O que significa a importante diretiva da CISA e como você deve agir?

Vamos admitir: todo mundo já está farto disso. As vulnerabilidades estão por toda parte, e é quase impossível resolver o problema de forma totalmente eficaz.

Algumas organizações se empenham bastante, implantando soluções de ponta para gerenciamento de vulnerabilidades e aplicação de patches em tempo real para minimizar o impacto das vulnerabilidades, mas muitas outras enfrentam dificuldades, e algumas nem sequer fazem qualquer esforço.

Essa falta de ação abre espaço para agentes mal-intencionados, e a Agência de Segurança Cibernética e de Infraestrutura (CISA) já havia observado tantos ataques bem-sucedidos que sentiu a necessidade de estabelecer um limite — obrigando as agências sob sua jurisdição a agir.

É por isso que, em 3 de novembro, a CISA emitiu uma nova diretiva que obriga as agências federais civis a corrigir 306 vulnerabilidades críticas que, segundo a CISA, costumam levar a ataques bem-sucedidos.

O que é a CISA e o que é uma diretiva da CISA?

A Agência de Segurança Cibernética e de Infraestrutura é um órgão federal criado sob a supervisão do Departamento de Segurança Interna dos Estados Unidos para supervisionar e gerenciar os riscos de segurança cibernética enfrentados pelos órgãos do governo federal dos Estados Unidos.

A CISA emite diretrizes vinculativas que abrangem temas críticos da atualidade em matéria de segurança cibernética, e as agências federais são obrigadas a cumprir essas diretrizes. Em outras palavras, quando a CISA emite uma diretriz, inúmeras organizações governamentais são obrigadas a agir — por exemplo, corrigindo uma vulnerabilidade.

Também vale a pena observar que, quando uma diretiva é emitida pela CISA, ela se aplica a todo o software e hardware afetados utilizados nos sistemas de informação federais: independentemente de esses sistemas serem hospedados pela agência ou fornecidos por um fornecedor terceirizado — o que amplia o escopo implícito de uma diretiva da CISA.

O que diz a mais recente diretiva da CISA?

Como dissemos no início deste artigo, todo mundo está ficando cansado das consequências do complexo cenário da segurança cibernética. E as consequências da inércia aumentam a cada dia. É por isso que, em sua última diretiva, a CISA publicou uma lista de 306 vulnerabilidades que as agências federais são obrigadas a corrigir dentro de um prazo específico.

A CISA publicou essa lista porque constatou que um conjunto específico de vulnerabilidades é responsável por uma grande proporção dos ataques cibernéticos bem-sucedidos. O objetivo era garantir que as agências federais corrigissem essas vulnerabilidades para reduzir significativamente o número total de ataques cibernéticos bem-sucedidos contra órgãos governamentais.

A diretiva também contém uma série de requisitos de validação e relatórios que estão além do escopo deste artigo, mas que demonstram a seriedade com que a CISA encara a questão em pauta. A recente diretiva da CISA representa um esforço para melhorar, na medida do possível, uma situação imperfeita, abordando as vulnerabilidades mais perigosas.

Exemplos de vulnerabilidades incluídas na diretiva da CISA

Agora que sabemos o que é uma diretiva da CISA, vamos examinar as vulnerabilidades abrangidas — e por que elas são importantes. Trata-se de uma ampla gama de vulnerabilidades — desde a infraestrutura de servidores (Linux e Apache, por exemplo) até aplicativos da Microsoft e da SAP, incluindo até mesmo vulnerabilidades nos dois sistemas operacionais móveis mais populares. Tudo o que está entre esses extremos também está abrangido — a lista chega a mencionar ferramentas de segurança da Sophos, da SonicWall e da Trend Micro.

Tomemos como exemplo a vulnerabilidade da macro “Widget Connector” no Atlassian Confluence, uma ferramenta de colaboração popular utilizada tanto por empresas privadas quanto por órgãos governamentais. Essa vulnerabilidade permite que invasores realizem remotamente um ataque de execução remota de código e de transposição de caminho, utilizando a injeção de modelo no lado do servidor.

