Dicas para Gerenciar Segurança durante a Recessão

[ 18/02/2009 - Update ]

O assunto de priorização de esforços em segurança devido à crise está em alta: desta vez um artigo na SearchSecurity de Eric Ogren aponta 4 maneiras de priorizar programas de segurança em uma ecnonomia ruim - abaixo uma tradução livre dos pontos e meus comentários:

I. Apoie projetos que tragam novas fontes de receitas

Na área de Segurança isto é difícil de acontecer, mas é possível - alguns exemplos são vendas de produtos/serviços de segurança para usuários (no caso de empresas como Provedores de Acesso e Conteúdo). O Eirc Ogren cita serviços de segurança que apoiam iniciativas de serviços on-the-cloud.

II. Proporcione uma maior economia através da tecnologia

O autor cita serviços de Controle de Configuração e Auditoria de uso de Máquinas Virtuais, mas achei este ponto um pouco forçado no que diz respeito à segurança de informações.

III. Atenda aos requerimentos mandatórios de compliance

Se sua empresa está sujeita à regras de compliance (SOX, Basiléia, PCI, etc..) - é claro que você tem que priorizar estas demandas, pois o efeito de não se validar neste tipo de auditoria externa pode ser devastador para uma empresa, ainda mais em tempos de crise.

IV. Substitua produtos que não estão atendendo (performance baixa)

Na minha opinião deveria ser o ítem "I" , assim como a lista que a CSO publicou (reproduzido no post original abaixo) possui como primeiro ítem "Priorize baseado em risco/recompensa". Aqui mais uma vez o candidato é a sua solução possivelmente ineficaz de IDS/IPS.


Alguns dos pontos colocados podem levantar discussões sobre métricas em segurança, e retorno de investimento ("ROI") em segurança.

É um desafio que se enfrentado apoiará as decisões em épocas de crise: como medir a efetividade de um controle de segurança? O sucesso atual da solução de segurança é suficiente para garantir um (re)investimento?

[ 10/02/2009 - Post Original]

Depois de alguns meses de agonia, parece que chegamos à um concenso sobre o declínio da taxa de crescimento econômico mundial - ou seja, estamos em recessão e o Brasil será atingido - talvez não por um tsunami, mas certamente também não por uma "marolinha", como disse o presidente.

Nestes tempos de vacas magras, é necessário priorizar os gastos e medir bem os esforços em novos investimentos. Na área de Segurança da Informação, a realidade não é diferente.

Alguns estudos recentes mostraram que:

1. Os ataques utilizando a internet devem aumentar devido à crise.

2. O prejuízo associado ao abuso interno por parte de funcionários/terceiros tem crescido substancialmente.

3. Os empregos de segurança foram pouco afetados até o momento. Alguns detalhes no último report do SANS sobre o o assunto.

Os itens acima certamente têm motivações e efeitos relacionados. Boa parte dos alertas relacionados no item 1. pode ser interpretada como FUD (Fear, Uncertainty & Doubt) - para garantir um bom quinhão de investimentos em tecnologias de segurança.

Hoje um artigo da CSOOnline traz 5 dicas para Gerenciamento de Segurança em uma recessão - seguem os pontos e meus comentários:

I - Priorize baseado em risco/recompensa.

Do que vale uma solução antiquada e milhonária de prevenção que só gera falsos positivos por default, e se bem configurada, começa a produzir mais falso negativos que alertas reais (i.e: eu NÃO DISSE IDS/IPS .. =)

II - Tenha o mix certo de pessoas/especialidades no seu time

Os seus Analistas Senior não podem estar executando tarefas repetitivas, eles precisam automatizar o que já existe e pensar em novas formas de combater as ameaças de negócio que tiram o sono de todos os seus chefes.

III - Construa processos passíveis de repetição

Aqui as vantagens são óbvias, a capacidade de gerar métricas, facilidade de treinamento - trata-se de eficiência.

IV - Crie uma estratégia de custos compartilhados otimizada

Existem soluções que resolvem problemas de várias áreas, e por isto estas podem trabalhar juntas para implementá-las. Alguns exemplos de cabeça são: SIEM - correlação de eventos de segurança e DLP - Prevenção de vazamentos de dados (de Host e Rede).

