0
0
Fazer previsões de segurança cibernética é divertido, mas não necessariamente útil para profissionais que precisam decidir quais ameaças devem receber mais atenção. Comece analisando como as maiores ameaças deste ano mudarão em 2020 em termos de escala e tática.
Abaixo, líderes e especialistas em cibersegurança dão conselhos sobre como as empresas poderão ajustar as suas defesas em 2020.
Infecções por malware em dispositivos
A proteção de endpoints continuou sendo uma batalha para as organizações. Cerca de metade de todas as empresas sofreu uma infecção por malware em dispositivos corporativos durante 2019, de acordo com o relatório IT Security Economics da Kaspersky. Metade também viu infecções por malware em dispositivos pertencentes aos funcionários.
Segundo a Kaspersky, as infecções por malware em dispositivos corporativos foram o incidente mais caro, com um custo médio por incidente de US$ 2,73 milhões. Esse número foi significativamente menor para PMEs em US$ 117 mil.
O que esperar em 2020: Dmitry Galov, pesquisador de segurança da Kaspersky, vê o risco para os dispositivos pertencentes a funcionários aumentar em 2020. O especialista entende que há uma maior disposição das empresas em permitir que os colaboradores usem os seus próprios aparelhos para reduzir custos, garantir o trabalho remoto e aumentar a satisfação no trabalho. Como resultado, os criminosos terão como alvo dispositivos pessoais para contornar as defesas corporativas.
Melhor conselho para 2020: As empresas devem revisar e atualizar suas políticas em relação a dispositivos pessoais e depois aplicá-las, diz Galov. “Políticas estritas da empresa em relação à segurança, gerenciamento correto de direitos e fornecimento de soluções de segurança aos usuários estão na lista de itens essenciais para proteger a empresa e seus dados”, explica.
“Além de gerenciar problemas técnicos, os treinamentos de conscientização em segurança são importantes porque eles podem cultivar padrões de cibersegurança entre os funcionários.”
Phishing
Quase um terço de todas as violações no ano passado envolveu phishing, de acordo com o Relatório de investigações de violação de dados da Verizon em 2019. Para ataques de espionagem cibernética, esse número salta para 78%.
A pior notícia de phishing para 2019 é que seus autores estão ficando muito, muito melhores graças a ferramentas e modelos prontos para uso.
O que esperar em 2020: os desenvolvedores de kits de phishing oferecerão produtos mais refinados, diminuindo ainda mais a habilidade necessária para iniciar um ataque. De acordo com o Estudo de prioridades de segurança da IDG, 44% das empresas dizem que aumentar a conscientização sobre segurança e dar prioridade a treinamentos da equipe será fundamental em 2020. Os criminosos responderão melhorando a qualidade das suas campanhas, minimizando ou ocultando sinais comuns de phishing. Também espere um maior uso do comprometimento do email comercial (BEC), quando um invasor envia tentativas de phishing com aparência legítima por meio de contas internas ou de terceiros fraudulentas ou comprometidas.
Melhor conselho para 2020: mantenha seu treinamento antiphishing atualizado. Para combater o BEC, existem políticas que exigem que qualquer funcionário que receba uma solicitação sobre dinheiro ou instruções de pagamento faça a confirmação da informação por telefone.
Ataques de ransomware
Os ataques de ransomware não são os incidentes de segurança cibernética mais comuns, mas podem estar entre os mais dispendiosos. Aproximadamente 40% das pequenas e médias empresas e sofreram algum incidente de ransomware em 2019, de acordo com o relatório IT Security Economics da Kaspersky em 2019. No nível corporativo, o custo médio por incidente foi de US$ 1,46 milhão.
As ferramentas de proteção de endpoints estão melhorando na detecção de ransomware, mas isso tornou os desenvolvedores de ransomware melhores estudantes das técnicas utilizadas. “É muito mais fácil mudar a aparência de um malware do que mudar o seu objetivo ou comportamento, e é por isso que o ransomware moderno depende da ofuscação para ter sucesso”, diz Mark Loman, diretor de engenharia de tecnologia de última geração da Sophos.
“No entanto, em 2020, o ransomware aumentará o risco alterando ou adicionando características para confundir alguma proteção anti-ransomware.”
Os desenvolvedores de ransomware tornarão o seu código mais evasivo para que possam estabelecer uma posição no sistema, criptografar mais dados sem serem notados e possivelmente dimensionar operações para outras redes.
Melhor conselho para 2020: como sempre, a melhor defesa contra o ransomware é ter backups atualizados de todos os dados. Mantenha esses backups isolados da sua rede para que eles também não sejam criptografados pelo ransomware. O treinamento dos funcionários também é crítico.
