0
0
O cenário de ameaças evolui com a tecnologia, e à medida que as ameaças crescem em sofisticação, há preocupações sobre grandes eventos como o ataque de ransomware Colonial Pipeline ou a violação do Equifax se repetindo em outros lugares. Enquanto a mídia se concentra na segurança cibernética operacional, firewalls inteligentes de aplicativos e outras soluções defensivas e reativas, o Verizon Data Breach Investigation Report de 2021 sugere que código e configuração inseguros no software são a causa raiz que precisa ser abordada.
Para enfrentar os desafios do desenvolvimento e implantação de software inseguros, a indústria está se movendo para assar a segurança no ciclo de vida de desenvolvimento de software (SDLC). Muitos especialistas tentam usar a modelagem tradicional de ameaças como sua primeira linha de negócios para abordar a segurança no SDLC.
Mas e se todo mundo estiver fazendo ameaça modelando errado?
O padrão da indústria para como conduzimos a modelagem de ameaças hoje evoluiu de reuniões passadas onde profissionais de segurança empilhados em uma sala de conferências e brainstormed potenciais ameaças que poderiam afetar seu software. Esse processo de trabalho intensivo muitas vezes causava problemas de comunicação entre profissionais de segurança e desenvolvedores. A principal falha nessa abordagem é que apenas as ameaças que os profissionais de segurança pensavam durante o desenvolvimento de suas plataformas de modelagem estão sendo tratadas por sua tecnologia.
A modelagem de ameaças mudou ao longo dos anos
Com o desenvolvimento do DevSecOps, a modelagem de ameaças modernas é menos focada em análises detalhadas de cenários de ameaças complexas. Isso pode parecer contra-intuitivo, e você pode pensar que um modelo de ameaça sem ameaças não vai dar nenhuma informação. Mas a modelagem moderna de ameaças através do DevSecOps fornece resultados superiores porque a prevenção de ameaças começa do zero. DevSecOps e a filosofia de construção de código seguro desde o início desenfatiza ameaças individuais e como elas se manifestaram na forma de vulnerabilidades e se concentram em assar na prevenção no início do processo de desenvolvimento de software. De certa forma, você elimina as vulnerabilidades aproveitando o design seguro e programando um bom código desde o início.
Além disso, o DevSecOps torna o processo menos estressante para todos. Durante os primeiros dias de modelagem de ameaças, o demorado e estilo cascata de modelagem de ameaças significava que era realizada em escala limitada e raramente era mantida atual. Isso muitas vezes resultou em desenvolvedores ignorando o planejamento de segurança e, em vez disso, enviando código para a equipe de segurança do aplicativo (AppSec) para determinar se ele era seguro o suficiente. Então, a equipe de segurança forneceria uma longa lista de mudanças que precisavam ser feitas. Dado seus prazos apertados, poucos desenvolvedores tiveram tempo de implementar a robusta lista de recomendações da equipe appSec. Algumas empresas não tinham recursos para fornecer correções retroativas enquanto também trabalhavam em novo código. Nesse caso, a melhor defesa era empregar modelos tradicionais de ameaças para tentar parar os atacantes que buscavam explorar essas vulnerabilidades conhecidas.
O DevSecOps tornou-se o padrão-ouro para novas modelagens de ameaças, impedindo proativamente que ameaças ocorram em primeiro lugar. Ao tornar as equipes de desenvolvimento a própria segurança, ela suporta uma estrutura de segurança muito mais forte do que se a segurança fosse responsabilidade exclusiva das equipes da AppSec com falta de pessoal. Ao desenvolver códigos mais seguros, normalizar a linguagem e modernizar a filosofia das ameaças, as organizações podem melhorar muito sua postura de segurança.
O que levanta a questão: se a modelagem de ameaças modernas não é a mesma que a modelagem clássica de ameaças, por que chamá-la de modelagem de ameaças?
Adotar uma estrutura moderna de modelagem de ameaças é fundamental
Embora os métodos tenham mudado, a razão pela qual precisamos modelar ameaças permanece a mesma. A modelagem moderna ainda envolve identificar e prevenir ameaças, apenas de forma mais proativa. Ao se concentrar no DevSecOps, a modelagem de ameaças visa evitar problemas em todo o quadro, em vez de qualquer ameaça ou vulnerabilidade que esteja na moda no momento. Não é viável prever cada novo tipo de esquema de entrega de malware, mas é possível eliminar os caminhos e vulnerabilidades que o malware poderia seguir.
Essa situação só vai ficar mais precária. Com o desenvolvimento de sofisticados hacks de dispositivos IoT, golpes de criptomoedas e blockchain, além de ataques de phishing, as empresas têm mais ameaças para se preocupar do que nunca. Pensar que um punhado de pessoas poderia prever cada método de ataque é ingênuo. E embora pareça contra-intuitivo, a melhor maneira de se proteger contra ameaças modernas é não se concentrar diretamente nas ameaças.
Devemos também considerar que existem outros tópicos relativos ao gerenciamento de riscos em software que não se encaixam nos modelos tradicionais de segurança de aplicativos. A modelagem moderna de ameaças precisa fornecer aos desenvolvedores uma lista priorizada de mitigações que precisam ser implementadas.
A utilização de uma estrutura moderna, abrangente e automatizada de modelagem de ameaças permite que as empresas implantem seus recursos muitas vezes limitados para que possam ter o maior impacto. Construir códigos fortes e seguros desde o início pode até mesmo evitar a perda de produtividade, não forçando desenvolvedores ou equipes do AppSec a corrigir retroativamente vulnerabilidades. Também impedirá que os atores de ameaças estabeleçam uma cabeça de praia para trabalhar, independentemente de seus métodos ou técnicas de ataque que eles empregam.
Acredito que essa estrutura moderna de modelagem de ameaças precisa se tornar o novo padrão – rapidamente. Nenhuma empresa quer ser conhecida como “o próximo Equifax” ou “o novo Gasoduto Colonial“, e nenhum acionista ou parte interessada quer ser pego de surpresa pelo conhecimento de que uma grande violação de sistemas ocorreu devido a más práticas de modelagem. Em vez disso, as empresas precisam se concentrar no DevSecOps, construindo códigos seguros desde o início e usando essa plataforma para criar uma base mais forte e moderna e uma abordagem para modelagem de ameaças.
FONTE: HELPNET SECURITY