ROI em segurança

Clarificação da minha filosofia "anti-ROSI".

Ninguém diz que não vale a pena investir em segurança. Se fosse isso eu ia vender coco na praia.

O que eu defendo é que o "retorno" desse investimento é de tal forma intangível a ponto de não ser possível provar matematicamente que ele existe. Que chegar na pessoa que vai tomar a decisão com uma planilha aonde na última linha há um número em azul significando que no final o resultado financeiro é positivo é uma abordagem falsa, enganatória. É meio que "os fins justificam os meios", "vamos brincar com números p/ a justificativa ficar mais palatável para o cara que só entende números".

Gestores já estão habituados a tomar decisões que não são baseadas em números. "Contrato Fulano ou Beltrano?". "Quem eu coloco p/ gerenciar tal projeto?". São decisões lógicas, mas não são tomadas por mera comparação númerica. Meu ponto é que as decisões de segurança são semelhantes. Nosso trabalho é torná-las mais claras, só isso.

Economia e Segurança

Leitura de final de semana, fantástico apanhado de pesquisas sobre a economia da segurança.

fraude no Chip and PIN

É o assunto da moda na Inglaterra. Mais problemas, agora no Lloyds. Esse artigo dá detalhes do que vem acontecendo.

Mitos!

Adoro quando alguém ataca as verdades absolutas em segurança! Roger Grimes faz isso neste artigo na Info World. A parte na qual ele comenta sobre segurança por obscuridade é muito boa:

"The myth would have you believe that security by obscurity has no value and any scheme using it should be immediately discounted. But the fact of the matter is that security by obscurity works, and works well. It is among the least expensive security defenses you can employ. It should be considered a part of anyone’s defense-in-depth plan."

O negrito é meu. É muito importante ressaltar que medidas de segurança por obscuridade não são suficientes por si só, mas são importante como camadas adicionais. O próprio Grimes dá um exemplo muito bom no artigo.

Security Absurdity

Noam Eppel escreveu artigo com o título "Security Absurdity: The Complete, Unquestionable, And Total Failure of Information Security." e gerou um baita barulho na comunidade de segurança (pelo menos na cisspbr e na cisspforum). Resolvi, ao invés de entrar na bagunça das listas, comentar aqui.

Sim, é bastante FUD. Mas tem ótimas observações sobre coisas que não deixam de ser verdade. Algumas são pouco mencionadas por aí, mas fico feliz de ver que são daquelas que eu sempre faço questão de lembrar. Entre elas:

- A ineficiência da abordagem por assinaturas dos antivírus
- A criação de backdoors e trojans customizados para determinadas empresas e organizações
- Trojans que ao invés de roubar dados de autenticação fazem transferências de dinheiro (eu demonstrei isso no CNASI do ano passado :-)). Fiquei interessado em saber que já há casos reais disso
- O uso de 0-days cada vez mais comum
- O problema dos ataques internos, que é um dos maiores motivadores da minha dissertação de mestrado

Ele usou esses fatos para tirar conclusões, algumas certas, outras erradas. Concordo que há um aumento de complexidade que dificulta a segurança, que o custo das medidas de segurança está muito alto e que nossas "boas práticas" não resolvem o problema. Essa última é minha favorita, e também venho dizendo isso.

Tenho um colega que é especialista em testes de invasão. A técnica que ele usa dá praticamente 100% de sucesso, até mesmo em empresas com programas de segurança avançados. O que acontece é que as principais fontes de informação para o CSO, com suas indicações do que deve ser feito e quais as ameaças mais comuns (ou da moda), não apontam soluções que inviabilizariam sua abordagem. O CSO "by the book" será vítima fácil dele. Acho que deve haver uma discussão técnica mais profunda daquilo que entendemos como "boas práticas", tornando-as mais efetivas e mais claras. E quando digo discussão técnica, traga quem sabe mesmo, e de preferência sem ligação com fornecedores de caixinhas. Já reparou como as ameaças indicadas como "próximo problema de segurança a ser enfrentado" encaixam-se direitinho na descrição daquilo que é objetivo de combate dos produtos sendo lançados? Caramba, quer dizer que toda nova ameaça pode ser combatida com uma caixinha?

Voltando ao artigo, acho que suas qualidades acabam aí. O autor não leva em conta que nosso objetivo não é segurança 100%, mas sim o quanto o negócio precisa para funcionar. Além disso, a abordagem do tipo "basta uma vulnerabilidade para o mundo cair" leva em conta, no mínimo, que as práticas de defesa em profundidade e compartimentalização não estão sendo seguidas. É um exagero.

Também entendo que há muita confusão entre a segurança do "home user" e a segurança da informação corporativa. Realmente, é necessário melhorar muito na área do usuário comum, pois manter um computador em casa seguro, para uma pessoa que não é especialista, ainda é uma tarefa muito ingrata. Mas é importante que desde já exista a consciência de que não estamos trabalhando com um eletrodoméstico comum, como uma geladeira ou uma televisão. Há comunicação em dois sentidos, e novas funcionalidades podem ser implementadas a todo o momento, de diversas fontes. Uma grande parte da responsabilidade de decidir qual funcionalidade queremos e quem a fornece é do usuário, não há como evitar isso. Se você quer dirigir seu carro na rua, deve ter consciência de que sua segurança não depende apenas das condições da via e dos mecanismos de segurança do seu veículo, mas também de decisões e perícia, sua e dos outros motoristas. É a mesma coisa com a Internet e com os computadores em geral.

