Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Vá direto para um resumo gerado por IA desta postagem do blog 
Este artigo faz parte de uma série em que analisamos um recente Aviso Conjunto de Segurança Cibernética da NSA/CISA sobre as principais questões de segurança cibernética identificadas durante exercícios das equipes vermelha e azul conduzidos por essas organizações. Neste artigo, você encontrará uma análise mais aprofundada da questão específica, com cenários reais em que ela se aplica, bem como estratégias de mitigação que podem ser adotadas para limitá-la ou superá-la. Isso complementa as informações fornecidas pelo relatório da NSA/CISA.
–
Muitas vezes, as configurações padrão fornecidas pelos fabricantes não são otimizadas para segurança, deixando os sistemas vulneráveis a ataques. As configurações padrão dos serviços e aplicativos do sistema podem, inadvertidamente, abrir portas para acesso não autorizado e atividades maliciosas ou facilitar operações de reconhecimento por parte de adversários, ao se basearem em condições operacionais bem conhecidas.
Há duas questões importantes que se destacam: credenciais padrão e permissões padrão de serviços, além de configurações permissivas. Essas configurações, destinadas a facilitar a instalação e o uso, muitas vezes se tornam o elo mais fraco da segurança cibernética.
Impacto no mundo real
Ao implantar uma pilha de software bem conhecida (por exemplo, LAMP – Linux, Apache, MySQL e PHP), o estado do sistema resultante pode ser facilmente inferido e replicado. Isso facilita a recriação do sistema de um alvo em potencial e a busca por vulnerabilidades, em vez de acionar sistemas de monitoramento e alerta em tentativas de sondagem por parte de agentes mal-intencionados contra os sistemas reais. Também tornará mais fácil para um adversário identificar possíveis vetores de ataque, bastando identificar um componente e, então, presumir (corretamente) que toda a pilha está presente.
Problemas com a configuração padrão
Em seus testes de equipe vermelha/azul, a NSA e a CISA identificaram os seguintes exemplos comuns:
Credenciais padrão
Os dispositivos de rede comerciais prontos para uso (COTS) geralmente vêm com credenciais padrão predefinidas para contas administrativas. Essas credenciais podem ser facilmente identificadas e exploradas por agentes mal-intencionados para obter acesso não autorizado aos dispositivos, redefinir contas administrativas ou aproveitar credenciais de VPN. Além disso, dispositivos como impressoras, scanners e dispositivos de IoT, com suas contas de domínio privilegiadas já configuradas, podem proporcionar aos invasores a capacidade de movimentação lateral dentro de uma rede.
No passado, ocorreram incidentes de grande repercussão — ou que se agravaram — devido à exploração dessas configurações padrão. As botnets que têm como alvo dispositivos de IoT, em particular, prosperam e crescem em ambientes onde a movimentação e a descoberta de novos bots são realizadas por meio da exploração de estados conhecidos de configuração padrão, permitindo assim a disseminação rápida e simples da botnet por vários dispositivos, redes e organizações.
Serviços de Certificados do Active Directory (ADCS) não seguros
O ADCS, um componente essencial no gerenciamento da Infraestrutura de Chave Pública (PKI) em ambientes do Active Directory, pode ser comprometido devido a configurações incorretas dos modelos. Por exemplo, habilitar o cadastro pela web sem proteções adequadas pode permitir que invasores obtenham certificados fraudulentos, se passem por entidades legítimas e obtenham acesso não autorizado a sistemas e dados críticos.
Protocolos e serviços legados inseguros
Serviços de rede vulneráveis, como o LLMNR e o Serviço de Nomes NetBIOS no Windows, podem ser explorados por meio de técnicas de falsificação, envenenamento e retransmissão. Esses protocolos, se permanecerem ativados, permitem que invasores interceptem hashes de domínio e obtenham acesso ao sistema, representando uma ameaça significativa aos ambientes Windows.
