Protegendo os caminhos para os dados de uma organização

Em todo o mundo, empresas de todos os tamanhos e em todos os setores estão passando por alguma forma de I.T. transformação. Na verdade, as empresas aceleraram a digitalização de suas operações comerciais internas e externas em três a quatro anos, desde que uma pandemia atingiu o mundo. Embora o COVID-19 possa ser considerado um grande acelerador dessa mudança, os líderes organizacionais também estão reconhecendo a importância estratégica de incorporar a tecnologia em seus negócios.

Para muitos, a transformação será impulsionada pela adoção de software comercial de terceiros implantado internamente, aplicativos de software como serviço (SaaS) que hospedam dados confidenciais e bibliotecas de terceiros de código aberto que são usados ​​para construir software. Embora a introdução de tecnologia moderna seja um sinal do progresso necessário, as empresas não devem ignorar os riscos de segurança potenciais que vêm com toda essa inovação. A preponderância das cadeias de suprimentos de software exporá empresas desavisadas de maneiras novas e complexas, ultrapassando os limites das defesas de segurança tradicionais.

Cadeias de suprimentos de software vulneráveis ​​até chamaram a atenção do governo dos EUA, confirmando a urgência desse risco crescente de segurança cibernética. Em maio, os líderes governamentais deram o primeiro passo para lidar de forma proativa com as ameaças potenciais à espreita em um ecossistema crescente de dependências de terceiros. A Ordem Executiva 14028 delineia um plano que pede ao governo “que faça mudanças ousadas e investimentos significativos para defender as instituições vitais que sustentam o estilo de vida americano”. O E.O. coloca ênfase particular na segurança de software crítico ”que, observa o governo,“ carece de transparência, foco suficiente na capacidade do software de resistir a ataques e controles adequados para evitar adulteração por agentes mal-intencionados ”.

O Instituto Nacional de Padrões e Tecnologia (NIST) delineou as medidas de segurança para proteger software crítico, colocando um foco nítido nas defesas que são necessárias para proteger os dados, não apenas os sistemas e a rede ao seu redor. Essa abordagem, que se concentra em proteger os dados e todos os caminhos para eles, reconhece o problema intratável de aplicativos de software de terceiros e bibliotecas que têm acesso direto a dados confidenciais. Conforme evidenciado nos ataques bem-sucedidos realizados nos últimos meses, as organizações empresariais devem responder por um fornecedor do fornecedor ou software de terceiros que sustenta seus aplicativos e interfaces se quisermos realmente mitigar a ameaça de ataques à cadeia de suprimentos de software.

Um ecossistema complexo

Historicamente, as empresas têm se concentrado no risco apresentado por seu conjunto imediato de fornecedores e no software crítico de que dependem. Essa postura não é mais suficiente, pois I.T. a transformação ultrapassa os limites da rede tradicional e torna os controles legados menos eficazes.

Embora uma empresa possa ter os controles de segurança corretos, isso não significa que seus fornecedores em toda a cadeia de suprimentos de software tenham. A estratégia de segurança não pode mais depender de confiar em tudo, desde o ecossistema, até mesmo de parceiros e fornecedores. A expansão da cadeia de suprimentos de software, junto com a complexidade dos aplicativos modernos, significa que as vulnerabilidades serão introduzidas em uma velocidade maior. Para ajudar a lidar com a escala crescente de ataques dentro do ciclo de vida de desenvolvimento de software, as organizações precisam adotar um modelo de ameaça que inclua todas as partes da cadeia de suprimentos, incluindo o código de enésima parte.

Os aplicativos modernos são alimentados por um ecossistema complexo de interfaces de programação de aplicativos (APIs), microsserviços e funções sem servidor. Com cargas de trabalho mais efêmeras e arquiteturas distribuídas, não há solução mágica para análise de software de pré-produção. Mesmo no ciclo de vida de desenvolvimento de software (SDLC) mais rigoroso, a complexidade do desenvolvimento significa que vulnerabilidades serão introduzidas. É por isso que proteger todos os caminhos para os dados deve ser a estratégia fundamental para as organizações.

Resolvendo o problema de frente

Evidenciado por ataques anteriores à cadeia de suprimentos de software, os malfeitores estão furtivamente manobrando dentro da cadeia de suprimentos de software, explorando a vulnerabilidade em uma conexão de software de terceiros, usando-a para mover lateralmente e, finalmente, obter acesso aos dados do alvo.

A segurança do aplicativo da Web deve evoluir e se concentrar mais na identificação do comportamento do aplicativo em tempo de execução, como se o código de terceiros é responsável por ações indesejadas. Somente bloqueando comportamentos inesperados pode-se evitar novos comportamentos de ataque. Isso será fundamental para a empresa I.T. evolui para ambientes de aplicativos diversos e modernos.

As ferramentas de varredura de aplicativos são ótimas, mas é improvável que identifiquem softwares de terceiros comprometidos incorporados aos aplicativos. As ferramentas de perímetro podem ser enganadas por tráfego aparentemente inócuo de aplicativos até que as assinaturas sejam publicadas. Por último, embora muitas empresas implantem segurança de endpoint, essa tecnologia costuma ser cega aos ataques de aplicativos, visto que raramente precisam tocar nos dispositivos do usuário nos estágios iniciais.

Em vez disso, as empresas precisam implantar a autoproteção de aplicativos em tempo de execução (RASP) para detectar e prevenir ataques em tempo real e de dentro de um aplicativo. Essa tecnologia, recomendada no NIST SP 800-53 Revisão 5, pode apontar ataques até uma linha exata de código e interromper automaticamente a exploração de uma vulnerabilidade, dando às organizações o tempo necessário para corrigir as vulnerabilidades em sua própria programação.

Para permitir a inovação e manter uma vantagem competitiva, as organizações precisarão modernizar suas operações. Grande parte dessa transformação dependerá de aplicativos e serviços de terceiros.

No entanto, as vulnerabilidades de software e aplicativo são questões fundamentais de segurança e as empresas precisam estar atentas. Como tal, eles devem colocar ênfase em suas defesas, especialmente as APIs que sustentam sua transformação digital.

Com os invasores encontrando maneiras furtivas de escapar das defesas e obter acesso aos dados subjacentes, é essencial que os controles certos estejam em vigor e as ferramentas adequadas sejam utilizadas para realmente proteger os dados e todos os caminhos para eles.

Peter Klimek é diretor de tecnologia, Office of the CTO, da Imperva.