Você não vê, mas cada aparelho, cada programa que você usa pode ter vulnerabilidades com potencial para ser exploradas por hackers. Conheça as pessoas que vivem à caça destes problemas e entenda a importância deste trabalho

Quando, em 2005, foi começado um projeto chamado Zero Day Initiative, com foco na descoberta e divulgação responsável de vulnerabilidades, o cenário era muito diferente. A transformação digital sequer era um conceito ainda, o iPhone viria a ser inventado só dois anos depois e computação em nuvem ainda estava longe de ser um conceito amplamente difundido entre empresas. Nesta época, as ameaças digitais existiam, mas muito inferiores em quantidade e sofisticação do que nos dias atuais: um ano antes do lançamento do ZDI, 2.451 vulnerabilidades haviam sido divulgadas. Já no ano de seu lançamento, até por força desta iniciativa, o total foi de 4.935.

Em 2018, este número subiu para 22.022.

Esta mudança abismal do cenário deixa claro que o problema das vulnerabilidades é sério, é real e só tende a crescer conforme o mundo se torna cada vez mais digital e integrado. Com difusão de tecnologias como IoT (e IIoT, por extensão), maior adoção de nuvem e contêineres, e popularização de práticas como home office, BYOD e espaços remotos de colaboração, a superfície de ataque cresce e a exploração de vulnerabilidades segue esta tendência. Neste cenário preocupante, a necessidade de programas como o ZDI se torna nítida, bem como os resultados que ele pode trazer.

A caça e o caçador

Programas de caça a vulnerabilidades, resumidamente, buscam oferecer prêmios para entusiastas e profissionais de tecnologia pesquisarem, encontrarem e divulgarem de forma responsável vulnerabilidades em sistemas e dispositivos digitais. Seu objetivo é contrapor o mercado negro de vulnerabilidades que existe e é alimentado por criminosos, os quais as descobrem e vendem para indivíduos e grupos maliciosos. 

Assim, ao invés de deixar que falhas nativas de programas e dispositivos sejam descobertas e comercializadas para fins negativos, estes programas estimulam a pesquisa legal e positiva destes elementos, ajudando as empresas a se protegerem e a seus clientes, por consequência. Embora tenha surgido em meio a descrença e dúvidas, o ZDI cresceu e já distribuiu mais de US$18M em prêmios para seus mais de 3.500 participantes de todo o mundo, uma evidência da escola e relevância do programa.

Na prática, o que ocorre é que, assim que um pesquisador encontra a vulnerabilidade, ele informa ao ZDI, que, sigilosamente, contata o fabricante, dando tempo para que o problema seja corrigido e uma solução seja divulgada ao público. Assim, quando a falha é revelada publicamente, ela já tem uma solução disponível, o que coíbe sua exploração por parte de criminosos. Quando elas são descobertas por criminosos antes de haver um patch, os sistemas afetados pela vulnerabilidade estão expostos a ataques, que ocorrem por meio dos chamados “exploit kits”, programas desenvolvidos especificamente para abusar destes problemas para garantir acesso ilegal a sistemas, servidores e plataformas.

A importância de se estar à frente

A Trend Micro, em sua pesquisa global publicada a cada semestre, constatou que as vulnerabilidades continuam sendo um problema grave, com alto potencial de impacto nas vítimas. Isso constitui uma batalha sem fim: os criminosos devem continuar tentando explorá-las, enquanto white hats devem seguir tentando permanecer à frente dos hackers por meio de pesquisa e divulgação responsável das falhas exploráveis.

Este quadro evidencia alguns pontos fundamentais da cibersegurança atual:

• Segurança inteligente e virtual patching são armas importantes: com a necessidade de se manter livre de vulnerabilidades e a dificuldade de se atualizar todos os sistemas o mais rapidamente possível, ferramentas de segurança automatizadas, inteligentes e com recursos de virtual patching são poderosas aliadas;
• Inteligência de ameaças é fundamental: com explorações de alto impacto ainda em franco uso e números cada vez maiores de divulgações, é nítido que o trabalho de antecipação de descoberta de ameaças por organizações como o ZDI são um aliado indispensável na luta por um mundo digital mais seguro;
• A guerra vai se intensificar: os criminosos não param, e seu grau de sofisticação deve crescer. Isso significa que as organizações que não contarem com defesas de ponta estarão cada vez mais vulneráveis a ataques persistentes e direcionados, que certamente serão capazes de superar as defesas tradicionais, especialmente por meio de exploração de vulnerabilidades.

O mundo digital, portanto, é repleto de possibilidades notáveis para indivíduos e empresas, mas carrega perigos específicos, que precisam ser combatidos continuamente, sendo as vulnerabilidades um exemplo claro disso. Para saber mais acesse nosso Guia abaixo: