Um certificado válido até à meia-noite. Um registo DNS que apontava para um serviço já extinto. Um IP que era malicioso há seis meses. Uma conta de alguém que saiu da empresa. Nada disto é falso, apenas venceu. E a informação vencida é mais traiçoeira do que uma mentira, precisamente porque parece legítima.
Verdadeiro não é o mesmo que actual
Quase todos os controlos de segurança perguntam se uma informação é autêntica. Poucos perguntam se ainda é válida. Toda a informação tem um prazo de validade, mesmo quando ninguém o escreveu. A diferença entre uma organização madura e uma vulnerável está em saber quando a informação deixa de valer.
O certificado que desligou 11 países
Em dezembro de 2018, um certificado de segurança do núcleo móvel da Ericsson expirou e afectou operadores em 11 países (BTW Media). No Reino Unido, a O2 ficou sem dados durante quase 23 horas, com impacto em cerca de 32 milhões de pessoas (Computing); no Japão, a SoftBank estimou o impacto em 30,6 milhões de linhas (BTW Media). Não houve ataque nem falha técnica apenas uma data que ninguém monitorizou a tempo.
O registo DNS que ficou para trás
Quando um serviço na nuvem é desactivado mas o registo DNS que o apontava permanece, cria-se um registo “pendurado” (dangling DNS), que um atacante pode reclamar para se apropriar do subdomínio com a credibilidade da organização (CloudSEK). Um estudo de 2023 identificou mais de mil organizações vulneráveis a este tipo de falha (CloudSEK). O DNS não está errado nem comprometido está apenas desactualizado, o que o torna mais perigoso do que uma simples ligação partida (NHI Mgmt Group).
Os alvos invisíveis: os componentes que sustentam (e derrubam) uma rede
Outros dados que vencem sem aviso
- Indicadores de ameaça: um IP malicioso hoje pode ser reatribuído amanhã.
- Contas e acessos: de ex-colaboradores ou consultores cujo contrato terminou.
- Regras de firewall: criadas para projectos temporários e esquecidas.
- Credenciais e chaves: que nunca rodam.
- Contactos de emergência: de técnicos que já não trabalham no fornecedor.
Em todos os casos, o mesmo mecanismo: algo foi configurado correctamente, o contexto mudou, e a configuração ficou.
Como gerir a validade da informação
- Data e validade em tudo: cada registo crítico deve indicar quando foi criado e até quando é válido.
- Automatizar o que expira por data: alertas antecipados a 90, 30 e 7 dias para certificados, licenças e domínios.
- Ligar a remoção ao fim do ciclo de vida: eliminar registos DNS, contas e regras assim que o serviço, pessoa ou projecto termina.
- Rever periodicamente o que não tem data: firewalls, listas de bloqueio e contas de serviço, com revisão trimestral.
- Reconfirmar antes de decisões irreversíveis: validar que o inventário ainda corresponde à realidade antes de migrações ou cortes.
A pergunta que falta
Em segurança, aprendemos a perguntar “de onde vem isto?” e “quem garante que é verdade?”. Falta uma terceira: “de quando é isto, e ainda vale?” O certificado da Ericsson, o registo DNS, a conta do antigo colaborador nada disto era falso. Eram todos verdadeiros no passado. A informação não precisa de ser falsa para causar um incidente. Basta estar vencida.
