Incidentes de Segurança - O que os causa e como evitá-los ?

[ Update - 19/04/2011 ]

A Verizon Business acaba de divulgar seu último relatório "2011 Data Breach Investigations Report":

http://www.verizonbusiness.com/resources/reports/rp_data-breach-investigations-report-2011_en_xg.pdf

Leitura recomendada!

[ Post Original - 14/06/2008 ]

Na maior análise post-mortem de incidentes de segurança que já tomei conhecimento, foi publicado um interessante estudo da Verizon RISKTeam que mostra - entre outras coisas - que dentre os 500 casos de intrusão analisados por seu time de forense computacional nos últimos 4 anos:

• 87% foram considerados evitáveis através de controles tradicionais
  
• 85% foram "oportunistas" [ não foi um ataque direcionado à vítima ]
  
• 83% não tiveram alta sofisticação técnica
  
• 75% não foram descobertas pelas vítimas
  
• 73% foram causados por atacantes externos. [ mas os internos tiveram maior impacto ]
  
• 22% (apenas) envolveram exploração de vulnerabilidades

O RISKTeam sugere que sejam priorizados os seguintes esforços para mitigação dos ataques:

[ Fazer "o trabalho de casa": tecnologias que você já possui mas sabe que precisa melhorar: ]

• garantir/melhorar que os controles essenciais estão estabelecidos. [ BACKUP/FW(+WAF)/IPS/IDS/AV/Hardened Net & OS ]
  

[ Novas tecnologias, que exigem um maior grau de maturidade de segurança: ]

• melhor controle dos dados críticos (encontrar, classificar e rastreá-los) [ s.s : DLP ]
  
• monitoração de logs de eventos [s.s: SIEM]

É apresentada uma interessante análise sobre as razões e motivações do "CyberCrime" em comparação com os crimes tradicionais:

• Maior campo de exploração- sistemas vulneráveis podes conter informação de dezenas de milhares de vítimas
• Menor resistência das vítimas - quando explorados, sistemas normalmente não reagem e muitas vezes não registram o que ocorreu
• Sensibilidade baixa - é comum que demorar semanas ou meses até que o responsável saiba do comprometimento de um sistema. Isto permite ao criminoso buscar informações valiosas por um período longo.
• Facilidade de fuga - caso haja indícios de que sua intrusão foi descoberta, é significantemente mais fácil para o criminoso cibernético desaparecer [além disto, é certamente mais fácil para o atacante esconder os rastros e muito mais difícil a identificação da real origem de um ataque, e em muitas vezes, quando a origem é identificada, esbarra-se em barreiras transacionais de troca de informação para investigação / julgamento ]