Segundo a Kaspersky, o número de ataques via acessos remotos aumentou 330% no país entre fevereiro e abril de 2020 colocando em risco a segurança da informação. Muito pode ser analisado em torno desse aumento, mas podemos começar por:
Meu sistema está protegido?
Quando pensamos em intrusão de sistemas imaginamos técnicas apuradas, poucas pessoas capazes e dias de trabalho. Mas, não é bem a realidade, pois uma simples busca no Google por “filetype:txt intext:senha” já revela possíveis senhas válidas, por um erro de configuração e falta de informações de usuários de fora da área de TI.
Em 1992, durante uma ligação, Kevin Mitnick foi capaz de ensinar uma funcionária da Motorola a compactar o código fonte do Motorola MicroTAC Ultralite e enviar via FTP para ele. Apenas usando engenharia social ele foi capaz de burlar toda segurança da empresa na época.
Já na fase inicial de um projeto existe uma gama de boas práticas de desenvolvimento e ferramentas que dificultam uma intrusão em um sistema com técnicas mais conhecidas, como brute force e SQL Injection. A presença de um desenvolvedor com conhecimento de hacking no momento de refinamento de cada função pode ajudar a prever as falhas mais comuns e evitar que cheguem ao ambiente produtivo.
Um ponto sensível é a infraestrutura onde o será disponibilizado. Ferramentas como firewall e proxy são de grande ajuda, mas não dispensam um profissional focado em segurança, pois a correta configuração de todo o fluxo pode evitar mais falhas, como as que aconteceram recentemente em um grande player do mercado global por falha na configuração da AWS.
Segundo We Are Social e Hootsuite, em janeiro de 2021 existam 4,54 bilhões de usuários na internet. Por onde começar a treinar tantas pessoas?
Um bom começo seria treinando quem está ao nosso redor – não só quem lida com a informação diretamente como desenvolvedores, mantenedores de infra e administradores de banco de dados para evitar que falhas cheguem aos ambiente produtivos – mas principalmente quem não tem esse contato direto e detêm o conhecimento, para evitar que o processo de engenharia social invalide todo o investimento na segurança da informação.
Treinar todos os colaboradores sem exceção é o primeiro e mais importante passo para que as definições de segurança sejam atualizadas.
Carlos Henrique Vieira da Silva, Analista de Sistemas na BRQ
