resolver o problema.

Especialista em TI/segurança de ponto fraco

Se um funcionário recebe um e-mail, ele já passou por vários níveis técnicos. Métodos sandbox, inteligência artificial e outras tecnologias foram desenvolvidos para detectar ataques diretamente. Caso contrário, existem outras soluções de segurança no nível do sistema e na rede, todas as quais também devem detectar atividades suspeitas. São ferramentas profissionais criadas com toda a experiência e implementadas especificamente para este fim, de forma a permitir que as pessoas trabalhem com segurança no final. Se todas essas ferramentas técnicas não podem impedir o ataque ou pelo menos identificá-lo, surge a questão de por que um usuário "normal" pode ser responsabilizado por qualquer coisa. As ferramentas de engenharia e uma equipe para mantê-las e aprimorá-las são compradas e pagas para decidir se algo é bom ou não para funcionários menores do que eles!

As ferramentas devem tomar decisões

Mas é exatamente aí que reside um problema frequentemente negligenciado: a tecnologia de segurança de TI está em constante mudança. Assim como os atacantes estão afiando suas armas, os defensores também. Isso resulta em constantes atualizações, mudanças funcionais ou estratégicas. Além disso, as empresas estão construindo ambientes de TI cada vez mais complexos e processando cada vez mais dados. Ao mesmo tempo, o funcionamento da TI está se tornando cada vez mais crítico para as capacidades operacionais de uma empresa.

Os funcionários de segurança de TI geralmente ficam sobrecarregados

Os funcionários de segurança de TI, se é que podem se concentrar na segurança de TI, ficam sobrecarregados com a multiplicidade de sistemas e diferentes opções de configuração. Se uma empresa também decidir comprar taticamente soluções de segurança, a carga de trabalho aumentará exponencialmente. (A compra tática é o comportamento de apenas tentar comprar um novo produto de segurança quando um problema surgiu ou não pode mais ser ignorado.) Essa abordagem garante, entre outras coisas, que os sistemas não atuem de maneira coordenada, mas apenas atendam a requisitos específicos tarefas. Isso gera lacunas de conhecimento e erros devido ao excesso de cobranças. O excesso de trabalho geralmente leva à frustração no trabalho.

Vulnerabilidade de desenvolvimento de software de TI

Desafios semelhantes também podem ser encontrados no desenvolvimento de software. Acionado pela crescente necessidade de aplicativos dos consumidores, mais e mais componentes de software estão sendo desenvolvidos ou montados. Nas práticas de DevOps, o desenvolvimento é praticamente um loop infinito, e as pessoas que trabalham aqui são, obviamente, conhecedoras de TI. E, no entanto, são precisamente esses especialistas que costumam cometer os erros mais ridículos ... do ponto de vista da segurança. O "mundo inteiro" tem acesso ao banco de dados do cliente porque as permissões foram esquecidas de serem definidas. Ou você programou dados de login durante o desenvolvimento, mas esqueceu de alterar a solução simples novamente e, portanto, o acesso aos cartões de crédito dos clientes é garantido apenas com o nome de usuário e a senha "admin".

Todos esses erros acontecem e, se a empresa for importante o suficiente, um incidente será manchete. Mais uma vez, a principal causa é o estresse. Porque no desenvolvimento de software há pressão. O novo recurso deve chegar hoje e não amanhã. Pode ser melhorado se necessário. Um ou outro problema é frequentemente negligenciado ou deliberadamente ignorado. Além disso, muito poucos desenvolvedores de software desenvolvem soluções de segurança. A segurança é um truque não amado, que muitas vezes é forçado a usar.

Vulnerabilidade CISO - Nível C

Obviamente, a administração reconhece a importância da segurança de TI. No entanto, muitas vezes é visto como um mal necessário e raramente como parte integrante da cadeia de valor. Deve custar o mínimo possível e, idealmente, ser quase imperceptível. Na verdade, a maioria das empresas conseguiu implementar essa tática com muito sucesso nos últimos anos, apesar dos gastos relativamente pequenos. Fiel ao lema "nunca mude um sistema em execução", os conceitos de décadas não são questionados, mas consistentemente perseguidos.

