NIST Lança Novas Ferramentas de Cibersegurança para Combater Ameaças Patrocinadas por Estados

Publicação Especial 800-172 projetada para proteger informações sensíveis em uma variedade de sistemas eletrônicos.

Nações ao redor do mundo estão adicionando ciberguerra ao seu arsenal, empregando equipes altamente qualificadas para lançar ataques contra outros países. Esses adversários também são chamados de "ameaça persistente avançada", ou APT, porque possuem as ferramentas e recursos para perseguir seus objetivos repetidamente por um período prolongado, adaptando-se aos esforços dos defensores para resistir a eles.

Dados vulneráveis incluem informações sensíveis, mas não classificadas, gerenciadas por governo, indústria e academia em apoio a vários programas federais. Agora, uma publicação finalizada do Instituto Nacional de Padrões e Tecnologia (NIST) fornece orientação para proteger tais "informações controladas não classificadas" (CUI) da APT. A Publicação Especial (SP) 800-172 do NIST, Requisitos de Segurança Aprimorados para Proteção de Informações Controladas Não Classificadas: Um Suplemento à NIST SP 800-171, oferece um conjunto de ferramentas projetadas para contra-atacar os esforços de hackers patrocinados por estados e complementa outra publicação do NIST voltada para proteger CUI.

"Ciberataques são conduzidos com armas silenciosas, e em algumas situações essas armas são indetectáveis", disse Ron Ross, cientista da computação e fellow do NIST. "Como você pode não 'sentir' os efeitos diretos do próximo hack ainda, pode pensar que ele está vindo em algum momento no futuro; mas na realidade, está acontecendo agora."

O governo federal depende fortemente de provedores de serviços não federais para ajudar a realizar uma ampla gama de missões usando sistemas de informação – um termo que inclui computadores, mas também uma variedade de outras tecnologias especializadas, como sistemas de controle industrial e Internet das Coisas. A proteção de informações federais sensíveis que residem em sistemas não federais – como aqueles usados por governos estaduais e locais, faculdades e universidades, e organizações de pesquisa independentes – é de importância primordial, pois pode impactar diretamente a capacidade do governo federal de realizar suas operações. Um hack em 2018 que comprometeu informações sensíveis inspirou diretamente o trabalho da equipe do NIST na SP 800-172.

Anteriormente numerada SP 800-171B durante seus estágios de rascunho, a SP 800-172 oferece recomendações adicionais para lidar com CUI em situações onde essa informação corre um risco maior que o normal de exposição. CUI inclui uma ampla variedade de tipos de informação, desde nomes de indivíduos ou números de Seguro Social até informações críticas de defesa.

"Desenvolvemos a SP 800-171 em resposta a grandes ciberataques na infraestrutura crítica dos EUA, e seu documento complementar SP 800-172 é projetado para mitigar ataques de ameaças cibernéticas avançadas, como a APT", disse Ross. "Implementar as salvaguardas cibernéticas na SP 800-172 ajudará proprietários de sistemas a proteger o que hackers de nível estadual consideraram alvos de alto valor particularmente: informações sensíveis sobre pessoas, tecnologias, inovação e propriedade intelectual, a revelação das quais poderia comprometer nossa economia e segurança nacional."

Os requisitos de segurança aprimorados devem ser implementados além daqueles na SP 800-171, já que essa publicação não é projetada para abordar a APT. Os requisitos na SP 800-172 aplicam-se aos componentes de sistemas não federais que processam, armazenam ou transmitem CUI ou que fornecem proteção para tais componentes. Para estreitar ainda mais o escopo, os requisitos são aplicados apenas quando o CUI designado está associado a um programa crítico ou ativo de alto valor – a mais alta prioridade para proteção.

Desenvolvida principalmente para administradores como gerentes de programa, CIOs e auditores de sistemas, a publicação aborda a proteção de CUI para componentes de sistemas promovendo arquitetura resistente a penetração, operações limitadoras de danos e designs para alcançar resiliência e sobrevivência cibernética. Suas ferramentas, divididas em 14 famílias, não se destinam a ser implementadas em massa, mas selecionadas de acordo com as necessidades da organização.

"Muito provavelmente, uma organização implementando esta orientação não vai querer usar todos os requisitos de segurança aprimorados que oferecemos aqui", disse Ross. "A decisão de selecionar um conjunto particular de requisitos de segurança aprimorados será baseada em suas necessidades de missão e negócios – e então guiada e informada por avaliações de risco contínuas."

Em resposta ao feedback recebido durante o período de comentário público, o rascunho final inclui orientação atualizada de escopo e aplicabilidade e uma abordagem de seleção de requisitos mais flexível para permitir que organizações personalizem suas soluções de segurança.

Ross disse que as ferramentas na nova publicação devem oferecer esperança a qualquer pessoa que busque se defender contra hacks, mesmo por uma ameaça tão intimidadora quanto a APT.

"Os adversários estão trazendo seu 'jogo A' nesses ciberataques 24 horas por dia, 7 dias por semana", disse ele. "Você pode começar a garantir que o dano seja minimizado se usar as salvaguardas cibernéticas da SP 800-172."

Fonte original: https://www.nist.gov/news-events/news/2021/02/nist-offers-tools-help-defend-against-state-sponsored-hackers