0 
0 A Titania lançou um relatório de pesquisa independente que revela o impacto de configurações incorretas exploráveis na segurança das redes no governo federal dos EUA.
O estudo, “O impacto de configurações incorretas exploráveis na segurança das redes das agências e abordagens atuais para mitigar riscos no governo federal dos EUA“, conclui que os profissionais de rede relatam que estão cumprindo suas práticas de segurança e conformidade, mas os dados sugerem que o risco permanece elevado. Um resultado que, de acordo com as conclusões do relatório, provavelmente custará bilhões de dólares a cada ano.
Notavelmente, a pesquisa revelou que os entrevistados do governo federal foram os únicos representantes do setor a dizer que avaliaram exclusivamente as configurações de seus firewalls. Switches e roteadores não foram incluídos em suas verificações de rede. Assim, de fato, as agências estão testando a segurança de suas frotas de dispositivos de rede. De acordo com a prática recomendada de confiança zero , a avaliação contínua de todos os dispositivos é essencial quando se trata de prevenir invasões e inibir o movimento lateral nas redes. A amostragem é uma abordagem inerentemente arriscada à segurança de configuração que deixa as agências abertas à ameaça de desvios de configuração que desativam as redes.
Além disso, a pesquisa descobriu que a maioria dos entrevistados do governo federal citam a incapacidade de priorizar o risco (81%) e a automação imprecisa (44%) como seus dois principais desafios para atender aos requisitos de segurança corporativa e conformidade externa. Os entrevistados federais também indicaram que os recursos financeiros alocados para mitigar os riscos de configuração de rede, que atualmente representam cerca de 3,4% do orçamento total de TI, são um fator limitante no gerenciamento de configuração.
Especificamente, o estudo, que pesquisou tomadores de decisões de segurança cibernética em todo o governo federal dos EUA, revelou:
- Confiança na conformidade e nas práticas . Todos os entrevistados do setor do governo federal estão confiantes de que atendem aos requisitos de segurança corporativa e conformidade externa . Mais de 88% concordaram que sua agência depende da conformidade para fornecer segurança. No entanto, com base em outras descobertas, isso revela uma desconexão entre a percepção de segurança da rede e a realidade.
- Redes expansivas, avaliações infrequentes . As agências federais relataram um grande número de dispositivos em suas redes – mais de 1.000 em média. Isso é aproximadamente 160 a mais do que outros setores, como serviços bancários e financeiros. 59% dos entrevistados avaliam a configuração dos dispositivos de rede anualmente, 12% em um ciclo bimestral e 0% com mais frequência. Os entrevistados acharam que essas práticas são suficientes para atender aos requisitos de segurança e conformidade.
- A priorização de riscos e remediação é um desafio . 71% relataram que suas ferramentas de segurança de rede significavam que eles podiam categorizar e priorizar efetivamente os riscos de conformidade. Isso está em desacordo com o fato de que 81% disseram que a incapacidade de priorizar a correção com base no risco é um dos principais desafios.
- Problemas de configuração freqüentes identificados . Os entrevistados relataram ter detectado uma média de 51 configurações incorretas no ano anterior; 4% dos quais foram considerados “críticos” e poderiam ter levado a uma grave violação de segurança que poderia derrubar a rede. Até 83% relataram ter detectado pelo menos um problema crítico de configuração nos últimos dois anos.
- Roteadores e switches esquecidos . Ao validar as configurações do dispositivo de rede, as organizações 100% federais avaliam apenas firewalls, não switches ou roteadores.
- Baixa confiança na conformidade na cadeia de suprimentos . Apenas 18% dos entrevistados estavam confiantes de que outros participantes nas cadeias de suprimentos de sua organização adotam uma abordagem rigorosa e robusta para a segurança da configuração de rede. O governo federal também compôs a maior porcentagem (71%) dos entrevistados que relataram confiar em credenciamentos externos de fornecedores da CMMC, DISA, NIST, FISMA e ISO para obter garantias sobre o gerenciamento de riscos da cadeia de suprimentos.
“Um invasor determinado tentará todas as formas de acessar uma rede até conseguir entrar”, disse Matt Malarkey , vice-presidente de alianças estratégicas da Titania . “Uma vulnerabilidade ou configuração incorreta conhecida é um caminho fácil. Como nosso relatório revela, o governo federal dos EUA não está imune. As agências governamentais precisam adotar uma abordagem de confiança zero para a segurança cibernética – fortalecendo as redes de dentro para fora para dificultar significativamente a entrada de invasores e a movimentação lateral”.
“Outras práticas de segurança proativas, como gerenciamento de superfície de ataque, incentivam as organizações a mostrar vigilância contínua. Portanto, é importante que as agências governamentais os adotem, especialmente desde que o recente Conselho de Segurança Cibernética conjunto da NSA, CISA e FBI apontou inimigos alterando as configurações dos dispositivos de rede para habilitar e dimensionar ataques”, acrescentou Malarkey. “Aumentar a frequência das avaliações de risco e remediação de todos os dispositivos de rede é o primeiro passo para evitar que o desvio de configuração derrube as redes do governo dos EUA e permita que invasores obtenham acesso a sistemas e dados confidenciais.”
“As redes governamentais estão mudando todos os dias à medida que as agências adotam a transformação digital e mudam para a nuvem”, disse Dean Webb , engenheiro de segurança cibernética da Merlin Cyber. “No entanto, se as agências federais não estiverem monitorando continuamente suas configurações de dispositivos de rede, elas estarão, em essência, confiando inerentemente na operação desses dispositivos. Essa prática não é apenas contrária aos princípios de confiança zero, mas também está provando ser um alvo muito fácil para os maus atores explorarem e se firmarem em sistemas e dados governamentais confidenciais.”
FONTE: HELPNET SECURITY