Vulnerabilidades de segurança surgem o tempo todo e colocam em risco qualquer negócio que usa tecnologia. Em resumo, elas representam a oportunidade ideal para indivíduos maliciosos invadirem seus sistemas e instaurarem o caos. De roubo de dados ao comprometimento de informação e além, as vulnerabilidades são um problema que requerem atenção das empresas de hoje.

De acordo com dados recentes, cada vez mais delas vêm sendo descobertas a um ritmo sem precedentes:

• 2017 foi um ano recorde no descobrimento de vulnerabilidades exploráveis, segundo a SecurityWeek. No geral, mais de 20.000 falhas deste tipo foram descobertas ao longo do ano, um aumento de 30% em relação a 2016. Embora haja mais de uma interpretação para estes números – eles podem ser vistos como uma evidência do aumento dos riscos em segurança ou uma postura mais ativa dos usuários em relatar as vulnerabilidades – é fato que este aumento dos riscos nas plataformas é motivo para preocupação;
• Segundo Brian Gorenc, diretor do Zero Day Initiative – maior programa agnóstico de detecção de vulnerabilidades do mundo, o número de brechas cresceu 42% em 2018 e promete seguir crescendo em 2019.
• Um relatório da RiskBased Security apontou que até agosto de 2018, mais de 10.000 vulnerabilidades já haviam sido relatadas. Isso incluía 3.000 falhas potenciais que muitas empresas ainda não haviam solucionado.

“A gravidade das vulnerabilidades informadas ainda se mantém significativa, demandando que as organizações se mantenham vigilantes, implementando um plano abrangente de análise e gestão de vulnerabilidades “, afirma a RiskBased Security.

Embora esteja cada vez mais desafiador se proteger do crescimento das vulnerabilidades – em particular as que ocasionam ataques de zero-day – há várias estratégias que as empresas podem adotar para fortalecer sua segurança.

Tipos de vulnerabilidades e como são usadas para fins maliciosos

Antes de nos aprofundarmos nessas estratégias, contudo, é importante observar como estas vulnerabilidades são usadas na prática por indivíduos mal-intencionados.

Conforme discutido no ebook da Trend Micro “Um passo à frente dos criminosos”, existem diversos tipos de vulnerabilidades, as quais trazem diferentes desafios-chave para a segurança:

Um exemplo clássico são os erros em programação ou problemas similares no software que podem ser explorados por hackers para suplantar a proteção por senha ou outras medidas e acessar sistemas sem autorização. Infelizmente, estes problemas são comuns, com novas vulnerabilidades exploráveis sendo descobertas com frequência por especialistas em segurança.

Enquanto vulnerabilidades gerais tipicamente têm patches ou atualizações disponíveis para serem corrigidas, este não é o caso de vulnerabilidades de zero-day. Elas se tratam de problemas recém-descobertos e ainda não solucionados por fabricantes. Como explicado pela Trend Micro, “o nome advém do fato de que o fabricante tem ‘zero’ dias para solucionar o problema, ou simplesmente optou por não o solucionar”.

Uma vulnerabilidade não divulgada, por outro lado, também representa um risco considerável para a segurança da empresa. Estas falhas já foram identificadas e relatadas, mas ainda não foram divulgadas para o público, dando tempo hábil para os fabricantes consertarem o problema.

Em ambos os casos, as vulnerabilidades podem ser usadas pelos hackers para conseguir acesso não autorizado, instalar malware, extrair dados ou modificar arquivos, lançar um ataque de negação de serviço (DDoS) ou assumir o controle dos sistemas. Isso é só a ponta do iceberg – as vulnerabilidades oferecem uma vasta gama de opções para criminosos realizarem todo tipo de ataque, todos com potencial para impactar a produtividade da empresa, seus lucros, sua relação com o cliente, parcerias e sua reputação de forma geral.

Como lidar com as vulnerabilidades dentro da empresa

Existem diversas abordagens críticas que podem ser adotadas por equipes de negócios e TI para defender a empresa contra vulnerabilidades de software.

Manter-se atualizado quanto às pesquisas de segurança

Quando uma vulnerabilidade é descoberta e relatada, especialistas em segurança como os da Trend Micro procuram informar os usuários sobre as falhas de segurança, seus riscos potenciais e como as organizações podem se proteger. Uma das melhores formas de manter uma postura atualizada em segurança é prestando atenção a pesquisas de ponta, como o ebook Um passo à frente dos criminosos, usando seus insights para trazer vantagens para o negócio.

“Os pesquisadores de riscos e cientistas de dados dos laboratórios da Trend Micro Research ao redor do mundo identificam e divulgam novas vulnerabilidades em diversas plataformas”, afirma a empresa em seu ebook, falando de seu programa de pesquisa. “Por meio de workflows e técnicas refinadas ao longo dos anos junto a nossos parceiros, nossa equipe altamente capacitada de pesquisadores pode usar engenharia reversa nas ameaças de segurança e oferecer proteção rapidamente para nossos clientes”.

A Trend Micro também apoia o maior programa do mundo de caça a bugs – o Zero Day Initiative (ZDI) – permitindo aos usuários e aos white hats em todo o mundo reportar vulnerabilidades em um esforço para consertar o problema o mais rápido possível. E o melhor:  estes indivíduos são recompensados por estas divulgações – a Apple, por exemplo, ofereceu US$100.000 para quem conseguisse extrair informações sensíveis do Secure Enclave.

Cuidado com updates e patches – e priorize suas ações adequadamente

Além das pesquisas feitas por provedores de soluções e outros experts, também é importante que os líderes de TI fiquem atentos a patches e atualizações liberadas pelos fabricantes.

A Microsoft, por exemplo, é conhecida pela data extraoficial “Patch Tuesday”, visto que muitos dos patches e atualizações são liberadas às terças (Tuesday, em inglês). Empresas que dependem das soluções Microsoft devem checar suas atualizações frequentemente de acordo com  cronograma de atualizações do fabricante.

Contudo, conforme publicado no ebook da Trend Micro, com tantos patches sendo regularmente liberados, já é difícil para as equipes de TI se manterem em dia com todas as atualizações. Isso significa que há tempo hábil para os hackers explorarem vulnerabilidades identificadas antes que a empresa consiga aplicar os patches disponíveis.

A solução, no caso, é estabelecer um processo de priorização de patching que leve em conta o seguinte:

• A gravidade do problema a ser solucionado: a Microsoft e outros fabricantes costumam classificar as vulnerabilidades em termos de criticidade e risco. Os patches mais importantes devem ser aplicados assim que possível, enquanto outros podem esperar mais tempo
• Vulnerabilidades que impactem seus programas principais: assim como no caso acima, programas que são usados com frequência diária e têm funções essenciais para a atividade da empresa devem receber updates antecipadamente. Programas menos críticos podem ter suas atualizações acomodadas com prazos mais longos
• As que já estão sendo exploradas: é importante priorizar os patches para vulnerabilidades que já estão sendo usadas por hackers para realizar ataques.

“Foque nas vulnerabilidades que estejam presentes em seus sistemas operacionais, dispositivos e aplicativos que já estão sendo explorados sem cobertura”, afirmam os pesquisadores da Trend Micro nesta publicação. “Isso tende a reduzir significativamente o número de vulnerabilidades que você precisa corrigir enquanto tenta reduzir os riscos para seu negócio”.

Para saber mais sobre como se manter à frente das vulnerabilidades e dos riscos que elas trazem, baixe nosso e-book.