Outro exemplo está relacionado ao popular servidor HTTP Apache – onde várias versões da versão 2.4 do Apache contêm uma vulnerabilidade do tipo “scoreboard”. Os invasores podem executar código em processos filhos com privilégios reduzidos e escalar a execução de código arbitrário para processos pais com privilégios totais no sistema. Essa vulnerabilidade do Apache está listada como CVE-2019-0211 e, mais uma vez, a CISA a incluiu em sua lista por se tratar de uma exploração perigosa comumente utilizada na prática.

Isso mostra exatamente quão ampla é a gama de vulnerabilidades abrangidas pela diretiva da CISA, o que, por sua vez, demonstra o quão generalizada é a ameaça à segurança cibernética — as ameaças estão à espreita em todos os lugares, e é, sem dúvida, um desafio gerenciá-las de forma abrangente.

Espere aí, o que a CISA tem a ver conosco?

A diretiva da CISA é dirigida às agências federais em todo o território dos Estados Unidos. Você pode muito bem se perguntar: o que uma diretiva do governo dos EUA tem a ver com empresas comerciais — sem falar nas empresas localizadas em outros países?

Embora a mais recente diretriz da CISA não tenha qualquer autoridade sobre organizações fora do governo federal dos EUA, ela traz várias lições valiosas.

Primeiramente, a CISA compilou dados sobre incidentes de segurança cibernética e listou as vulnerabilidades que mais comumente causam danos. Sua organização deve considerar acompanhar essa lista — que continuará a sofrer alterações — para verificar se utiliza algum dos aplicativos, serviços ou dispositivos listados no relatório. Se for o caso, considere aplicar as correções o mais rápido possível – ou migrar para soluções alternativas. É importante ressaltar que, segundo a descrição fornecida pela CISA, essas são vulnerabilidades que já estão sendo exploradas atualmente – portanto, não se trata apenas de corrigir algo que possa vir a ser explorado no futuro; esses bugs estão sendo explorados ativamente .

Mas há uma questão mais ampla em jogo. Como destacamos no início deste artigo, as vulnerabilidades e os ataques cibernéticos associados são tão generalizados que todo mundo já está ficando cansado disso. As medidas de mitigação funcionam, mas até certo ponto.

Essa lista específica elaborada pela CISA é uma tentativa de chamar a atenção para as vulnerabilidades mais prejudiciais — mas, por implicação, ela reconhece que as medidas tradicionais de gerenciamento de vulnerabilidades simplesmente não estão dando conta do recado. Algo precisa mudar.

As estratégias atuais são desafiadoras

Portanto, embora a lista anexada à diretiva da CISA aponte para correções críticas e imediatas, ela só existe devido a estratégias imperfeitas de gestão de riscos. Mais especificamente, ela mostra o quão incompleto é o regime típico de aplicação de patches — afinal, muitas das vulnerabilidades da lista da CISA poderiam ser facilmente corrigidas com patches simples.

A lista da CISA não é, de forma alguma, uma alternativa à avaliação contínua de vulnerabilidades e à aplicação de correções — trata-se apenas de uma resposta ao fato de que as estratégias de risco de segurança cibernética simplesmente não são perfeitas. A mensagem subjacente é que as organizações precisam aprimorar sua gestão de riscos de segurança cibernética, estejam elas sob a alçada da CISA ou não.

Fazer isso não é simples, é claro, devido ao tempo e aos recursos limitados – bem como às implicações práticas das estratégias de mitigação. Veja a aplicação de patches, por exemplo. Sim, todos sabem que a aplicação de patches é importante, mas, na realidade, ela costuma ser negligenciada. A aplicação de patches é negligenciada porque os administradores de sistemas não têm tempo para aplicá-los de forma completa – e porque a aplicação de patches pode causar interrupções, levando a períodos de inatividade que frustram as partes interessadas.

