É precisamente sobre estes alvos invisíveis que importa reflectir: os sistemas com pouca visibilidade para o utilizador, mas com enorme importância operacional e de segurança.
Grau e intermediação: o que a análise de redes ensina
Na análise de redes, a importância de um nó pode ser avaliada, entre outros critérios, através do grau e da intermediação.
O grau representa o número de ligações diretas de um nó. É a medida mais intuitiva: um servidor utilizado por milhares de pessoas ou uma aplicação com muitas integrações apresenta, naturalmente, elevada importância devido à quantidade de ligações que mantém.
A intermediação, por sua vez, mede a importância de um nó nos caminhos que ligam diferentes elementos da rede. Um sistema pode ter poucas ligações diretas e, ainda assim, ser essencial porque várias comunicações dependem dele. Se esse ponto desaparecer, partes da infraestrutura podem deixar de comunicar entre si.
Esta distinção ajuda a compreender um princípio importante de cibersegurança: o sistema mais visível nem sempre é o mais estratégico. Comprometer um servidor pode dar acesso a esse servidor; comprometer um elemento que interliga, autentica ou administra dezenas de sistemas pode abrir caminho para uma parte muito maior da infraestrutura.
Caso 1: o dia em que a Internet deixou de encontrar os serviços
A 21 de outubro de 2016, a Dyn, então um importante fornecedor de DNS, sofreu um ataque distribuído de negação de serviço (DDoS). O ataque utilizou uma rede de dispositivos IoT comprometidos pelo malware Mirai, incluindo câmaras e gravadores de vídeo, e ocorreu em várias vagas ao longo do dia. [https://kr…nt-page-2/]
O impacto foi significativo. Serviços como Twitter, Netflix, Reddit, Spotify, GitHub e PayPal ficaram inacessíveis para muitos utilizadores durante várias horas. [https://na…rai-attack]
O aspeto mais relevante é que muitos destes serviços não foram atacados directamente. Os servidores continuavam disponíveis, mas parte dos utilizadores deixou de conseguir encontrá-los porque o serviço responsável pela resolução dos seus nomes estava sob ataque. A dependência do mesmo fornecedor de DNS transformou uma falha num ponto da cadeia num problema com efeitos muito mais abrangentes. [https://na…rai-attack]
A principal lição é simples: uma decisão tecnicamente válida pode criar um risco sistémico quando muitas operações dependem do mesmo ponto. A concentração num único fornecedor pode transformar eficiência em dependência crítica.
Caso 2: as chaves mestras da rede
Em dezembro de 2020, tornou-se público o comprometimento da SolarWinds. Os atacantes introduziram código malicioso em actualizações legítimas do Orion, uma plataforma utilizada para monitorizar e administrar infraestruturas tecnológicas. Cerca de 18 mil clientes receberam as actualizações comprometidas. [https://di…-2420.html]
O Orion constituía um alvo particularmente valioso porque uma plataforma de monitorização necessita, por natureza, de ampla visibilidade e de determinados privilégios sobre os sistemas que supervisiona. Essa posição central tornou a plataforma num ponto estratégico para alcançar outras partes das redes das organizações afetadas. [https://wi…winds-hack]
Outro dado relevante foi o tempo de permanência dos atacantes. O acesso aos sistemas da SolarWinds terá começado em setembro de 2019, enquanto a descoberta pública do ataque ocorreu apenas em dezembro de 2020. Durante esse período, uma ferramenta considerada legítima tornou-se parte do próprio vetor de ataque. [https://wi…winds-hack]
Entre as principais lições retiradas do incidente destacou-se a necessidade de aplicar princípios de Zero Trust, reforçar a proteção das identidades e reduzir a exposição das credenciais privilegiadas. [https://uh…attack.pdf]
O caso demonstra um princípio essencial: quanto maior for a confiança depositada numa ferramenta, maior deve ser o controlo aplicado sobre ela.
Os facilitadores de uma rede típica
Todas as infraestruturas possuem componentes com elevada intermediação. Embora nem sempre estejam associados directamente ao negócio, uma falha nestes sistemas pode comprometer vários serviços em simultâneo.
