Protegendo a Jornada de Dados da Sua Organização

Em todo o mundo, empresas de todos os portes e setores estão passando por alguma forma de transformação de TI. Na verdade, as companhias aceleraram a digitalização de suas operações internas e externas em três a quatro anos desde que uma pandemia abalou o mundo. Embora a COVID-19 possa ser considerada um grande acelerador dessa mudança, os líderes organizacionais também estão reconhecendo a importância estratégica de incorporar tecnologia em todos os seus negócios.

Para muitos, a transformação será impulsionada pela adoção de software comercial pronto para uso (COTS) de terceiros implantado internamente, aplicações de software como serviço (SaaS) que hospedam dados sensíveis e bibliotecas de código aberto de terceiros usadas para construir software. Embora a introdução de tecnologia moderna seja um sinal de progresso necessário, as empresas não devem ignorar os potenciais riscos de segurança que acompanham toda essa inovação. A prevalência de cadeias de suprimentos de software expõe empresas desavisadas de maneiras novas e complexas, ultrapassando os limites das defesas de segurança tradicionais.

Cadeias de suprimentos de software vulneráveis chamaram até a atenção do governo dos EUA, confirmando a urgência desse risco crescente de cibersegurança. Em maio, líderes governamentais deram o primeiro passo para enfrentar proativamente as ameaças potenciais que se escondem em um ecossistema crescente de dependências de terceiros. A Ordem Executiva 14028 descreve um plano que convoca o governo a "fazer mudanças ousadas e investimentos significativos para defender as instituições vitais que sustentam o modo de vida americano". A ordem coloca ênfase particular na segurança de "software crítico", que, segundo o governo, "carece de transparência, foco suficiente na capacidade do software de resistir a ataques e controles adequados para evitar adulteração por atores maliciosos".

O Instituto Nacional de Padrões e Tecnologia (NIST) delineou medidas de segurança para proteger software crítico, colocando foco agudo nas defesas necessárias para proteger os dados, não apenas os sistemas e a rede ao seu redor. Essa abordagem, que se concentra em proteger os dados e todos os caminhos até eles, reconhece o problema intratável de aplicações e bibliotecas de software de terceiros que têm acesso direto a dados sensíveis. Como evidenciado nos ataques bem-sucedidos realizados nos últimos meses, as organizações empresariais devem contabilizar o fornecedor de seu fornecedor ou software de terceiros que sustenta suas aplicações e interfaces se quisermos verdadeiramente mitigar a ameaça de ataques à cadeia de suprimentos de software.

Um Ecossistema Complexo

Historicamente, as empresas focaram no risco introduzido por seu conjunto imediato de fornecedores e no software crítico do qual dependem. Essa postura não é mais suficiente, pois a transformação de TI expande os limites da rede tradicional e torna os controles legados menos eficazes.

Embora uma empresa possa ter os controles de segurança adequados, isso não significa que seus fornecedores em toda a cadeia de suprimentos de software os tenham. A estratégia de segurança não pode mais confiar em tudo que vem do ecossistema, mesmo de parceiros e fornecedores. A expansão da cadeia de suprimentos de software, junto com a complexidade das aplicações modernas, significa que vulnerabilidades serão introduzidas com maior velocidade. Para ajudar a enfrentar a escala crescente de ataques no ciclo de vida de desenvolvimento de software, as organizações precisam adotar um modelo de ameaça que inclua todas as partes da cadeia de suprimentos, incluindo código de n-ésima parte.

Aplicações modernas são alimentadas por um ecossistema complexo de interfaces de programação de aplicações (APIs), microsserviços e funções serverless. Com cargas de trabalho mais efêmeras e arquiteturas distribuídas, não há bala de prata para análise de software em pré-produção. Mesmo no ciclo de vida de desenvolvimento de software (SDLC) mais rigoroso, a complexidade do desenvolvimento significa que vulnerabilidades serão introduzidas. É por isso que proteger todos os caminhos para os dados deve ser a estratégia fundamental das organizações.

Enfrentando o Problema de Frente

Evidenciado por ataques anteriores à cadeia de suprimentos de software, atores maliciosos manobram sorrateiramente dentro da cadeia de suprimentos explorando a vulnerabilidade em uma conexão de software de terceiros, usando-a para mover-se lateralmente e, por fim, obter acesso aos dados do alvo.

A segurança de aplicações web deve evoluir e focar mais na identificação do comportamento da aplicação em tempo de execução, como se código de terceiros é responsável por ações indesejadas. Somente bloqueando comportamentos inesperados é possível prevenir novos comportamentos de ataque. Isso será crítico à medida que a TI empresarial evolui para ambientes de aplicações modernos e diversos.

Ferramentas de varredura de aplicações são ótimas, mas improváveis de identificar software de terceiros comprometido incorporado em aplicações. Ferramentas de perímetro podem ser enganadas por tráfego aparentemente inofensivo de aplicações até que as assinaturas sejam publicadas. Por fim, embora muitas empresas implantem segurança de endpoint, essa tecnologia muitas vezes é cega a ataques de aplicações, pois raramente precisam tocar dispositivos de usuário nos estágios iniciais.

Em vez disso, as empresas precisam implantar proteção de aplicação em tempo de execução (RASP) para detectar e prevenir ataques em tempo real e de dentro de uma aplicação. Essa tecnologia, recomendada na NIST SP 800-53 Revisão 5, pode identificar ataques até a linha exata de código e interromper automaticamente a exploração de uma vulnerabilidade, dando às organizações o tempo necessário para corrigir vulnerabilidades em seu próprio cronograma.

Para permitir a inovação e manter uma vantagem competitiva, as organizações precisarão modernizar suas operações. Grande parte dessa transformação dependerá de aplicações e serviços de terceiros.

No entanto, vulnerabilidades de software e aplicações são questões fundamentais de segurança, e as empresas precisam estar atentas. Como tal, devem dar ênfase às suas defesas, particularmente as APIs que sustentam sua transformação digital.

Com atacantes encontrando maneiras sorrateiras de evadir defesas e acessar os dados subjacentes, é essencial que os controles certos estejam em vigor e as ferramentas adequadas estejam sendo utilizadas para verdadeiramente proteger os dados e todos os caminhos até eles.

Peter Klimek é diretor de tecnologia, Escritório do CTO, na Imperva.