Serviço de Bloco de Mensagens do Servidor (SMB) não seguro
O serviço SMB, utilizado principalmente para compartilhamento de arquivos no Windows, é mais uma vítima de configurações padrão inseguras. A ausência de assinatura obrigatória no SMB permite que invasores realizem ataques do tipo “man-in-the-middle”, acessando sistemas remotos sem precisar capturar e quebrar hashes.
Embora esses resultados pareçam indicar que o problema é mais comum em redes baseadas no Windows, isso não é necessariamente verdade. Os resultados podem simplesmente ter sido distorcidos pelos ambientes de teste disponíveis. Configurações padrão conhecidas podem, e de fato afetam, qualquer tipo de sistema operacional e ambiente. Por exemplo, a maioria das distribuições Linux vem com uma configuração do sshd (daemon do Secure Shell) ativada que não exige o login baseado em chave (nem mesmo o habilita) por padrão, mesmo que essa forma de autenticação seja mais resiliente do que o login tradicional com senha. Outra configuração padrão comum é a ausência de qualquer proteção contra ataques de força bruta no mesmo serviço sshd, tornando qualquer sistema Linux recém-implantado (e conectado à Internet) imediatamente um alvo para exércitos de bots que procuram contas vulneráveis por meio de tentativa e erro.
Estratégias de mitigação
Para combater essas vulnerabilidades de segurança cibernética, é fundamental modificar as configurações padrão dos aplicativos e dispositivos antes de sua implantação. Isso inclui alterar ou desativar nomes de usuário e senhas padrão fornecidos pelo fabricante e exigir o uso de senhas fortes. No caso do ADCS, garanta configurações seguras atualizando e aplicando patches à infraestrutura, empregando mecanismos robustos de monitoramento e auditoria e implementando controles de acesso rigorosos. Revisar e restringir as permissões nos modelos do ADCS também é essencial para impedir a emissão não autorizada de certificados.
Como estratégia mais rigorosa, os sistemas não devem ser deixados em um estado utilizável imediatamente após a implantação, como parte de uma abordagem de arquitetura de segurança cibernética. Quando um sistema é implantado e fica imediatamente utilizável, os benefícios de alterar a configuração ficam reduzidos. Assim, fazer com que o estado padrão não seja imediatamente utilizável tornaria a necessidade de alteração de configuração obrigatória, em vez de opcional. Embora isso vá contra as expectativas e tenha alguns detratores, também forçaria as equipes de TI a aplicar intencionalmente modificações de configuração específicas para cada ambiente, o que tornaria uma implantação diferente da seguinte, reduzindo significativamente esse tipo de risco. Esse tipo de abordagem, embora mais eficaz, apresenta, portanto, algumas desvantagens — a saber, o aumento da carga de trabalho e do tempo de implantação de novos sistemas.
Em resumo, algumas estratégias possíveis para amenizar o problema incluem:
Modificar as configurações padrão antes da implantação
Altere ou desative os nomes de usuário e senhas padrão antes de implantar os sistemas. Utilize senhas fortes e siga as diretrizes de segurança fornecidas pelos fornecedores.
Utilizar ferramentas de gerenciamento de configuração
Utilize ferramentas de automação de segurança cibernética para o gerenciamento de configurações, a fim de garantir uma implantação segura desde o início.
Incorporar auditorias e atualizações regulares
Realize auditorias regulares nas configurações e aplique as atualizações necessárias para corrigir vulnerabilidades.
Educar e treinar os funcionários
Implementar programas abrangentes de treinamento em segurança cibernética para aumentar a conscientização sobre os riscos associados às configurações padrão. Isso é especialmente importante em ambientes BYOD, nos quais o risco das configurações padrão decorre de dispositivos externos.
Implementar uma política de estado padrão inoperante
Implemente sistemas em um estado padrão não utilizável para obrigar as equipes de TI a aplicar as configurações de segurança necessárias. Discuta as vantagens e desvantagens dessa abordagem, como o aumento do tempo de implantação e a possível resistência.
Monitoramento e registro contínuos
Estabeleça práticas contínuas de monitoramento e registro para detectar alterações não autorizadas nas configurações. Considere criar alertas para a presença de configurações padrão em um sistema.