Ainda morre mais gente no trânsito do que em guerras!! Não acho que estamos falhando tão terrivelmente na segurança da informação quanto na segurança dos automóveis.

Outra coisa. Os números, o aumento de prejuízos por fraudes, etc. Não posso afirmar com certeza pois não fui atrás desses números, mas aposto que no início da adoção do dinheiro em papel, ou do uso de cheques, as fraudes cresciam de forma agressiva. A medida que a tecnologia vai sendo dominada as formas de mantê-la segura vão evoluindo. Agora, se essa tecnologia evolui muito rapidamente não há espaço para a evolução das medidas de proteção. É natural. As medidas de segurança criadas há 10 anos atrás são pouco efetivas hoje, mas se aplicarmos o estágio atual de evolução no ambiente para o qual elas foram criadas, seriam quase infalíveis.

Vamos imaginar que a evolução dos armamentos tivesse ocorrido de uma forma muito mais acelerada do que realmente aconteceu. Teríamos lanças, em 6 meses espadas, em dois anos mosquetes e em 3 anos granadas. Se formos fazer um paralelo com a situação da segurança hoje, ainda estaríamos tentando evoluir os escudos e reclamando que eles não estão nos protegendo adequadamente das granadas.

E aí Augusto, você vai fazer que nem o cara e não vai dizer como resolver isso?

Primeiro, é necessário fazer as pessoas que são responsáveis pela segurança nas organizações conhecerem do assunto. Eles conhecem de produtos, não de segurança. Ainda acham que basta montar o lego de Firewall+IDS+IPS+Antivírus e tudo está resolvido. Educação mesmo, tornar os profissionais competentes. Isso pode ser feito com melhores treinamentos, certificações, normas, códigos de prática, etc.

Segundo, educação de usuários. O Ranum que me desculpe, mas acho que é mais do que necessário, a não ser que nossa intenção seja tirar flexibilidade e poder das mãos deles. Podemos trocar todos os carros por transporte coletivo e reduzir de forma drástica os acidentes de trânsito. Alguém acha que isso é possível? :-)

Terceiro, inteligência nos produtos. Ficar correndo atrás de assinatura de ataque, trojan e vírus, por favor! Isso é muito arcaico. A vantagem de maiores fraudes é que haverá mais investimentos em tecnologia de segurança para aproveitar o filão, trazendo mais dinheiro e cérebros para a pesquisa. Com isso devemos reduzir a distância entre a tecnologia usada e a segurança disponível.

Quarto, desmistificação da insegurança. Isso não é preto ou branco, mas o tom de cinza com o qual cada um, pessoa ou organização, consegue conviver. Quando você sai na rua há risco de acidente, assalto, etc. Esses riscos são, geralmente, cada vez maiores. Você desistiu de sair de casa por conta disso? Talvez tenha mudado os hábitos (medidas mitigantes), mas você aceita que há risco para poder continuar fazendo aquilo que precisa. Você vai ao banco e corre o risco de ser seguido por alguém que viu você sacando dinheiro. Você usa o Internet Banking e corre o risco de alguém se aproveitar disso. Nada muda. As pessoas só precisam ter consciência de que o problema existe em qualquer situação, seja ela "virtual" ou "física".

É isso.

Fraude de cartões com chip na Inglaterra

Saiu hoje uma notícia sobre uma grande fraude com cartões com chip (chip and pin) na Shell inglesa.

Uma coisa interessante é que acredita-se que as fraudes ocorreram nos POSes. Bom, mas um cartão com chip não é imune (ou quase) a esse tipo de fraude?

Sim...menos quando o cartão pode ser usado também em terminais sem suporte ao chip, ou seja, que usam só a tarja. Assim, basta para o fraudador roubar os dados da tarja (aí entra o POS adulterado) e talvez o PIN (pode nem ser necessário, já que transações na tarja costumam ser feitas sem PIN) e já será capaz de fazer um cartão clone que funciona nesses terminais sem chip.

A moral da história é, não adianta criar um sistema mais seguro quando você tem que manter outro menos seguro. Cartões com chip passam a ser interessantes apenas quando só puderem ser usados no modo chip. Controles adicionais, como limites menores ou mesmo confirmação por telefone no caso de uso de tarja também podem ajudar a reduzir o risco e maximizar o retorno da ferramenta (chip).

Fitas perdidas

A Iron Montain americana perdeu novamente fitas de clientes. Comecei a prestar mais atenção a esses eventos quando soube que o contrato padrão dessas empresas prevê que amulta para essas situações limita-se ao valor das mídias extraviadas. Caramba, você perde uma fita com sua base de clientes e recebe um punhado de Reais em troca?

A recomendação das empresas é para que seja contratado um seguro. Eu entendo que uma flexibilização dos contratos, estipulando uma multa padrão por fita, ou ainda valores diferentes de acordo com rótulos (mídia classificada como "ordinária" para 100, classificada como "crítica" paga 10000000, por exemplo) seria a melhor saída, mas elas não costumam aceitar essa opção. É claro que é um risco para eles, mas a terceirização do risco relacionado a essas mídias é o negócio deles. Um seguro "guarda-chuva" seria a maneira de minimizarem esse risco para eles.