Risco, Vulnerabilidade, Ameaça e Impacto

[ Definição ]


Fonte dos conceitos abaixo: NIST SP 800-30 (tradução livre: Sandro Süffert).

• Risco: probabilidade de uma fonte de ameaça explorar uma vulnerabilidade, resultando em um impacto para a organização;
• Vulnerabilidade: falha ou fraqueza de procedimento, design, implementação, ou controles internos de um sistema que possa ser acidentamente ou propositalmente explorada, resultando em uma brecha de segurança ou violação da política de segurança do sistema;
• Ameaça: possibilidade de um agente (ou fonte de ameaça) explorar acidentamente ou propositalmente umavulnerabilidade específica;
• fonte de Ameaça: ou (1) uma intenção e método objetivando a exploração de uma vulnerabilidade ou (2) uma situação e método que pode acidentalmente disparar uma vulnerabilidade;
• Análise de Ameaças: verificação das fontes de ameaça versus vulnerabilidades, para determinar as ameaças de um sistema em particular em um ambiente operacional particular.

[ Update - 26/01/2011 ]



Este update é só para sumarizar a importância de se conhecer o inimigo, com uma citação do General Sun Tzu (~ ano 400 AC):


"Se você conhece o inimigo e conhece a si mesmo, não precisa temer o resultado de cem batalhas. Se você se conhece mas não conhece o inimigo, para cada vitória ganha sofrerá também uma derrota. Se você não conhece nem o inimigo nem a si mesmo, perderá todas as batalhas"



[ Update - 22/01/2011 ]



O "Gerenciamento do Risco" deve ser acompanhado por um Confrontamento das Ameaças reais.

Gerenciar o risco sem conhecer (ou sem se importar em conhecer) as ameaças é pouco eficiente - mas infelizmente esta atividade pode manter uma equipe ou uma empresa ocupada tempo suficiente preenchendo formulários e checklists de forma que não seja necessário se ocupar em conhecer mais profundamente os problemas reais (tecnológicos, processuais ou pessoais) que afetam e fragilizam a organização.

Adivinhe: isto é tudo que as ameaças reais (insiders, competidores, crackers contratados, espiões, fraudadores,funcionários insatisfeitos,..) precisam para ficar sob o radar.

Em outras palavras, não basta usar sistemas contendo fórmulas (batidas ou mágicas) para mensurar o "Risco" e assim decidir o investimento em ações de proteção e detecção do seu programa de segurança.

Fred Cohen - citado recentemente por Richard Bejtlich, define esta questão de uma forma interessante: "Risk management: a guess multiplied by an approximation, taken to the power of an expert opinion."

Ou seja, costuma ser um bom começo.. pena que muitas empresas param por aí. Uma análise de risco super bem feita - com as melhores contramedidas a postos - não vai evitar que as "ameaças explorem as vulnerabilidades e resultem em impactos" muitas vezes não imaginados ou calculados anteriormente.

Por mais que você invista em prevenção e detecção, incidentes/fraudes/crimes continuarão ocorrendo.

Isto é verdade especialmente se a empresa não responde adequadamente aos incidentes por não possuir visibilidade real do que ocorre em sua rede e em seu negócio. Mais uma vez bato na mesma tecla - o FOCO deve estar na AMEAÇA..

Você precisa estar preparado para reagir e estudar o modus operandi dos seus adversários, e desta forma se posicionar melhor e investir de forma inteligente na prevenção e detecção, inclusive..

Organizar um time de Resposta a Incidentes (CSIRT/ETIR) eficiente, com foco no risco ao negócio e que interaja com as áreas clientes da empresa (Auditoria, TI, Inspetoria, Anti-Fraude, Compliance, RH, etc..) não é tarefa fácil. Mas isto proporcionará a médio prazo um foco na ameaça ao negócio, o que a faz perder dinheiro, informação - e assim perder valor de mercado, ser menos competitiva, etc..

É uma situação muito interessante, a do "Incident Responder" - ele sempre começa perdendo - e somente às vezes sai ganhando.. É impossível prever todos os possíveis vetores de ataque dentro dada a alta complexidade e conectividade de uma organização moderna - a vantagem do ataque sobre a defesa é imensa e você sempre vai perder antes de ganhar. Talvez o único jeito de ganhar é passar a perceber as reais ameaças, reagir a elas, e contra-atacar (na justiça, de preferência).

Tratar os incidentes de segurança que afetam o negócio (levando-os ou não à justiça) é o que proporcionará ao CSIRT e à empresa o conhecimento das intenções, oportunidades e capacidades de seus verdadeiros adversários (ameaças). A maioria das empresas que não está em verticais com riscos financeiros mais explícitos (Financeiro/Telecom) precisa passar por um incidente sério para começar a se mover neste sentido. Quem nunca viu isto acontecer?

• O que promove mais a Segurança da Informação, a Sarbanes Oxley, o PCI ou um concorrente roubando informações estratégicas que podem levar a empresa à falência?

• O que melhora a capacidade de detecção de incidentes, normas governamentais - por mais bem estruturadas que sejam - ou a perda de confidencialidade de dados sensíveis como nos recentes envolvendo o Wikileaks?

• O que motiva investimentos contínuos em defesa cibernética de infraestruturas críticas, regras escritas e controle de acesso de classe militar ou reagir à possibilidade de ameaças como o StuxNet?

