0 
0 Podemos construir uma Internet defensável? Para melhorar a segurança da Internet e dos aplicativos em nuvem que ela suporta em 2023, precisamos fazer melhor, dizem os especialistas. Muito melhor.
No início de 2022, as empresas se esforçaram para caçar e mitigar uma vulnerabilidade crítica em um componente generalizado de muitos aplicativos: a biblioteca Log4j. Os 12 meses seguintes de problemas do Log4Shell destacaram que a maioria das empresas não conhece todos os componentes de software que compõem seus aplicativos voltados para a Internet, não possui processos para verificar configurações regularmente e não consegue encontrar maneiras de integrar e incentivar a segurança entre seus desenvolvedores.
O resultado? Com o aumento do trabalho remoto pós-pandemia, muitas empresas perderam a capacidade de bloquear aplicativos e trabalhadores e consumidores remotos estão mais vulneráveis a ataques cibernéticos de todos os cantos, diz Brian Fox, diretor de tecnologia da Sonatype, uma empresa de segurança de software.
“A defesa do perímetro e o comportamento herdado funcionaram quando você tinha segurança de perímetro físico – basicamente todo mundo estava indo para um escritório – mas como você mantém isso quando tem uma força de trabalho que trabalha cada vez mais em casa ou em um café?” ele diz. “Você removeu essas proteções e defesas.”
À medida que 2022 se aproxima do fim, as empresas continuam lutando contra aplicativos inseguros, componentes de software vulneráveis e a grande área de superfície de ataque representada pelos serviços em nuvem.
As lacunas da cadeia de suprimentos de software persistemEmbora os ataques à cadeia de suprimentos de software tenham crescido 633% em 2021 , as empresas ainda não têm os processos implementados para fazer verificações de segurança simples, como eliminar dependências vulneráveis conhecidas. Em março, por exemplo, a Sonatype descobriu que 41% dos componentes Log4j baixados eram versões vulneráveis .Enquanto isso, as empresas estão movendo cada vez mais a infraestrutura para a nuvem e adotando mais aplicativos da Web, triplicando o uso de APIs, com a empresa média usando 15.600 APIs e o tráfego para APIs quadruplicando no ano passado .Essa infraestrutura cada vez mais nublada torna a falibilidade humana dos usuários o vetor de ataque natural na infraestrutura corporativa, diz Tony Lauro, diretor de tecnologia e estratégia de segurança da Akamai.”A infeliz verdade é que não importa o que esteja acontecendo na empresa e quão bem você a bloqueie e proteja, há uma oportunidade de atacar os usuários”, diz ele. “Com ransomware e malware, phishing e golpes, mesmo que o back-end seja seguro, eles podem tirar proveito do usuário.”
As ameaças cibernéticas contra aplicativos só aumentam
Para ver um exemplo de quão pouco progresso a segurança cibernética fez nas últimas três décadas, as empresas não precisam ir além do phishing. A técnica de engenharia social existe há quase tanto tempo quanto o e-mail, mas a grande maioria das empresas (83%) sofreu um ataque de phishing baseado em e-mail bem-sucedidoem 2022. O phishing leva facilmente à coleta de credenciais e, em seguida, ao comprometimento de aplicativos da Web e infraestrutura em nuvem.
A técnica simples pode ignorar várias camadas de segurança de aplicativos e dar aos invasores acesso a dados, sistemas e redes confidenciais, disse Daniel Cuthbert, chefe global de pesquisa de segurança cibernética do Banco Santander, na conferência de segurança Black Hat Europe deste mês .
“Você deve ser capaz de clicar em algo e não fazer com que ele empurre uma concha reversa para outra pessoa”, lamentou. “É tão difícil perguntar?”
Os invasores também estão se concentrando em direcionar aplicativos de maneiras que passam por muitos dos controles de segurança que operam na borda da rede.
Na conferência Black Hat Asia em maio, os pesquisadores delinearam maneiras de passar furtivamente por firewalls de aplicativos da web (WAFs) para entregar cargas maliciosas a aplicativos protegidos e seus bancos de dados. Em dezembro, a empresa de segurança cibernética Claroty demonstrou ataques mais gerais usando JSON para contornar cinco WAFs principais , incluindo os da Amazon Web Services e Cloudflare. No mesmo mês, dois pesquisadores usaram uma versão vulnerável do Spring Bootpara contornar o WAF da Akamai.
As empresas precisam ser mais táticas sobre como confiam nos WAFs, diz Lauro, da Akamai. A chamada “correção virtual” — quando o WAF é usado para bloquear a exploração de vulnerabilidades que ainda não foram ou ainda não podem ser corrigidas — é um recurso importante. No entanto, muitas empresas usam WAFs para proteger aplicativos mal projetados, diz ele.
“Você precisa identificar como essa vulnerabilidade pode ser atacada pela Internet, e os patches virtuais ajudam nisso, mas uma vez dentro da rede, a primeira coisa que farei como invasor é procurar alguns desses dias zero e usá-los para se mover lateralmente”, diz ele.
O futuro AppSec requer inovação
Os esforços para proteger os componentes fundamentais do software, garantindo a cadeia de suprimentos de software, serão uma fonte importante de inovação em um futuro próximo. Esses avanços levam tempo para serem implementados e não são balas de prata, mas podem resultar em desenvolvimento de software e produto final muito mais robustos, dizem os especialistas.
Fornecer aos desenvolvedores mais informações sobre os componentes que eles importam em seu próprio software por meio de sistemas como o Scorecard, por exemplo, traz benefícios de segurança significativos. O Scorecard verifica uma variedade de atributos de projeto de software, como se há código binário incluído no software, fluxos de trabalho de desenvolvimento perigosos ou versões assinadas. Apenas essa informação pode determinar se um projeto é vulnerável com 78% de precisão , de acordo com a Open Software Security Foundation (OpenSSF).
O Sigstore, que permite que cada componente de software seja assinado, é outra tecnologia que ajudará os desenvolvedores a entender e proteger suas cadeias de suprimentos, diz John Speed Meyers, principal cientista de segurança da Chainguard, uma empresa de segurança de software.
“Um bloco de construção fundamental para prevenir o comprometimento da cadeia de suprimentos de software é o uso generalizado de assinaturas digitais”, diz ele. “Isso ajuda a reduzir a chance de comprometer a cadeia de suprimentos de software e reduzir o raio de explosão quando eles acontecem.”
As empresas podem fazer escolhas de aplicativos com segurança cibernética
Embora esses avanços no processo de desenvolvimento de software possam resultar em software mais seguro, a escolha do idioma também pode fazer uma diferença significativa. Linguagens com segurança de memória podem praticamente eliminar classes perniciosas de falhas de software, como estouros de buffer e vulnerabilidades de uso após a liberação.
O Google, por exemplo, descobriu que o uso de linguagens com segurança de memória, como Java e Rust, em vez de C e C++, resultou na redução do número de vulnerabilidades de 223 para 85 em três anos.
As empresas precisam dar aos desenvolvedores mais suporte e margem de manobra na seleção de ferramentas e estruturas seguras, e não apenas focar na produtividade e nos recursos, diz Fox da Sonatype.
“Existe uma nova realidade para a qual as empresas precisam acordar e lidar, e é que os desenvolvedores, no final das contas, são os que devem fazer essas mudanças, e as organizações precisam reconhecer seus problemas e apoiá-los. ,” ele diz. “Os desenvolvedores estão encontrando suas próprias ferramentas e sabem que isso é um problema, mas não estão recebendo o suporte da empresa, portanto, mesmo em um mundo em que os desenvolvedores querem fazer a coisa certa, suas empresas os impedem.”
No nível executivo, as empresas também precisam usar seu poder de compra para se concentrar em responsabilizar seus fornecedores pela segurança de seus produtos, disse Cuthbert, do Banco Santander, durante sua palestra na Black Hat Europe.
“Quando olhamos para a compra de produtos e para a compra de software, a realidade é que não temos nenhuma entrada para garantir que esses fornecedores, esses produtos sejam seguros”, disse ele. “Simplesmente não temos esse poder e não temos uma influência significativa.”
FONTE: DARK READING