0 
0 A pandemia pressionou as empresas a acelerar sua adoção de serviços em nuvem, infraestrutura e cargas de trabalho para apoiar uma crescente força de trabalho remota, mas a mudança redefiniu quem representa uma ameaça interna — quase qualquer um, e qualquer carga de trabalho, com um conjunto de credenciais.
Não é à toa, então, que os atacantes estão cada vez mais mirando em serviços de nuvem e infraestrutura usando recheio de credencial, phishing e outros ataques de identidade. Estima-se que 85% dos ataques de aplicativos da Web usaram credenciais roubadas em 2021, de acordo com o “Data Breach Investigations Report” anual da Verizon, enquanto a Microsoft estima que 70% dos ataques começam com phishing, outro ataque focado em identidade.
Essas não são novas táticas por parte dos adversários, mas mostram que estão fazendo uso da crescente área de superfície de ataque, diz Carolyn Crandall, principal defensora de segurança da Attivo Networks, uma empresa de detecção e resposta de identidade.
“Com a mudança para uma força de trabalho híbrida e a migração para ambientes AWS e Azure, isso tem sido muito difícil para as equipes de segurança gerenciarem”, diz ela. “Não é necessariamente que os ataques estão mudando para tirar maior vantagem das identidades, tanto quanto é que esta é uma nova superfície de ataque que é muito grande que tornou os riscos exponencialmente maiores.”
À medida que a infraestrutura interna das empresas transitou rapidamente durante a pandemia para serviços e infraestrutura de nuvem externamente acessíveis, o risco de ataques baseados em credenciais aumentou. Contas de acesso remoto e nuvem protegidas por um simples nome de usuário e senha tornaram-se o foco da maioria dos invasores. A Microsoft afirma ter bloqueado quase 26 bilhões de tentativas de ataques de identidade em 2021, enquanto a Akamai bloqueou 193 bilhões de ataques de credenciais em 2020, um aumento de 310% em relação a 2019.
No entanto, os ataques de identidade vão além do recheio de credenciais e phishing. À medida que as empresas se movem para adotar múltiplas plataformas de nuvem para redundância e resiliência, os invasores estão “explorando as costuras entre nuvens” e procurando fraquezas apresentadas pelo aumento maciço das identidades da carga de trabalho, diz Alex Simons, vice-presidente corporativo, gerenciamento de programas, para a divisão de Identidade da Microsoft.
“O último conjunto de ataques que estamos vendo é para onde os atacantes estão indo atrás das identidades que o software usa para falar com outros softwares”, diz ele. “As empresas não percebem que você tem que gerenciar uma identidade de carga de trabalho [como essas são chamadas] tão cuidadosamente quanto você gerencia e protege uma identidade humana. A maioria dos nossos clientes tem mais identidades de carga de trabalho do que identidades humanas e as identidades de carga de trabalho estão crescendo muito mais rápido.”
Nuvem como superfície de ataque
As preocupações vêm à medida que os negócios estão mudando grande parte das operações para a nuvem, dependem de gerenciamento remoto de infraestrutura e serviços em nuvem e continuam a usar mais máquinas virtuais e contêineres — ou seja, “cargas de trabalho” em nuvem — para executar suas operações. Mais de nove em cada dez empresas se comprometeram com uma estratégia multicloud, de acordo com o “State of the Cloud Report” de 2021, divulgado pela empresa de gerenciamento de nuvem Flexera no ano passado.
A complexidade adicional pode levar a uma maior insegurança, se não tratada corretamente, diz Simons, da Microsoft.
“Muitos de nossos clientes têm esses problemas de configuração muito desafiadores, onde eles tiveram que frankenstein juntos uma solução para monitorar o que está acontecendo no Azure, o que está acontecendo na AWS, o que está acontecendo com a VMware no local e o que está acontecendo com o GCP”, diz ele. “Tentar monitorar essa gigantesca área de superfície é realmente desafiador.”
Para tornar os ambientes em nuvem ainda mais complexos, as identidades e permissões de cada máquina virtual, contêiner e outras cargas de trabalho em nuvem também devem ser gerenciadas. A maioria das empresas tem mais identidades de máquinas do que funcionários, mas não têm boa visibilidade sobre o que essas cargas de trabalho estão fazendo. Atualmente, a Microsoft vê as identidades de carga de trabalho de seus clientes crescendo em dobro do ritmo dos humanos.
Sobre-permissão e sub-assegurado
As capacidades dessas cargas de trabalho também não são bem gerenciadas. A grande maioria das cargas de trabalho da Amazon – 90% – está usando menos de 2% de seus privilégios concedidos, o que significa que as empresas têm que pagar às máquinas pelo menos a mesma atenção que os humanos, diz Crandall, da Attivo Networks.
“Não se trata mais do que é humano, mas de identidades, porque você precisa considerar identidades humanas e não humanas”, diz ela. “Temos que fazer com que as pessoas não considerem apenas autorização e autenticação, ou ‘eu tenho MFA, então estou bem’ – elas têm que ir muito mais longe do que isso.”
As preocupações não são novas. Um estudo de 2009 descobriu que a eliminação dos direitos dos administradores reduziu a gravidade de 92% das vulnerabilidades críticas da Microsoft em relação ao ano anterior. Um relatório de acompanhamento de 2020 sugeriu que o problema havia diminuído, mas certamente não desapareceu, com 56% das vulnerabilidades críticas atenuadas pela remoção dos privilégios de administrador.
Em muitos casos, os ataques de identidade começam com phishing. De fato, em quase 70% dos ataques começaram com um ataque de phishing para coletar credenciais, que podem ser vendidas para acessar corretores, de acordo com o “Relatório de Defesa Digital 2021” da Microsoft. Eventualmente, a credencial é usada para acessar recursos corporativos — que, se pertencem a um usuário superprivilegiado, podem ser explorados para se mover lateralmente através da rede de uma empresa.
Essas representam dois dos principais problemas da atualidade, a dependência excessiva de senhas e o superpermissionamento dos usuários, especialmente os administradores, diz Andras Cser, vice-presidente e analista principal de segurança e gerenciamento de riscos da Forrester Research. “A senha é inútil, 100% inútil — na verdade, é pior do que inútil porque apresenta uma falsa sensação de segurança”, diz ele.
Defesa
A primeira linha de defesa é focar em fazer o básico. As empresas comprometidas com a higiene básica da segurança eliminam a exposição a 98% dos ataques, de acordo com o “Relatório de Defesa Digital 2021” da Microsoft. A autenticação multifatorial deve ser implementada em todos os lugares dentro de uma empresa para proteger usuários que reutilizam senhas ou que tiveram suas credenciais roubadas ou phished.
O problema de identidade da carga de trabalho pode ser resolvido juntamente com as identidades humanas, monitorando continuamente quem, ou o que, está acessando os recursos da empresa. “As empresas precisam avaliar os direitos de acesso e revisar esses direitos”, diz Cser, da Forrester. “Você tem que rever impiedosamente os direitos de acesso de todos, e se alguém não precisa de acesso a um recurso, tire-o e documente isso.”
Finalmente, as empresas devem remover a compatibilidade retrógrada com protocolos de autenticação legados, porque os atacantes muitas vezes tentarão rebaixar para um protocolo mais antigo, permitindo que eles explorem vulnerabilidades mais antigas.
“O problema é que há muita infraestrutura antiga”, diz Cser, “e se livrar dela leva tempo, mas as empresas estão conectando-a à nuvem mesmo antes de sua segurança”.
FONTE: DARK READING