A AUSÊNCIA DE VISIBILIDADE

A segurança fortalece os negócios,Ataques por meio de HTTPS podem ser uma

vulnerabilidade para empresas.

O uso de protocolos de segurança, Transport Layer Security (TLS) ou Secure Sockets Layer (SSL), para proteger conteúdo na Web e em e-mail agora está entrando em sua segunda década. Uma pesquisa conduzida pela Sandvine, empresa canadense de gerenciamento de banda larga, descobriu que o número de usuários da Internet que criptografam suas comunicações on-line dobrou na América do Norte e quadruplicou na América Latina e Europa ao longo do ano passado.1 Felizmente, a criptografia chegou para

ficar, mas não sem seus riscos.

Para identificar ameaças ocultas aos seus negócios, as empresas precisam de visibilidade total sobre o tráfego criptografado. No entanto, para cumprir regulamentos locais de privacidade e suas próprias políticas de uso aceitável, as empresas devem ter os meios para descriptografar seletivamente seu tráfego. Toda estratégia de gerenciamento de tráfego criptografado deve considerar várias necessidades comerciais, políticas corporativas estabelecidas e exigências de conformidade.

A ausência de visibilidade - O início de uma era das trevas digital.

À medida que preocupações com a privacidade alcançam seu maior nível na história, os setores onde dados representam um bem valioso (mídias sociais, aplicações móveis e comunicações) responderam compreensivelmente ao adotar a criptografia em ampla escala. Preocupações com a privacidade pessoal fizeram com que gigantes como o Google, Amazon e Facebook mudassem para o modelo "sempre em HTTPS" para proteger dados em trânsito (consulte a Fig. 1.).

A cada minuto, pelo menos 4.000.000 de pesquisas no Google; 2.460.000 compartilhamentos no Facebook; 48.000 downloads de aplicações da Apple e 23.300 horas de conversas no Skype ocorrem2, tudo isso com proteção por criptografia SSL. O Google recentemente anunciou que sites HTTPS são avaliados mais positivamente em resultados de busca no Google.3 - Todo esse aumento na adoção de "criptografia de transporte" ocorre em um ambiente onde o uso de tecnologia de criptografia em geral está se tornando rotina. Por exemplo, a Apple anunciou recentemente que seu sistema operacional iOS 8 criptografará todos os dados, por padrão, em seus celulares e tablets. Os

dados protegidos incluem fotos, mensagens, contatos, lembretes e histórico de chamadas. A explosão de dados criada por um mundo cada vez mais conectado e com crescente preocupação com a privacidade de dados significa muito mais oportunidade para sérias ameaças virtuais e perda de dados.

ATÉ 2017, MAIS DA METADE DOS ATAQUES EM REDES UTILIZARÁ ALGUM TIPO DE

TRÁFEGO CRIPTOGRAFADO PARA BURLAR A SEGURANÇA.

Mas criptografado significa seguro?

Em um período típico de sete dias, a Blue Coat descobriu que 69% de todos os 50 sites mais visitados por seus clientes usam HTTPS por padrão. Apenas sites com foco na publicação de notícias diárias ou entretenimento (ex.: ESPN, BBC News, CNN ou Pandora), usam protocolo HTTP descriptografado e facilmente monitorado. Dos 10 sites de clientes mais visitados no mundo todo, segundo classificação da Alexa, quase todos usam criptografia para fornecer ao menos algum conteúdo. Para tentar gerenciar o tráfego criptografado, algumas empresas bloqueiam o tráfego para esses sites, apesar das solicitações de funcionários para navegar nesses sites durante o horário de trabalho. Embora seja um benefício para fins de privacidade, o uso abrangente de criptografia significa que várias empresas são incapazes de controlar as informações corporativas legítimas que entram e saem de suas redes, criando um crescente ponto cego para as empresas. 

