Zero Day Initiative: a importância da caça às vulnerabilidades

Você não vê, mas cada aparelho, cada programa que você usa pode ter vulnerabilidades com potencial para ser exploradas por hackers. Conheça as pessoas que vivem à caça destes problemas e entenda a importância deste trabalho

Quando, em 2005, foi começado um projeto chamado Zero Day Initiative, com foco na descoberta e divulgação responsável de vulnerabilidades, o cenário era muito diferente. A transformação digital sequer era um conceito ainda, o iPhone viria a ser inventado só dois anos depois e computação em nuvem ainda estava longe de ser um conceito amplamente difundido entre empresas. Nesta época, as ameaças digitais existiam, mas muito inferiores em quantidade e sofisticação do que nos dias atuais: um ano antes do lançamento do ZDI, 2.451 vulnerabilidades haviam sido divulgadas. Já no ano de seu lançamento, até por força desta iniciativa, o total foi de 4.935.

Em 2018, este número subiu para 22.022.

Esta mudança abismal do cenário deixa claro que o problema das vulnerabilidades é sério, é real e só tende a crescer conforme o mundo se torna cada vez mais digital e integrado. Com difusão de tecnologias como IoT (e IIoT, por extensão), maior adoção de nuvem e contêineres, e popularização de práticas como home office, BYOD e espaços remotos de colaboração, a superfície de ataque cresce e a exploração de vulnerabilidades segue esta tendência. Neste cenário preocupante, a necessidade de programas como o ZDI se torna nítida, bem como os resultados que ele pode trazer.

A caça e o caçador

Programas de caça a vulnerabilidades, resumidamente, buscam oferecer prêmios para entusiastas e profissionais de tecnologia pesquisarem, encontrarem e divulgarem de forma responsável vulnerabilidades em sistemas e dispositivos digitais. Seu objetivo é contrapor o mercado negro de vulnerabilidades que existe e é alimentado por criminosos, os quais as descobrem e vendem para indivíduos e grupos maliciosos. 

Assim, ao invés de deixar que falhas nativas de programas e dispositivos sejam descobertas e comercializadas para fins negativos, estes programas estimulam a pesquisa legal e positiva destes elementos, ajudando as empresas a se protegerem e a seus clientes, por consequência. Embora tenha surgido em meio a descrença e dúvidas, o ZDI cresceu e já distribuiu mais de US$18M em prêmios para seus mais de 3.500 participantes de todo o mundo, uma evidência da escola e relevância do programa.

Na prática, o que ocorre é que, assim que um pesquisador encontra a vulnerabilidade, ele informa ao ZDI, que, sigilosamente, contata o fabricante, dando tempo para que o problema seja corrigido e uma solução seja divulgada ao público. Assim, quando a falha é revelada publicamente, ela já tem uma solução disponível, o que coíbe sua exploração por parte de criminosos. Quando elas são descobertas por criminosos antes de haver um patch, os sistemas afetados pela vulnerabilidade estão expostos a ataques, que ocorrem por meio dos chamados “exploit kits”, programas desenvolvidos especificamente para abusar destes problemas para garantir acesso ilegal a sistemas, servidores e plataformas.

A importância de se estar à frente

A Trend Micro, em sua pesquisa global publicada a cada semestre, constatou que as vulnerabilidades continuam sendo um problema grave, com alto potencial de impacto nas vítimas. Isso constitui uma batalha sem fim: os criminosos devem continuar tentando explorá-las, enquanto white hats devem seguir tentando permanecer à frente dos hackers por meio de pesquisa e divulgação responsável das falhas exploráveis.

Este quadro evidencia alguns pontos fundamentais da cibersegurança atual:

  • Segurança inteligente e virtual patching são armas importantes: com a necessidade de se manter livre de vulnerabilidades e a dificuldade de se atualizar todos os sistemas o mais rapidamente possível, ferramentas de segurança automatizadas, inteligentes e com recursos de virtual patching são poderosas aliadas;
  • Inteligência de ameaças é fundamental: com explorações de alto impacto ainda em franco uso e números cada vez maiores de divulgações, é nítido que o trabalho de antecipação de descoberta de ameaças por organizações como o ZDI são um aliado indispensável na luta por um mundo digital mais seguro;
  • A guerra vai se intensificar: os criminosos não param, e seu grau de sofisticação deve crescer. Isso significa que as organizações que não contarem com defesas de ponta estarão cada vez mais vulneráveis a ataques persistentes e direcionados, que certamente serão capazes de superar as defesas tradicionais, especialmente por meio de exploração de vulnerabilidades.

O mundo digital, portanto, é repleto de possibilidades notáveis para indivíduos e empresas, mas carrega perigos específicos, que precisam ser combatidos continuamente, sendo as vulnerabilidades um exemplo claro disso. Para saber mais acesse nosso Guia abaixo: