Em 2017, a Equifax, uma das maiores agências de relatórios de crédito do mundo, sofreu uma violação cibernética de impacto e escala sem precedentes. Mais de 145 milhões de registros de informações de identificação pessoal foram roubados por criminosos cibernéticos. Devido à natureza dessa violação, o CEO da Equifax renunciou, uma investigação do Congresso foi iniciada, as ações da Equifax sofreram um golpe e uma ação coletiva em 50 estados foi movida.
A Violação
Em 2 de março de 2017, uma vulnerabilidade em um aplicativo web chamado Apache Tomcat Struts 2 foi descoberta por um pesquisador de segurança e identificada como vulnerabilidade CVE-2017-5638. Este aplicativo web era usado pela Equifax para permitir que os consumidores enviassem contestações em seus relatórios de crédito. Dias após a descoberta da vulnerabilidade, uma atualização de software foi disponibilizada em 7 de março de 2017 e tornada pública. Em menos de 24 horas após a atualização, uma postagem em um blog explicou como explorar essa vulnerabilidade para obter acesso remoto a computadores que executavam o software sem a correção. Em 10 de março de 2017, o exploit foi lançado como um plug-in para o popular kit de ferramentas de exploração de código aberto chamado Metasploit, e hackers começaram a usar essa ferramenta para vasculhar a internet em busca de servidores com essa vulnerabilidade. Em meados de maio de 2017, os hackers encontraram um servidor vulnerável, que por acaso pertencia à Equifax. O acesso não autorizado foi obtido e os hackers permaneceram dentro da rede da Equifax, extraindo dados até serem descobertos em 29 de julho de 2017.
Por que a violação ocorreu?
Alguém poderia pensar que uma organização do tamanho da Equifax e responsável por proteger os dados de 145 milhões de americanos teria sido capaz de detectar essa violação antes que os dados fossem roubados, quanto mais ficar sem conhecimento por 2.5 meses. Então o que aconteceu? De acordo com relatos, a Equifax foi informada sobre a vulnerabilidade, mas não tomou medidas para corrigir o servidor. Assim que o servidor não foi corrigido e os hackers começaram a explorar a vulnerabilidade, “alertas suspeitos” dispararam, mas a Equifax não tomou nenhuma atitude. Parafraseando o ex-CEO da Equifax, eles recebem milhares de alertas todos os anos e é difícil quantificar os importantes dos não tão importantes. Isso destaca claramente um problema de ferramentas de segurança e um problema de pessoal. As ferramentas que as organizações implantam hoje têm dificuldade em identificar eventos críticos de eventos não tão críticos e sempre haverá erro humano e não haverá pessoas suficientes para responder às ameaças.
O que poderia ter sido feito?
Para começar, o erro humano poderia ter sido evitado se a Equifax tivesse prestado atenção ao boletim de vulnerabilidade rotulado como CVE-2017-5638 e corrigido rapidamente seus servidores. Em segundo lugar, as organizações precisam começar a substituir ferramentas obsoletas que lhes dão uma falsa sensação de segurança por novas que abordem os problemas atuais. Ferramentas como Sistemas de Detecção de Intrusão (IDS), Gerenciadores de Informações e Eventos de Segurança (SIEM)SIEMAmbientes de teste (sandboxes) e ambientes de malware que operam independentemente uns dos outros e são colocados de forma não generalizada na infraestrutura só levarão a ruído nos alertas, pontos cegos e capacidade de detecção limitada. Os sistemas IDS, por sua vez, são projetados principalmente para detecção baseada em assinaturas, o que significa que podem detectar ataques conhecidos. Os sistemas IDS são inadequados para detectar vulnerabilidades de dia zero, para as quais não há assinatura disponível para um novo método de ataque. SIEM As ferramentas se tornaram depósitos de logs, logs e mais logs. SIEM As ferramentas, embora úteis, precisam ser programadas para executar consultas e encontrar o que você deseja. Mas, novamente, e quanto às coisas desconhecidas e maliciosas que você quer encontrar?
Um método que poderia ter sido adotado é ter uma estrutura de visibilidade implantada de forma generalizada em toda a infraestrutura Equifax para eliminar pontos cegos, coletar vários tipos de dados de infraestrutura e, em seguida, executar algoritmos de aprendizado de máquina no topo do conjunto de dados para detectar anormalidades. Essas novas estruturas estão sendo chamadas de Sistemas de Detecção de Violações e estão sendo construídas em torno da tecnologia de big data e inteligência artificial.
CONSIDERAÇÕES FINAIS
O que todos nós aprendemos no setor de cibersegurança é que as violações de dados são inevitáveis, as redes estão em constante mudança, nunca haverá proteção 100% e a cada ano veremos um aumento nos ataques cibernéticos. Diante disso, as organizações precisam buscar constantemente novas maneiras de proteger seus dados valiosos. Na Stellar Cyber, acreditamos que as ferramentas de detecção de violações em uso atualmente, como IDS, APT e SIEM, irá se transformar e ter uma aparência radicalmente diferente em um futuro próximo.