Tanto SIEM quanto DLP atendem à várias necessidades das áreas de Auditoria, Anti-Fraude, Compliance, Risco, Governança, Segurança de Rede, Segurança da Informação e Segurança Patrimonial.

V - Automatize e terceirize sabiamente

O corte de despesas em T.I. inclui sempre programas de outsourcing, fábricas de softwares e outras contratações para diminuir os custos internos e "manter a atenção da empresa em seu core business". Certamente isto inclui riscos que precisam ser considerados e monitorados, ao preço de ganhar eficiência e perder conhecimento / vantagens competitivas (vazamento de informações) ou dinheiro (fraudes).

Fases de um Ataque: Stealth

[ 17/02/2009 - Update: ]

O Bruce Schneier se pronunciou sobre o tema, baseado também no caso da Logic Bomb da Fannie Mae. (Obrigado ao Marcelo e Lucas pelo link).

[ 12/02/2009 - Update: ]

O blog sobre forensics do Sans Institute publicou um artigo sobre "Logic Bombs", citando o caso da Fannie Mae, dentre outros, vale a pena conferir. Eles também fizeram algumas colocações interessantes para evitar ser vítima deste tipo de ataque - resumindo:

- Conheça, controle e revise os acessos aos seus sistemas de informação
- Utilize o princípio do mínimo privilégio - como base para a distribuição de acessos.
- Garanta que a revogação de privilégios seja um processo rápido e automatizado.
- Leve a sério ameaças de empregados insatisfeitos

Eu acrescentaria à esta lista:

- Monitore e audite os acessos administrativos ( não conte com a sorte =)

[ 03/02/2009 ]

Em 1998 um artigo de Alan Boulanger chamado "Catapults and Grappling Hooks, The Tools and Techniques of Information Warfare" apresentou uma divisão até então inédita das fases comumente utilizadas durante um ataque computacional. São elas: 1. reconnaissance, 2. probe, 3. toehold, 4. advancement, 5. stealth, 6. listening post, and 7. takeover.

Cada uma das fases descritas é proporcionada ou auxiliada pela fase anterior e de forma direta ou indireta prepara o atacante para a execução da próxima.

Onze anos depois, as fases conceituais não mudaram muito, mas certamente a motivação dos atacantes e a importância das diferentes fases para que estes alcancem seus objetivos são sempre variáveis.

Neste post pretendo apresentar três casos em que a fase stealth de ataques publicamente conhecidos foi fundamental, deixando claro os perigos inerentes ao não reconhecimento tempestivo das fases anteriores, o que acarreta invariavelmente em grandes perdas financeiras diante de atacantes bem preparados e motivados.

1) Em 2005, um ataque extremamente sofisticado culminou no escândalo com roteiro de filme - incluindo suicídio de um engenheiro envolvido na trama - ocorrido com a operadora GSM grega Vodafone-Panafon. A bem executada fase stealth do ataque permitiu que os perpetradores grampeassem o celular de mais de 100 figuras públicas da Grécia durante vários meses.

2) A HeartLand - empresa que recentemente divulgou ser vítima de um ataque stealth elaborado que possibilitou o maior vazamento de dados de cartão de créditos da história, ocorrido em 2008 - precisou de 3 equipes de investigação e mais de 2 meses depois de um alerta da Visa para descobrir que o sniffer responsável pela captura dos dados estava escondido em espaço não alocado do disco de seus servidores.

3) Na Fannie Mae - empresa de hipotecas sob administração do governo americano desde setembro de 2008 - um ex-administrador de sistemas contratado implantou em 4000 de seus servidores UNIX uma bomba relógio que iria remover o acesso dos demais administradores e apagar (wipe) vários terabytes de dados críticos da empresa, em 31/01/2009. Por sorte, o plano foi descoberto antes porque o esforço stealth deste atacante interno foi baixo, ele apenas incluiu várias linhas em branco dos scripts de manutenção dos servidores antes de digitar seus comandos maliciosos. Se a mesma sofisticação dos casos 1) e 2) tivesse sido utilizada, o impacto seria altíssimo.