Aos interessados que chegaram até aqui, recomendo uma excelente abordagem dos aspectos econômicos/comportamentais dos criminosos cibernéticos postada hoje por Craig Wright - Criminal Specialization as a corollary of Rational Choice. <= Food for Tought

Para o desdobramento dos componentes da Ameaça, continue lendo abaixo..

[ Update - 14/10/2009 ]

Novo post da série sobre "Security Intelligence" no blog do SANS - desta vez tratando de conceitos como indicadores de ataque, comportamento dos adversários, progressão do ataque (aka kill chain) - leitura recomendada!

[ Update - 23/08/2009 ]

Uma série de posts de Michael Cloppert estão introduzindo o assunto "Security Intelligence".

Ele define alguns termos interessantes (além dos já expostos neste post) . Por exemplo, ele apresenta os seguintes sub-conceitos da Ameaça:

Intenção: tende a ser dependente de indústria. Roubo de dados, por exemplo. Não pode ser influenciado por ações de Segurança.

Oportunidade: timing apropriado e conhecimento do alvo.

Capacidade: é a habilidade financeira, humana e técnica de alcançar o objetivo de ataque e aproveitar a oportunidade.

[ Post Original - 07/06/2009 ]

Em uma conversa recente com um cliente sobre atividades de 'Análise de Risco', percebi que os conceitos de Risco, Vulnerabilidade, Ameaça e Impacto ainda confundem muita gente experiente na área de Segurança da Informação.

Este post tem a intenção de apresentar estes conceitos e propor uma abordagem que considero ideal para abordar este desafio em uma empresa.

Fonte dos conceitos abaixo: NIST SP 800-30 (tradução livre minha).

• Risco: probabilidade de uma fonte de ameaça explorar uma vulnerabilidade, resultando em um impacto para a organização;
• Vulnerabilidade: falha ou fraqueza de procedimento, design, implementação, ou controles internos de um sistema que possa ser acidentamente ou propositalmente explorada, resultando em uma brecha de segurança ou violação da política de segurança do sistema;
• Ameaça: possibilidade de um agente (ou fonte de ameaça) explorar acidentamente ou propositalmente uma vulnerabilidade específica;
• fonte de Ameaça: ou (1) uma intenção e método objetivando a exploração de uma vulnerabilidade ou (2) uma situação e método que pode acidentalmente disparar uma vulnerabilidade;
• Análise de Ameaças: verificação das fontes de ameaça versus vulnerabilidades, para determinar as ameaças de um sistema em particular em um ambiente operacional particular.

A execução apropriada de uma "classificação dos ativos" seguida de uma "análise de risco" real em uma organização complexa é uma tarefa intangível - para não dizer impossível - dada a quantidade de fatores desconhecidos na equação de risco. É verdade que normalmente isto leva a estimativas que ficam bonitas em relatórios e dashboards e powerpoints..

Dito isto, acredito que uma abordagem de tratamento ou análise de ameaças é mais efetivo quando executado apropriadamente pelo time de Segurança de Informações - isto envolve várias ações:

• A detecção e mitigação das vulnerabilidades presentes em sistemas críticos é o mínimo a ser feito.

• O histórico dos incidentes tratados (post-mortem...), as ações tomadas contra as fontes de ameaça identificadas e o entendimento e mitigação de seu modus operandi são fundamentais.

• O envolvimento com outras áreas da empresa que lidam com Risco da Tecnologia ou da Informação é primordial

• O constante convencimento da importância em diminuir o esforço e foco nas vulnerabilidades (O COMO) e atacar de frente as ameaças (O QUEM - veja este excelente post do Richard Beijtlich sobre o assunto) - incluindo a penalização interna (RH) ou envolvimento do Jurídico para ações externas.

• A empresa somente é capaz de responder adequadamente quando se esforça em conhecer progressivamente todos os fatores desta equação: que vulnerabilidades possui, a que ameaças está suscetível, quais agentes estão envolvidos e qual são os impactos históricos e possíveis da exploração destas ameaças.

• Isto não acontece magicamente quando apenas os aspectos tecnológicos de vulnerabilidades ou uma "análise de risco" tradicional é executada por esforços isolados da área de Segurança da Informação (com tradicionais cobranças eventuais das áreas de Compliance e Auditoria).

Para uma abordagem realista e eficiente dos desafios de segurança da informação para os negócios da empresa exige uma abordagem ampla com foco nas ameaças. Por experiência própria, isto funciona melhor quando é institucionalizado um fórum inter-departamental com um grupo de trabalho técnico e outro executivo.

A frequência recomendada é de um dia inteiro por semana e as possíveis áreas envolvidas são: Segurança da Informação, Risco, Auditoria, Compliance, Governança, Anti-Fraude, Segurança Empresarial, Jurídico e Recursos Humanos. Se você acha isto intangível na sua organização, comece com uma hora por semana com 2 ou 3 das áreas citadas..

Com esta linha em ação, é possível mover a Segurança da Informação da sua função tradicional (FW,IDS,AV,Controle de Acesso,...) e trazê-la para um campo estratégico de proteção dos
interesses da empresa/órgão de seus adversários e ameaças reais.

Observação: este é um dos posts mais acessados através de pesquisas no google (pelos termos que compõem o título do artigo)