Anatomia de uma superfície de ataques externos

A maioria dos ciberataques originam a quilómetros de distância da rede. Aplicações Web foram a categoria de vetor mais comummente explorada em falhas de segurança relacionadas com hacking. Infelizmente, a maioria das organizações não tem uma visão completa dos seus recursos de Internet e como os mesmos se ligam à superfície de ataque global. Três contribuidores significativos para esta falta de visibilidade são TI sombra, fusões e aquisições e cadeias de abastecimento digitais.

TI sombra

Quando as TI não conseguem acompanhar os requisitos empresariais, as empresas procuram alternativas para desenvolver e implementar novos recursos Web. A equipa de segurança frequentemente não tem conhecimento destas atividades de TI sombra e, como resultado, não conseguem incluir os recursos criados no âmbito do seu programa de segurança. Recursos não geridos ou órfãos podem tornar-se um problema na superfície de ataque de uma organização ao longo do tempo.

Esta proliferação rápida de recursos digitais fora da firewall é agora a norma. Novos clientes de RiskIQ normalmente descobrem aproximadamente 30 por cento mais recursos do que achavam que tinham, e a RiskIQ deteta 15 serviços expirados (suscetíveis a tomada de controlo de subdomínios) e 143 portas abertas a cada minuto.²

Fusões e aquisições

Operações diárias e iniciativas empresariais críticas como fusões e aquisições, parcerias estratégicas e subcontratação criam e expandem as superfícies de ataques externos. Hoje em dia, menos de 10 por cento dos negócios globalmente contêm a diligência devida de cibersegurança.

Há vários motivos comuns pelos quais as organizações não estão a ter uma visão completa dos potenciais riscos cibernéticos durante o processo de diligência devida. O primeiro é a mera escala da presença digital da empresa que estão a adquirir. Não é raro uma grande organização ter milhares, ou até dezenas de milhares, de sites ativos e outros recursos expostos. Embora as equipas de segurança e TI da empresa a ser adquirida terão um registo de sites, é quase sempre apenas uma vista parcial do que existe. Quanto mais descentralizadas forem as atividades de TI de uma organização, mais significativa é a lacuna.

Cadeias de abastecimento

A empresa está cada vez mais dependente das alianças digitais que formam a cadeia de abastecimento moderna. Embora estas dependências sejam essenciais para operar no século 21, também criam uma rede desordenada, em camadas e altamente complicada de relações com terceiros, muitas das quais fora da alçada das equipas de segurança e de risco para proteger e defender proativamente. Como resultado, identificar rapidamente recursos digitais vulneráveis que assinalam risco é um desafio enorme.

Uma falta de compreensão e visibilidade sobre estas dependências tornaram ataques de terceiros um dos vetores mais frequentes e eficazes para atores de ameaças. Uma quantidade significativa de ataques vem agora da cadeia de abastecimento digital. Hoje, 70 por cento dos profissionais de TI indicaram um nível de dependência de entidades externas, que pode incluir terceiros quartos ou quintos, entre moderado e alto.⁹ Ao mesmo tempo, 53 por cento das organizações tiveram pelo menos uma falha de segurança de dados causada por um terceiro.¹⁰

Embora ataques de cadeia de abastecimento de larga escala se tenham tornado mais comuns, as organizações lidam com ataques mais pequenos diariamente. Malware de fraude de cartão de crédito digital como o Magecart afeta plug-ins de comércio eletrónico de terceiros. Em fevereiro de 2022, a RiskIQ detetou mais de 300 domínios afetados pelo malware de fraude de cartão de crédito digital Magecart.¹¹

A superfície de ataque da Internet global de hoje em dia transformou-se dramaticamente num ecossistema dinâmico, abrangente e completamente entrelaçado do qual todos fazemos parte. Se tiver uma presença na Internet, interliga-se a todos, incluindo àqueles que lhe querem causar dano. Por este motivo, monitorizar a infraestrutura de ameaças é tão importante como monitorizar a sua própria infraestrutura.

Grupos de ameaças diferentes reciclam e partilham infraestrutura (IP, domínios e certificados) e utilizam ferramentas de bens open-source, como malware, kits de phish e componentes C2 para evitar atribuição fácil, ajustar e melhorá-las para se adaptarem às suas necessidades únicas.

Mais de 560 000 novas peças de malware são detetadas todos os dias, e o número de kits de phishing publicitados em mercados de cibercrime clandestinos dobrou entre 2018 e 2019. Em 2020, o número de variantes de malware detetadas aumentou 74 por cento.¹⁴ A RiskIQ agora deteta um servidor do Cobalt Strike C2 a cada 49 minutos.