A qualidade dos ataques cibernéticos vem aumentando há anos

Mas o mundo da segurança também mudou. Tanto a quantidade quanto a qualidade dos ataques cibernéticos vêm aumentando constantemente há anos. Só em 2021 houve muita emoção com "Sunburst", "Hafnium" e "Kaseya", sem falar em incidentes individuais com eco mundial como o "Colonia Pipeline" ou o "JBS Hack". O boom econômico no submundo cibernético não é uma coincidência que vai desaparecer novamente, mas uma mudança estrutural. Assim, a introdução de criptomoedas e a animosidade política criaram uma novidade histórica mundial com um mercado global descontrolado, talvez até incontrolável, para atividades criminosas. A singularidade desta situação é algo que agora está sendo discutido até mesmo no mais alto nível político.

Índice de risco cibernético fornece clareza

Isso se reflete, por exemplo, na pesquisa do índice de risco cibernético da Ponemon/Trend Micro. É importante notar uma clara queda na confiança de que o C-level também leva a sério a situação de ameaça, embora praticamente todos os entrevistados assumam uma situação de risco aumentado. Isso está relacionado a uma fraqueza ou talento muito humano, que não é particularmente difundido entre o pessoal de segurança de TI. É sobre o talento para "vender" adequadamente ao gerente a necessidade de medidas. Porque, especialmente em empresas onde a segurança de TI anterior eliminou tudo com sucesso, raramente há orçamento adicional para mais funcionários ou soluções mais modernas. Aqui é importante proceder com diplomacia, porque o trabalho, até agora impecável, não pode ser criticado. E ainda... a situação muda por causa dos fatores externos (conforme descrito acima), que muitas vezes são difíceis para os especialistas em segurança de TI argumentarem, pois existem fora de sua própria especialização. Os CISOs, em particular, acham difícil articular com credibilidade a mudança na situação de ameaça para obter melhorias orçamentárias, técnicas e de pessoal. Com a Lei de Segurança de TI, o governo federal está mais uma vez destacando a importância da TI e da segurança de TI para infraestruturas críticas, a fim de fornecer mais suporte em termos de argumentação. Porque mesmo que isso soe cínico... muitas vezes algo só acontece quando as penalidades esperadas são sentidas (infelizmente).

Ponto fraco de segurança de TI - especialista em SOC

Muitas das empresas sujeitas à Lei de Segurança de TI, mas também cada vez mais empresas de médio porte, estão, portanto, decidindo criar um centro de operações de segurança. Os funcionários altamente especializados que trabalham aqui devem analisar os incidentes de segurança e corrigi-los o mais rápido possível. O que na teoria combate efetivamente o problema dos ataques cibernéticos muitas vezes se torna um desafio na prática. Os problemas de escassez de trabalhadores qualificados e o zoológico historicamente crescente de soluções individuais adquiridas também significam que a carga de trabalho dos funcionários do SOC aumenta enormemente. Em uma pesquisa da Trend Micro com mais de 70 entrevistados em todo o mundo, 2000% afirmaram que o estresse relacionado ao trabalho teve um impacto em suas vidas pessoais. No trabalho, a sobrecarga leva, entre outras coisas, ao fato de que os alarmes são deliberadamente ignorados (40% admitiram isso) para trabalhar em outra coisa e 43% deixaram o local de trabalho sobrecarregado ou simplesmente desligaram o alarme. Além disso, seu trabalho raramente é apreciado quando "nada acontece". Uma alta oscilação, principalmente nas empresas de médio porte, é o resultado e garante um agravamento ainda maior do problema de pessoal.

Resumo da análise

Na verdade, as fraquezas humanas são o problema da segurança de TI. Mas não são os "funcionários normais" que causam maior preocupação. A falta de reconhecimento com uma carga de trabalho cada vez maior, juntamente com a pressão para ser o mais rápido e eficiente possível, garantem uma crescente frustração e suscetibilidade a erros, especialmente entre TI e especialmente especialistas em segurança de TI.