Em órgãos governamentais que enfrentam dificuldades financeiras, pode ser que não haja orçamento nem recursos disponíveis e que, muito provavelmente, não haja ninguém com a responsabilidade final. Mas isso também se aplica às organizações comerciais.

Melhorar o gerenciamento de patches é um começo

A aplicação de patches é um dilema: mesmo que você tenha os recursos necessários para aplicá-los, a interrupção associada pode ser um fator decisivo. Existem maneiras de contornar essa interrupção — contar com um planejamento minucioso pode ajudar, enquanto sistemas redundantes e com balanceamento de carga também podem contribuir para minimizar o impacto da aplicação de patches. Mas, mesmo com os melhores esforços, a aplicação de patches continua imperfeita — deixando brechas para os invasores.

Felizmente, a tecnologia de ponta costuma nos tirar de situações difíceis. E isso também se aplica à aplicação de patches – graças ao que é chamado de “aplicação de patches em tempo real”, os administradores de sistemas podem garantir que os patches sejam aplicados a serviços críticos sem a necessidade de reiniciá-los.

A aplicação de patches em tempo real é uma maneira simples e automatizada de aplicar patches em serviços essenciais e de uso comum, com a aplicação feita instantaneamente. A aplicação de patches em tempo real reduz o tempo gasto com a aplicação de patches, permitindo que os administradores de sistema realizem a atualização de forma mais completa e, ao mesmo tempo, liberem tempo para outras tarefas urgentes.

Minimizar as interrupções – e melhorar a segurança

O mais importante, porém, é que a aplicação de patches em tempo real elimina as interrupções. Em outras palavras, graças à aplicação de patches em tempo real, as equipes técnicas podem garantir que a aplicação ocorra de forma consistente e eficiente, sem a necessidade de interromper os serviços, planejar janelas de manutenção ou coordenar a colaboração das partes interessadas. Ou seja, há menos obstáculos à aplicação de patches.

E todos nós compreendemos os benefícios de aplicar patches de forma consistente: quando os patches são aplicados quase tão rapidamente quanto são lançados, isso minimiza a janela de oportunidade para um invasor. Não é possível aplicar patches mais rápido do que a velocidade com que eles são lançados, e entre o dia zero e o lançamento de um patch, sempre existe uma janela de oportunidade.

No entanto, os invasores levam tempo para explorar uma vulnerabilidade e encontrar um alvo e, de modo geral, as correções são lançadas com rapidez suficiente para impedir a maioria dos invasores. Se a correção não for aplicada, aumenta a chance de um ataque. Mas, se for aplicada assim que for lançada, a janela de oportunidade é mínima.

Para uma análise mais aprofundada sobre como se proteger contra ameaças de segurança sem patch, confira nossa explicação completa sobreexploits de dia zero.

A principal lição da diretiva da CISA

A aplicação de patches e, de fato, outros métodos de mitigação de riscos de segurança cibernética não são implementados com a consistência necessária. Isso deixa aos invasores amplas — e, às vezes, indefinidas — janelas de oportunidade para que agentes mal-intencionados lancem um ataque. É por isso que a CISA se sentiu motivada a publicar uma diretriz — a lista da CISA contém vulnerabilidades comumente atacadas que a agência sabe que as agências federais não estavam conseguindo corrigir.

A lição, é claro, é que a aplicação de patches deve ser aprimorada, assim como outras medidas de segurança cibernética. Não deveria ser necessário que a CISA ou qualquer outra entidade publicasse um lembrete sobre os patches que precisam ser instalados.

Então é assim que as coisas estão: a aplicação de patches imperfeita chega a um ponto tão grave na prática que uma agência federal dos EUA precisa emitir uma diretriz. A solução? Um gerenciamento melhor de patches e, de modo geral, um gerenciamento de segurança mais eficaz. Felizmente, as ferramentas necessárias estão surgindo aos poucos — e, quando se trata de aplicação de patches, a aplicação em tempo real é uma solução rápida e eficaz — não há maneira mais rápida de aplicar patches nos sistemas do que essa.