Essa ausência de visibilidade crescente também cria oportunidades para invasores enviarem malware diretamente a usuários, burlando ferramentas de segurança de rede. A falta de visibilidade no tráfego SSL representa uma possível ameaça, considerando o fato de que usos confiáveis e hostis de SSL são indistinguíveis a vários dispositivos de segurança. Infelizmente, o cabo de guerra entre a privacidade pessoal e a segurança corporativa está deixando a porta aberta para novos ataques de malware envolvendo SSL sobre redes corporativas. Para que as corporações protejam seus dados, elas precisam de visibilidade para terem certeza de que podem enxergar as ameaças ocultas no tráfego criptografado. O uso hostil da criptografia aumentará nos próximos anos. A Gartner acredita que, até 2017, mais da metade dos ataques a redes empregará alguma forma de tráfego criptografado para burlar a segurança.4 Isso, em parte, ocorrerá devido à mudança de grandes propriedades da Web e serviços de hospedagem para o protocolo HTTPS. Embora sites de bancos e compras já protejam dados usando essa criptografia, o HTTPS está se tornando a regra, em vez da exceção.

A boa notícia: é possível manter a privacidade e continuar protegido Há grande preocupação com o baixo nível de sofisticação necessário para codificadores de malware comprometerem uma rede utilizando criptografia. Por quê? Várias empresas têm a ilusão de que o que não podem ver não pode prejudicá-las. Ataques de malware, utilizando criptografia como disfarce, não precisam ser complexos porque os operadores de malware acreditam que a criptografia evita que a empresa veja o que estão fazendo. A rede de informações globais da Blue Coat rotineiramente observa tráfego criptografado utilizado para o envio e comando e controle de malware, além de outros tipos de atividade maliciosa, como phishing. 

Alguns desses ataques não somente roubam dados pessoais do computador infectado, como também aproveitam a posição da máquina dentro da rede corporativa para articulação e roubo de informações confidenciais da empresa. Sabendo que ninguém pretende parar o tráfego criptografado, as empresas precisam de uma maneira para interromper as ameaças que estão sendo enviadas por meio do tráfego criptografado. A boa notícia é que manter a privacidade das informações pessoais dos funcionários e cumprir regulamentos de conformidade é possível, e ao mesmo tempo ainda proteger a empresa contra invasões e ameaças indesejadas. Uma solução baseada em políticas descriptografa e inspeciona apenas tráfego direcionado, para melhorar a segurança da rede enquanto leis e políticas são cumpridas. Protocolos de segurança abertos e transparentes, juntamente com controles rígidos que limitam o uso de dados criptografados (por ex.: segurança de rede), podem ser combinados com avisos de monitoramento de TI regionais e personalizados aos funcionários para que a conformidade com protocolos de privacidade seja mantida. 

O verdadeiro risco para uma empresa é considerar que a privacidade e a segurança se excluem mutuamente. A privacidade não deve sacrificar a segurança. Justificativas comerciais legítimas permitem à empresa manter a rede protegida e o IP protegido enquanto mantém a integridade dos dados pessoais.

O gerenciamento de tráfego criptografado permite a organizações proteger partes interessadas ao agir com inteligência sobre o que é enxergado e o que não é. A criptografia não é a inimiga: ela protege seus negócios, clientes e funcionários. O gerenciamento do tráfego criptografado é essencial para assegurar a segurança de praticamente qualquer coisa que seja digna de proteção. Serviços como e-mail, movimentações bancárias e financeiras, serviços baseados em nuvem e sistemas industriais controlam alguns dos

dados mais importantes em qualquer empresa.

DESCRIPTOGRAFIA E PRIVACIDADE PODEM COEXISTIR.

No entanto, os perigos associados a essa cobertura protetora envolvendo a transmissão de mensagens, tecnologias de transferência de arquivos e aplicações em nuvem não podem ser ignorados. Pode ocorrer uma perda significativa de dados em decorrência de atos maliciosos por estranhos hostis ou conhecidos insatisfeitos, que podem transmitir informações confidenciais com facilidade.

Atualmente, uma equipe atenta de pessoas responsáveis por respondera incidentes de segurança é necessária ou as consequências podem ser graves. 

Fechando as cortinas

Como já foi mencionado, o malware oculto em tráfego criptografado normalmente não é muito sofisticado, apresentando uma oportunidade para que as empresas facilmente detectem e bloqueiem ataques após a realizar a descriptografia.

