Black Hat – 6 lições para a Segurança Corporativa

Antes de qualquer coisa, vou explicar o que vem a ser o Black Hat.

Os Black Hat Briefings constituem uma série de conferências altamente técnicas de segurança de informação que reúnem os líderes do pensamento de todas as facetas do mundo INFOSEC – dos setores empresariais e governamentais para acadêmicos e pesquisadores, mesmo subterrâneos. O ambiente é estritamente fornecedor neutro e com foco no compartilhamento de idéias práticas e conhecimentos, oportuna acionável. Black Hat continua a ser o melhor e maior evento do género, único na sua capacidade de definir paisagem de amanhã a segurança da informação.

Os Black Hat Briefings se tornaram a maior série de conferências e de segurança mais importantes do mundo aderindo ao nosso valor fundamental: servir a comunidade de segurança da informação, fornecendo em tempo útil, informações de segurança acionáveis em um amistoso, meio ambiente, independente de fornecedor.

Abrindo a conferência, ex-diretor do FBI diz que negócios podem aprender com a nova forma com que a polícia enfrenta terroristas. Como o ambiente corporativo pode curar a doença da segurança da informação? Com inspiração na reforma do combate ao terrorismo pelo FBI. Foi essa a abordagem de Shawn Henry, presidente da CrowdStrike, em seu keynote de abertura do Black Hat 2012, em Las Vegas (Nevada, EUA). Até Março de 2012, Henry era diretor executivo assistente do FBI, responsável por todas as investigações criminais da agência por todo o mundo, incluindo ciberinvestigações, o grupo de resposta a incidentes críticos e investigações internacionais.

Depois dos atentados de 11 de Setembro, o FBI se reformou para combater com mais força “ataques terroristas cinéticos – bombas explodindo e pessoas morrendo”, disse Henry. Isso significou admitir que os terroristas já agiam dentro do país, e encontrar a melhor maneira de ajudar a bureau e outras agências de inteligência a reunir e compartilhar melhor inteligência.

Agora é a vez de empresas admitirem que também enfrentam novos tipos de riscos. “Hoje, com um laptop de US$ 500 e conexão com a internet, qualquer um pode atacar qualquer um, em qualquer lugar”, disse Henry. Mas muitos executivos sêniores parecem ter dificuldade em aceitar esse novo estado de insegurança. “Eu ainda ouço de CEOs: mas por que eu seria alvo? Por que viriam atrás de mim?”, contou Henry.

Esses executivos sêniores devem ser proativos no combate a essas ameaças. Para isso, Henry recomenda pôr em prática essas seis lições aprendidas com o FBI:

1• Suponha que tem uma brecha. Nos últimos anos, muitos CISOs ajustaram suas perspectivas sobre segurança da informação. Em vez de tentar manter uma rede 100% segura, eles admitem que prevenir todas as brechas é impossível. Assim, eles precisam de agilidade para interromper rapidamente uma intrusão e responder com a mesma agilidade.

Infelizmente, nem todos os negócios pensam assim. “Não sei dizer quantas vezes os agentes do FBI disseram que encontraram vazamentos de dados, porque encontravam dados da empresa fora da rede”, disse Henry. “Sentamos com o CISO ou COO e eles disseram que isso não poderia ter acontecido”. Mas, geralmente, após uma breve análise, eles descobriam que a segurança do perímetro estava com brecha há meses – e em alguns casos, há anos. É claro que, como eles não identificaram a brecha, informações sigilosas do negócio poderiam estar expostas há meses ou anos.

2 • Atenção aos serviços de inteligência estrangeiros. Quem é o melhor em roubar dados corporativos? “Serviços de inteligência estrangeiros… são a principal ameaça hoje em dia”, disse Henry, que disse também que existem dezenas de serviços de inteligência com a habilidade de lançar operações de coleta de informações de reconhecimento de território inimigo altamente sofisticadas. Quando tais operações são bem sucedidas, disse ele, elas colocam os negócios “inimigos” em desvantagem durante negociações. “É como jogar pôquer com cartas marcadas”, concluiu.

3 • Seja proativo. “Se você concordar com a premissa de que já existem brechas em sua rede, de que eles já invadiram, então porque não está agindo contra eles?”, disse Henry. “É preciso procurar brechas constantemente”. Mas, ele parou para destacar os ataques hack-back, que são contra lei. Em vez disso, ele recomendou contra-inteligência, como deixar “documentos-isca” – inteligência falsa – para enganar os criminosos.

4 • Mantenha informações importantes fora da rede. “Uma das coisas que aprendi no FBI é que existem certos tipos de coisa que não se coloca na rede”, disse ele, incluindo informações sobre técnicas sigilosas de investigação ou transcrições de intercepções judiciais. Como manter essas informações sigilosas fora da rede dificulta ainda mais o roubo, continuou Henry, “eu não compreendo porque mais empresas não dividem os dados em diferentes compartimentos”.

5 • Altere métricas para rastrear a velocidade da resposta às brechas. Os programas de segurança da informação de hoje devem ser avaliados de acordo com a velocidade de resposta. “Quanto tempo depois de ter a rede invadida poderei identificar e mitigar a ameaça?”, disse Henry. “A antiga métrica de segurança da informação seria ‘podemos evitar que nossa rede seja invadida’. E eu diria que se seu bônus estiver ligado a essa métrica, não serão muitos presentes de Natal debaixo da sua árvore este ano”.

Henry contou como o FBI fez mudanças conceituais similares quando começou a medir com que velocidade poderia responder às ameaças identificadas em vez de simplesmente analisar números de prisões, processos e convicções que ganhou.