- DNS: permite que sistemas e utilizadores encontrem os serviços através dos respetivos nomes. A indisponibilidade do DNS interno ou externo pode tornar aplicações aparentemente indisponíveis, mesmo quando os servidores continuam operacionais.
- NTP: assegura a sincronização temporal entre equipamentos. Diferenças significativas de hora podem afetar autenticação, certificados, correlação de registos e investigações de incidentes.
- Autenticação e autorização: sistemas como Active Directory, RADIUS, TACACS+ e fornecedores de identidade determinam quem pode aceder a quê. O seu comprometimento pode facilitar acessos a múltiplos recursos.
- Plataformas de gestão e monitorização: soluções de administração de redes, servidores e aplicações possuem elevada visibilidade sobre a infraestrutura e, em alguns casos, privilégios significativos.
- Certificados e PKI: as autoridades de certificação sustentam relações de confiança entre sistemas. A sua proteção é, por isso, fundamental.
- Servidores de salto e sistemas de cópias de segurança: os primeiros concentram acessos administrativos; os segundos preservam dados essenciais para a recuperação após incidentes.
Existe um denominador comum: todos estes sistemas trabalham discretamente, mas suportam funções críticas. Precisamente por aparecerem menos nos indicadores do negócio, podem receber menos atenção do que a sua importância exige.
Como proteger aquilo que quase ninguém vê
Inventariar as dependências. Para cada serviço crítico, importa identificar os sistemas de que depende: DNS, autenticação, sincronização horária, certificados, rede, armazenamento, monitorização e fornecedores externos. Este exercício permite criar um verdadeiro mapa de dependências e revelar pontos únicos de falha.
Atribuir o nível de proteção adequado. Sistemas de identidade, administração e controlo devem receber medidas de segurança superiores às aplicadas a equipamentos comuns. Contas administrativas dedicadas, autenticação multifactor, controlo rigoroso de acessos e registo das operações constituem medidas essenciais.
Separar o plano de gestão. As interfaces administrativas de switches, routers, firewalls, hipervisores e servidores não devem ficar livremente acessíveis a partir da rede dos utilizadores. VLANs de gestão, ACL, firewalls e bastion hosts ajudam a limitar quem consegue alcançar estes sistemas.
Adotar redundância diversificada. O caso da Dyn mostrou o risco associado à concentração num único fornecedor de DNS. A utilização de mais do que um fornecedor reduz o impacto de uma falha comum. Dois servidores colocados na mesma infraestrutura ou dependentes do mesmo fornecedor podem oferecer redundância técnica sem eliminar o verdadeiro ponto único de falha.
Aplicar o princípio do menor privilégio. Uma plataforma de monitorização deve possuir apenas as permissões indispensáveis à sua função. Se necessita apenas de consultar informação, não deve receber privilégios que lhe permitam alterar configurações em toda a infraestrutura.
Vigiar quem vigia. As próprias plataformas de gestão e monitorização também precisam de supervisão. Actualizações, alterações de configuração, acessos administrativos, contas de serviço e comportamentos anómalos devem produzir registos e alertas. O incidente da SolarWinds demonstrou o risco de confiar implicitamente numa ferramenta apenas porque ela pertence à infraestrutura de gestão
A pergunta que revela os verdadeiros alvos
Se toda esta reflexão pudesse ser reduzida a uma única pergunta, seria esta: o que é que, sem dar nas vistas, torna possível o funcionamento de tudo o resto?
A resposta raramente estará apenas no servidor mais caro ou na aplicação mais conhecida. Pode estar no DNS que quase ninguém revê, no NTP cuja redundância nunca foi testada, numa conta de serviço com privilégios excessivos, numa autoridade de certificação ou numa plataforma de monitorização instalada há anos sem uma auditoria profunda.
Estes são os nós de intermediação da infraestrutura: componentes discretos cuja posição lhes concede uma importância muito superior à sua visibilidade.
Proteger uma infraestrutura não significa apenas proteger aquilo que se vê. Significa, sobretudo, proteger os sistemas que ligam, autenticam, sincronizam, administram e mantêm todo o resto operacional.