Ainda não está claro se um verdadeiro conflito cibernético será adicionado à análoga guerra da Ucrânia – se é que tal conflito pode ser definido com precisão. De qualquer forma, o atual conflito armado representa um risco para a segurança de TI das empresas, mesmo que ainda não se saiba como a situação de risco futura se desenvolverá.
Para se protegerem de forma eficaz, as empresas devem, por um lado, estar atentas aos perigos atuais e, por outro, seguir ainda mais rigorosamente as normas de segurança. O potencial de risco da própria empresa é medido pela proximidade geográfica, comercial ou mesmo digital de uma organização com a Ucrânia.
Construa uma defesa antes que os ataques se tornem concretos
Atualmente, houve menos incidentes de segurança relacionados à guerra do que se temia. A maioria deles eram ataques de negação de serviço (DDoS). Até agora, os especialistas não receberam nenhum relatório confirmado de ataques a vulnerabilidades em sistemas de controle industrial (ICS). Tais ações paralisaram o fornecimento de energia da Ucrânia em 2015 e 2016. O site Curated Intelligence oferece uma visão geral constantemente atualizada do que está acontecendo. É claro que não é previsível como a situação se desenvolverá. Mas como a guerra voltou à Europa, empresas, agências governamentais e operadores de KRITIS devem se preparar para a chegada de uma guerra cibernética.
Quanto mais conectado à Ucrânia, mais em risco
É óbvio que o risco de um ataque para a segurança de TI aumenta com a proximidade física ou digital da Ucrânia. As potenciais vítimas podem ser divididas em três classes de risco.
Classe de risco 1
Empresas e instituições com sede na Ucrânia: Você deve estar preparado para que os invasores tentem interromper completamente os processos. As atividades anteriores mostram isso. Ao mesmo tempo, a disponibilidade de serviços e sistemas de TI está sendo visada. Os ataques DDoS e a exclusão de dados devem ser temidos, assim como o tempo de inatividade na infraestrutura de rede. Os criminosos, apelidados de "corretores de acesso inicial", que continuamente procuram vulnerabilidades para revenda e fornecem credenciais de acesso a redes e sistemas antes dos ataques, agora têm a oportunidade de vender suas descobertas pelo lance mais alto. O arsenal de armas dos atacantes inclui ferramentas cibernéticas projetadas para causar danos irreparáveis.
Isso inclui, por exemplo, o malware CrashOverride ou NotPetya ou o apagador de dados HermeticWiper da família de malware KillDisk. Com o HermeticWiper, os autores podem atingir suas vítimas ou espalhar ataques por um espaço de endereço IP para causar o máximo de dano possível. Muitos criminosos cibernéticos APT seriam capazes de realizar tal ataque, como Gamaredon, UNC1151 (Ghostwriter), APT29, APT28, Sandworm ou Turla. A intenção do Grupo Conti de agir contra alvos na Ucrânia é conhecida. No entanto, as intervenções de grupos pró-ucranianos, como Anonymous e GhostSec, também podem colocar em risco as infraestruturas de TI.
Classe de risco 2
Empresas e instituições conectadas à Ucrânia: Até agora, os ataques cibernéticos foram limitados à Ucrânia. Mas pode-se supor que os países vizinhos e organizações ligadas à Ucrânia também serão afetados. Quem estiver conectado a organizações no país via VPN ou via supply chain deve colocar sua equipe de segurança de TI em alerta e se preparar para a defesa. Ao mesmo tempo, os responsáveis também devem avaliar o tipo de rede e, portanto, o risco específico.
Classe de risco 3
Empresas e instituições em países que apoiam a Ucrânia: Isso inclui todos os estados membros da OTAN e da UE. Aqui corre-se o risco de atos de vingança por parte de grupos estatais ou mercenários digitais. A possibilidade de que um malware semelhante a um limpador já tenha sido implantado é alta, embora ainda não haja evidências. Os responsáveis têm o dever de avaliar a resiliência dos sistemas de segurança e dos planos de defesa agora, antes que ocorra um ataque real.
Defesas contra atacantes
Jörg von der Heydt, Diretor Regional DACH na Bitdefender (Imagem: Bitdefender).
A situação de segurança permanece incerta, mas as empresas podem se preparar para riscos potenciais. As soluções e serviços de segurança de TI, como Endpoint Detection and Response (EDR) ou Managed Detection and Response (MDR), ajudam e são indispensáveis. Mas também há um dever de casa específico a ser feito para otimizar a segurança de TI. O seguinte conselho se aplica a todas as organizações nas classes de risco que acabamos de definir:
- A correção de vulnerabilidades conhecidas por já terem sido exploradas por grupos APT apoiados pelo governo tem prioridade máxima. Uma lista de vulnerabilidades relevantes e conhecidas pode ser encontrada aqui.
- A localização segura de backups e o teste dos processos, bem como a restauração completa testada de uma recuperação de desastres estão na ordem do dia, tendo em vista o perigo representado pelos limpadores. As empresas que estão particularmente em risco devem desligar todos os computadores e servidores que não são críticos para o sistema de TI para limitar os efeitos de um ataque.
- A infraestrutura, a rede e a conectividade da TI da empresa com parceiros externos devem ser constantemente monitoradas. Essa é a única maneira de identificar ataques potenciais em um estágio inicial e implementar planos de defesa.
- As campanhas de phishing relacionadas à Ucrânia estão crescendo atualmente. Os cibercriminosos aproveitam a disposição de ajudar em público com um repertório de golpes cada vez mais bem elaborados que também podem ter efeitos relevantes para a segurança: Os dados de acesso capturados são então o tíquete de entrada nos sistemas e processos. Todo funcionário deve estar ciente desse perigo.
- As medidas padrão de segurança de TI são pilares importantes para a defesa. Isso inclui autenticação multifator para todos os acessos remotos, privilegiados ou administrativos à rede, atualização de software, desativação de portas e protocolos necessários para o negócio, além de verificação e avaliação dos serviços em nuvem utilizados.
Os invasores cibernéticos punirão aqueles que chegarem tarde demais para se defender. No entanto, ainda não está claro se isso ocorrerá no contexto do conflito em curso. As opiniões de especialistas sobre a extensão de um ataque cibernético também diferem. Alguns especialistas argumentam, não implausivelmente, que uma vez que a guerra estourou, é mais fácil bombardear ou tomar uma fábrica do que desligar seus servidores. Afinal, os ataques às instalações de produção e abastecimento precisam ser preparados para que realmente tenham efeito. Ataques DDoS ou campanhas de desinformação que contribuem para a incerteza são mais atraentes porque são mais eficientes. Os países da UE e da OTAN certamente seriam alvo de ataques subliminares, que já são familiares em tempos de paz. No entanto, subestimar o perigo significa estar despreparado para o que às vezes pode ser um grande risco.
Mais em Bitdefender.com
Sobre o Bitdefender A Bitdefender é líder global em soluções de segurança cibernética e software antivírus, protegendo mais de 500 milhões de sistemas em mais de 150 países. Desde a sua fundação em 2001, as inovações da empresa fornecem regularmente excelentes produtos de segurança e proteção inteligente para dispositivos, redes e serviços em nuvem para clientes particulares e empresas. Como fornecedor preferido, a tecnologia da Bitdefender é encontrada em 38 por cento das soluções de segurança implantadas no mundo e é confiável e reconhecida por profissionais da indústria, fabricantes e clientes. www.bitdefender.de