Para se protegerem de ransomware, as organizações precisam implementar políticas rígidas de segurança e introduzir treinamentos de segurança cibernética para os funcionários. É vital ter controles de segurança robustos, monitoramento e resposta, cobrindo todos os terminais, redes e sistemas, e instalar atualizações de software sempre que forem disponibilizadas.
Risco de fornecedor de terceiros
Segundo o relatório IT Security Economics da Kaspersky em 2019, a maioria das organizações (94%) concede acesso de terceiros à sua rede. Além disso, 72% permite acesso privilegiado. No entanto, apenas 22% se sentiram confiantes de que terceiros não estavam acessando informações não autorizadas, enquanto 18% relataram violações por conta dessas permissões.
O estudo da Kaspersky mostra que as empresas estão forçando fornecedores terceirizados a assinar contratos de política de segurança – 75% das PMEs e 79% das grandes empresas já os utilizam. Isso está fazendo uma grande diferença quando se trata de receber compensação de terceiros quando eles são responsáveis por uma violação. Das empresas com políticas em vigor, 71% relataram que receberam remuneração, enquanto apenas 22% das empresas sem políticas foram ressarcidas.
O que esperar em 2020: as empresas ficarão mais conectadas digitalmente com seus fornecedores e parceiros. Isso aumenta o risco, bem como a conscientização desse risco. Infelizmente, os criminosos estão se tornando mais sofisticados.
Melhor conselho para 2020: saiba quem tem acesso às suas redes e garanta que eles possam utilizar os recursos necessários. Existem políticas para comunicação e aplicação de regras para acesso de terceiros. Verifique se você possui uma política de segurança para todos os seus fornecedores terceirizados que especifique responsabilidades, expectativas de segurança e o que acontece quando ocorre um incidente.
Ataques DDoS
Quarenta e dois por cento das empresas e 38% das PMEs sofreram um ataque DDoS em 2019, de acordo com o relatório da Kaspersky. Esse número é parecido com os incidentes de ransomware, que recebem muito mais atenção da mídia. Do ponto de vista financeiro, os ataques DDoS custam às PMEs uma média de US$ 138 mil.
Os invasores continuam inovando para melhorar a eficácia de seus ataques DDoS. Em setembro, por exemplo, a Akamai relatou um novo vetor DDoS: Web Services Dynamic Discovery (WSD), um protocolo de descoberta multicast para localizar serviços em uma rede local. Usando o WSD, os atacantes podem localizar e comprometer dispositivos desconectados e conectados à Internet para ampliar o escopo de seus ataques DDoS.
O que esperar em 2020: A previsão é de que os ataques DDoS continuem proeminentes em 2020, graças ao aumento do 5G e do número de dispositivos IoT. Para os especialistas, esse novo cenário exigirá novos padrões de segurança, e o aumento da velocidade de conexão trará novos desafios para impedir que esses ataques aconteçam.
Melhor conselho para 2020: faça um favor a todos e verifique seus dispositivos conectados à Internet em busca de configurações incorretas e vulnerabilidades não corrigidas.
Vulnerabilidades de aplicativos
De acordo com o State of Software Security, da Veracode, 83% das 85 mil aplicações testadas tinham, pelo menos, uma falha de segurança. Muitos tinham muito mais, já que a pesquisa encontrou um total de 10 milhões de falhas. Além disso, 20% de todos os aplicativos apresentaram, no mínimo, uma vulnerabilidade de alta gravidade.
Apesar dos números, os autores do relatório veem otimismo em alguns dados. As taxas de correção, especialmente para falhas de alta gravidade, estão melhorando. O maior ponto positivo, no entanto, é que uma abordagem DevSecOps com varredura e testes frequentes de software reduzirão o tempo para as correções das vulnerabilidades.
O que esperar em 2020: Apesar dos melhores esforços das equipes de segurança e desenvolvimento, as vulnerabilidades continuarão a surgir. “Atualmente, a maioria dos softwares é muito insegura. Isso continuará em 2020, especialmente com 90% dos aplicativos usando bibliotecas de código aberto”, afirma Chris Wysopal, cofundador e CTO da Veracode. “Vimos alguns sinais positivos do AppSec em 2019. As organizações estão cada vez mais focadas em não apenas encontrar vulnerabilidades de segurança, mas corrigi-las.”
Melhor conselho para 2020: Como mostra a pesquisa da Veracode, verificar e testar seus aplicativos em busca de vulnerabilidades com mais frequência, priorizando as falhas mais graves a serem corrigidas, é uma defesa eficaz. Wysopal também pede às empresas que fiquem de olho nas dívidas de segurança. “Uma das ameaças crescentes na segurança de aplicativos é a noção de dívida de segurança – se os aplicativos estão acumulando ou eliminando falhas ao longo do tempo”, explica o especialista. Uma dívida crescente de segurança deixa as organizações expostas a ataques. “Assim como na dívida com cartão de crédito, se você começar com um grande saldo e pagar apenas pelos novos gastos de cada mês, nunca finalizará a conta”, diz Wysopal. “No AppSec, você precisa lidar com as novas descobertas de segurança enquanto retira as antigas.”
