Como mitigar riscos em uma rede plana — o paraíso dos atacantes

Este artigo foi publicado originalmente em Forbes.com.

As redes planas se tornaram tão comuns porque geralmente são simples de arquitetar, baratas de construir e fáceis de operar e manter. No entanto, acontece que atores maliciosos também adoram redes planas. Isso porque, quando um único host em uma rede plana é comprometido, a integridade do resto da rede começa a se assemelhar a um castelo de cartas. Quando uma empresa é invadida, a rede plana oferece aos hóspedes indesejados e indesejados acesso irrestrito à rede para escanear, identificar e direcionar ativos de alto valor. Infelizmente, muitas organizações não conseguem mitigar ou mesmo reconhecer totalmente esses riscos.

Os riscos de segurança de uma rede plana

As organizações tendem a se concentrar principalmente em proteger suas defesas de perímetro de rede. No entanto, os investimentos em segurança de perímetro não podem fazer muito. De acordo com o Relatório de violação de dados da Verizon de 2018, houve 2.216 violações confirmadas no ano passado. O relatório constata que 73% dessas violações foram cometidas por atores externos. O hacking e o malware continuam predominando.

Essas estatísticas ressaltam que, apesar de nossos melhores esforços para proteger o perímetro com “muros” cada vez mais fortes e altos, essas medidas não impedem a entrada de agentes mal-intencionados que são tenazes e têm a capacidade e os recursos completos para entrar em uma rede. É necessária uma nova mentalidade. Você tem que”presumir violação”, o que exige partir do pressuposto de que as defesas de sua rede serão comprometidas. Além disso, se você tiver uma rede plana, agentes mal-intencionados podem usar um único sistema ou dispositivo comprometido — a cabeça de praia — como plataforma de lançamento para se mover lateralmente pela rede a caminho de seus ativos mais valiosos.

Em uma rede plana, sua política padrão é permitir que todos os dispositivos e aplicativos se comuniquem entre si, tornando difícil para a segurança determinar quais conexões e fluxos de dados são legítimos. Por exemplo, um laptop emitido pelo escritório é capaz de se conectar e “conversar” com os servidores de impressão da empresa para que você possa imprimir um documento de forma rápida e fácil — esse tipo de conexão é plana. Seu telefone IP de mesa pode estar na mesma rede plana, mas faz sentido que esse telefone IP se comunique com esses servidores de impressão? Os sistemas de segurança têm dificuldade em detectar se esse tráfego e conexões são anômalos e podem ser indicadores de uma violação.

As redes planas também facilitam a ocultação enquanto os invasores tentam atravessar a rede silenciosamente. Esse período de tempo - conhecido como tempo de permanência - é em média de 101 dias globalmente. E não precisamos olhar muito para trás para encontrar ataques de alto perfil em que hackers não foram detectados por muito mais tempo — até vários anos.

As ameaças também podem vir de dentro

As redes planas também funcionam como um potencial playground para (possíveis) intrusos mal-intencionados. A primeira coisa que um insider tentaria fazer é reunir mais credenciais ou usar suas permissões elevadas existentes para acessar sistemas que estão fora da alçada de suas funções. A autenticação de dois fatores (2FA) ou a autenticação multifatorial (MFA) são respostas sólidas para lidar com credenciais roubadas nas mãos dos usuários.

No entanto, os dispositivos móveis e de máquina a máquina (M2M) são os dois principais motivos pelos quais o tráfego de dados é em ascensão dentro da sua rede e de todas as outras redes. Mais sistemas de negócios precisam interagir uns com os outros, e esse tipo de tráfego exige autenticação, que não pode ser resolvida simplesmente por 2FA ou MFA. Esse problema existe em uma variedade de dispositivos conectados e coloca em risco ativos essenciais, como repositórios de dados de clientes e sistemas de pagamento.

Como mitigar o risco em uma rede plana

Como mencionei acima, você precisa começar com uma mentalidade de “presumir violação”. Mais cedo ou mais tarde, até mesmo as melhores defesas perimetrais serão violadas. Essa mentalidade permite que você pense como um atacante e permite que o CISO faça perguntas pertinentes, como:

• Quais são nossos ativos de alto valor que um invasor tentará acessar quando se estabelecer em nossa rede?
• O que temos para impedir a livre circulação e a persistência de um invasor em nossa rede plana?

Se a resposta for “nada” ou, talvez igualmente ruim, “alguns firewalls e VLANs”, o CISO sabe que precisa agir para reduzir esse risco.

1. Identifique seus ativos mais importantes: Embora possa parecer óbvio, a classificação de seus ativos de alto valor pode ser diferente dependendo de quem você pergunta. É por isso que é importante reunir as principais partes interessadas (ou seja, seu CISO e suas equipes jurídicas e financeiras, etc.) para mapear o risco dos ativos e aplicativos dentro da infraestrutura da empresa. Uma boa maneira de fazer isso é aproveitar o Estrutura de segurança cibernética do NIST (CSF).
2. Determine a melhor proteção ou controle: Há muitas camadas para proteger um aplicativo precioso, que incluem gerenciamento de identidade e acesso (IAM), gerenciamento de vulnerabilidades e segmentação. A segmentação é um controle que se encaixa no CSF do NIST — ela garante que os aplicativos só possam ser acessados a partir de dispositivos autorizados e que esses dispositivos tenham acesso apenas a processos comerciais específicos nos aplicativos críticos.
3. Identifique possíveis soluções: A determinação de um conjunto de soluções começa com a identificação das principais partes interessadas (por exemplo, engenharia de segurança, engenharia de rede e equipes de aplicativos etc.) para analisar as soluções que estão disponíveis no mercado. Eu recomendo fortemente que eles analisem diferentes abordagens de segmentação de diferentes fornecedores e tenham em mente que a segmentação é um mercado emergente.

A rede é que a popularidade das redes planas está aumentando e, infelizmente, o apetite dos atacantes mal-intencionados também. Isso cria uma mistura perigosa. Reconhecer os riscos das redes planas é o primeiro passo. A mudança para uma mentalidade de “supor violação” inicia o processo de mitigação desse risco. Por último, mas não menos importante, implementar uma estratégia de confiança zero — baseada na suposição de que você já foi violado, mas ainda não sabe disso — ajuda a garantir que organizações com redes planas não acabem se tornando playgrounds para atacantes.