O problema do patch, que existe há mais de 20 anos, se multiplicou nos últimos anos devido a uma verdadeira explosão de software e faz com que as equipes de segurança de TI dificilmente tenham uma visão geral do que realmente está sendo usado, muito menos do status de segurança de muitos sistemas é.

As equipes de segurança de TI perdem o controle

As empresas, por outro lado, estão perdendo a capacidade de responder rapidamente a incidentes e estão com falta de pessoal para lidar com emergências reais. Por outro lado, está surgindo uma verdadeira economia clandestina, que sobretudo inspirou a especialização de seus protagonistas. Neste clima, é necessário repensar urgentemente. As estratégias tradicionais de segurança de TI precisam ser reconsideradas. Técnicas modernas são implementadas e otimizadas na área administrativa. Quanto mais automatismos existem para aliviar os funcionários, melhor eles podem se concentrar em problemas sérios. Juntamente com seus parceiros revendedores, a Trend Micro oferece soluções e processos para dar suporte a isso.

Pessoas são pessoas e continua assim. O que está mudando são as condições estruturais e elas mudaram massivamente. E aqui está outra lei da natureza: aqueles que são mais capazes de se adaptar às novas condições ambientais sobrevivem.

Algumas dicas para mais segurança de TI

• Reduza os ciclos de atualização de segurança de TI. Eles precisam ser capazes de implementar a tecnologia moderna mais rapidamente. Com as ofertas "Software as a Service", vários fornecedores oferecem a possibilidade de realizar eles próprios estes ciclos. Ao escolher um parceiro, preste atenção também em como um fabricante pode desenvolver novas tecnologias. Fornecer tecnologia de ponta uma vez não é suficiente. Também é muito mais importante ter o poder de permanência para acompanhar os novos desenvolvimentos.
• Analise a capacidade de gerenciamento de suas defesas. A complexidade da segurança não assusta um cibercriminoso. Muito mais importante é saber se você é capaz de acompanhar eventos incomuns na rede. Os funcionários de SOC e segurança de TI, em particular, geralmente estão sobrecarregados e quase nunca conseguem fazer seu trabalho regular. É difícil reagir corretamente em uma emergência.
• Segundo o BSI, a segurança não é um objetivo que se alcança, mas um processo que se quer adaptar. No passado, eram feitas tentativas de adicionar novas funcionalidades periodicamente quando uma licença expirava. Hoje isso não é mais suficiente. Enquanto os cibercriminosos trabalham para atacar as empresas, as empresas também devem permanecer na vanguarda da tecnologia para se defender. Se seus próprios funcionários não puderem fazer isso, os projetos de serviços gerenciados podem apoiá-lo em todos os assuntos.
• A proteção externa não é suficiente. Os atacantes podem passar por qualquer defesa. O que importa é a rapidez com que você consegue localizá-los e corrigir o problema. As chamadas estratégias XDR são a mais nova opção aqui. Nossa estratégia XDR é chamada de Trend Micro Vision One.

Considere uma estratégia de confiança zero. Acima de tudo, você deve presumir que a tecnologia da sua empresa foi comprometida. Porque mesmo que seja possível convencer uma pessoa a fazer algo maligno, isso geralmente é muito mais difícil do que roubar senhas e enganar a tecnologia. Este também é o assunto de uma estratégia XDR.

Mais em TrendMicro.com

 

---

Sobre a Trend Micro

Como um dos principais fornecedores mundiais de segurança de TI, a Trend Micro ajuda a criar um mundo seguro para a troca de dados digitais. Com mais de 30 anos de experiência em segurança, pesquisa de ameaças globais e inovação constante, a Trend Micro oferece proteção para empresas, agências governamentais e consumidores. Graças à nossa estratégia de segurança XGen™, nossas soluções se beneficiam de uma combinação entre gerações de técnicas de defesa otimizadas para ambientes de ponta. As informações sobre ameaças em rede permitem uma proteção melhor e mais rápida. Otimizadas para cargas de trabalho em nuvem, endpoints, e-mail, IIoT e redes, nossas soluções conectadas fornecem visibilidade centralizada em toda a empresa para detecção e resposta mais rápidas a ameaças.

---

 

Artigos relacionados ao tema