Serviços em nuvem/incidentes de infraestrutura hospedada
Quarenta e três por cento das empresas tiveram incidentes de segurança que afetaram serviços de nuvem de terceiros em 2019, conforme apontado pela Kaspersky. Embora os incidentes relacionados à nuvem não tenham sido os mais frequentes, eles foram caros para empresas menores, que geralmente dependem mais dos serviços hospedados. O gasto médio para pequenas e médias empresas foi de US$ 162 mil. Uma área que viu aumento na atividade em 2019 foi a fraude de pagamentos online. O grupo criminoso Magecart, em particular, ficou bastante ocupado no ano passado. Para os ataques, os cibercriminosos usam códigos que tiram proveito de configurações incorretas na nuvem para modificar o código do carrinho de compras.
As organizações ainda precisam se preocupar com a configuração incorreta dos serviços em nuvem. Os invasores examinam regularmente a Internet para capturar dados expostos. Felizmente, fornecedores de plataformas em nuvem como Amazon e Google lançaram novas ferramentas em 2019 para ajudar na configuração correta dos sistemas em nuvem e encontrar erros que deixam os dados desprotegidos.
O que esperar em 2020: o poder de permanência do código malicioso e a recompensa financeira (o montante da Magecart é estimado em milhões de dólares) significam que a fraude de pagamentos online aumentará em 2020. O sucesso da Magecart deve inspirar outros cibercriminosos. As organizações combaterão essa e outras ameaças na nuvem gastando mais em segurança. De acordo com o Estudo de prioridades de segurança da IDG, apenas 27% das empresas possuem tecnologia de proteção de dados em nuvem em desenvolvimento, mas 49% estão pesquisando ou testando as soluções.
Melhor conselho para 2020: Realize análises de código-fonte dos seus scripts de comércio eletrônico e implemente sub-recursos para que os scripts modificados não sejam carregados sem a sua permissão. Verifique se os seus provedores de nuvem realizam avaliações do seu próprio código para evitar fraudes. Faça varreduras regulares de erros de configuração que expõem seus dados na Internet.
Vulnerabilidades de IoT
A Internet das Coisas (IoT) e os dados que gera foram a segunda tendência mais impactante para os profissionais de segurança em 2019, segundo levantamento da Security Industry Association (SIA) . O crescimento da IoT é nada menos que difícil de prever. A estimativa é de que haverá entre 6,6 bilhões e 30 bilhões de dispositivos conectados à Internet em 2020. A ameaça que a IoT representa já se tornou preocupação para a maioria das organizações. Uma pesquisa da Microsoft constatou que 66% dos entrevistados viam a IoT como um risco cibernético; e 23% classificaram esse risco como “extremamente alto”. “Esses dispositivos de IoT são alvos fáceis para os criminosos porque geralmente são mal configurados e pouco gerenciados.
O que esperar em 2020: Especialistas entendem que o risco de dispositivos de IoTdevem aumentar em 2020. Ambientes industriais, como empresas de energia, manufatura, produtos químicos, produtos farmacêuticos, petróleo e gás estarão especialmente em risco. Para os analistas, esses ataques podem levar a consequências ainda mais graves, incluindo o dispendioso tempo de inatividade, ameaças à segurança humana e incidentes ambientais.
Melhor conselho para 2020: Especialistas aconselham as empresas a seguir uma estratégia de defesa em várias camadas, incorporando segmentação de rede mais forte, controles de acesso robustos e monitoramento de segurança de rede.
Cryptojacking
Vamos encerrar esta lista com boas notícias: Espera-se que o cryptojacking diminua em 2020. Embora esses ataques não tenham sido muito frequentes em pequenas e médias empresas, eles se mostraram caros para as grandes organizações, com impacto financeiro médio de US$ 1,62 milhão.
O que esperar para 2020: os incidentes aumentam ou diminuem com os valores das criptomoedas, mas a facilidade com que os invasores podem executar um esquema de cryptojacking significa que essa ameaça persistirá em 2020. A mineração está em declínio constante ao longo de 2019 e não há razão para essa tendência a mudar. Para os analistas, o uso de criptomoedas se tornou menos lucrativo.
Melhor conselho para 2020: use uma solução de segurança que detecte ameaças com criptografia e fique atento aos picos nos valores das moedas virtuais, o que poderá incentivar mais casos de cryptojacking.
FONTE: CIO