Apesar dos esforços coordenados de governos e empresas privadas contra a pretensão de exploração de criminosos cibernéticos, o ataque é implacável. Após as autoridades acabarem efetivamente com o Zeus5, um dos malwares Cavalo de Troia mais bem-sucedidos, em uma incursão coordenada, a pretensão dos criminosos de roubo de dados precisava de uma alternativa. O Dyre, um Cavalo de Troia amplamente distribuído que rouba senhas, tem origem na Ucrânia, está tentando ocupar o espaço vazio deixado quando o Zeus foi eliminado. Como não há uma forma definitiva de acabar com todos eles, o Dyre rapidamente substituiu o Zeus utilizando os mesmos mecanismos de infecção, alcançando as mesmas metas, com a ajuda da criptografia.

Todo o tráfego de comando e controle do Dyre é, por padrão, comunicado de volta para uma infraestrutura sobre TLS/SSL. Sem descriptografia, o bot pode entrar em uma rede corporativa sem ser detectado, atraindo alvos para links clicáveis para malware contido em e-mails de phishing. Após entrar, organizações criminosas extraem as informações do usuário sob a cobertura da criptografia e, assim, podem vendê-las a quem oferecer o maior preço. 

Criptografia e visibilidade

Em virtude das recentes violações massivas de dados e o uso regular de criptografia que pode mascarar o vazamento criminoso de informações proprietárias, o tráfego criptografado deve ser adequadamente gerenciado. O gerenciamento de tráfego criptografado é um mecanismo para usar a criptografia de maneira responsável para proteger dados, enquanto evita que autores com pretensões hostis abusem desses serviços.

A descriptografia não precisa comprometer a privacidade, em vez disso, ela proporciona às empresas uma maneira de gerenciar o tráfego com eficiência. O risco de um incidente de segurança, que em última instância poderia levar a uma grave perda de dados, não é algo que apenas acontece com as outras empresas. É hora de assumir o controle da privacidade em vez de fechar os olhos para o crescente volume de tráfego criptografado. A ausência de visibilidade criada quando a Web se esquece do tráfego de rede tem graves consequências para a empresa, embora tenha em mãos a chave para a privacidade de dados. Ao abordar o tráfego criptografado com um gerenciamento claro e motivado por políticas, as empresas podem assumir a linha de frente na guerra cibernética.

Práticas recomendadas para gerenciar tráfego criptografado

Demandas de segurança devem ser equilibradas com exigências de privacidade e conformidade. Como as políticas de privacidade de funcionários e regulamentos de conformidade variam de acordo com a região, organização e setor, as empresas precisam de recursos de descriptografia flexíveis, personalizáveis e motivados por políticas para atender às suas necessidades corporativas únicas. Para preservar a privacidade dos funcionários enquanto combatem ameaças ocultas no tráfego criptografado, os departamentos de segurança de TI devem:

• Realizar inventário e planejar o crescimento: avaliar o volume de tráfego de rede criptografado SSL em sua organização (normalmente enxergamos 35% a 45% de tráfego de rede sendo criptografado), incluindo a combinação de tipos de tráfego (não apenas tráfego da Web/HTTPS), volume atual e aumento previsto.

• Avaliar o risco de tráfego não inspecionado: além de malware entrando na empresa, examinar que tipo de dado está em risco tanto do ponto de vista da segurança (vazamento) como da privacidade. Compartilhar informações com os departamentos de TI, segurança, RH e jurídico.

• Criar um plano de ação: avaliar as políticas de "uso aceitável" de funcionários, requisitos de privacidade e regulamentos de conformidade e criar políticas formais para controlar e gerenciar o tráfego criptografado baseado no tipo e origem do tráfego, além de outras vulnerabilidades de privacidade e segurança. • Aplicar controle de política granular: seletivamente identificar, inspecionar e descriptografar tráfego SSL baseado na Web de acordo com suas políticas estabelecidas. Dados descriptografados podem, então, ser processados pelas ferramentas de segurança que já foram investidas na rede, como antivírus de rede, soluções de proteção contra ameaças avançadas, DLP (Data Loss Prevention, prevenção contra a perda de dados) e outras.

• Monitorar, refinar e aplicar: monitorar, refinar e aplicar constantemente as políticas de privacidade e segurança para aplicações criptografadas e tráfego de entrada e saída de sua rede e assegurar que esteja sincronizado com as políticas e regulamentos corporativos.