Guerra Cibernética, Autodefesa e o Dilema do Defensor

Depois de ponderar, pesquisar e tomar alguns copos de vinho, decidi fazer uma análise sobre a guerra cibernética…

Como atualmente moro no Canadá, escreverei sobre esse tópico de uma perspectiva canadense. Como a maioria das coisas no Canadá, seguimos nossa orientação dos Estados Unidos, e nossa abordagem à segurança cibernética não é diferente. Os Estados Unidos têm inúmeras leis e regulamentos sobre o uso legal e ilegal de computadores em todo o país. Listei alguns deles em minha última postagem no blog intitulada The Age of Cyber Warfare , portanto não os reiterarei aqui.

Eu, no entanto, quero reiterar que o uso indevido de sistemas pode causar uma precipitação maior do que se pode imaginar. Quando entrei pela primeira vez no campo de segurança cibernética, fui incumbido de ajudar minha equipe a desenvolver e implementar um programa de gerenciamento de vulnerabilidades. Como a maioria das coisas em tecnologia da informação, é preciso aprender rapidamente e se sentir confortável em não saber qual será sua próxima tarefa. Nessas situações, o Google e o Youtube se tornam seus melhores amigos.

Ao reunir todas as informações necessárias para começar, era apenas uma questão de tempo até que eu fosse inundado com as várias leis e regulamentos que cercam o programa. Por exemplo, você sabia que é ilegal investigar um sistema se você não tiver permissão do proprietário do sistema para fazê-lo?

Um bom amigo meu me enviou a tese de mestrado de sua filha enquanto lia meu último post sobre guerra cibernética. A tese intitulada Canadian Hack-Back?: A Consideration of the Canadian Legal Framework for Private-Sector Active Cyber Defense , é uma boa leitura e um dos únicos trabalhos acadêmicos que encontrei sobre esse assunto. Durante sua pesquisa, a autora se depara com o termo Active Cyber Defense ("ACD"), que parece ter tantas definições quanto possível. No entanto, ela define ACD como "qualquer resposta não governamental a ameaças cibernéticas ou invasões usando meios técnicos, quando essa resposta tem efeitos fora da própria rede do defensor". Com essa definição, toda ação que um defensor realizaria seria classificada como ACD, inclusive investigar um sistema infiltrado. Observe que trago a tese dela neste post, não como uma crítica ou avaliação, mas simplesmente para destacar o quão complexo esse tópico pode ser.

Como não sou advogado de forma alguma, deixarei o restante das discussões jurídicas para os profissionais. No entanto, como a segurança cibernética agora afeta todas as partes de nossas vidas, os profissionais de segurança cibernética agora precisam ser treinados para cumprir todas essas leis e fornecer serviços competentes a seus clientes. Isso cresce gradualmente e se torna uma falha vital no espaço de segurança cibernética: faltam profissionais de segurança cibernética experientes, competentes e qualificados. Imagine ter que proteger tudo e qualquer coisa que tenha um chip, que seja sensível por natureza e envolva pessoas tão defeituosas quanto eu...

Como qualquer profissional de segurança cibernética sabe, a segurança cibernética se enquadra em 8 domínios:

1. Segurança e Gestão de Riscos

2. Segurança de ativos

3. Arquitetura e Engenharia de Segurança

4. Comunicações e Segurança de Rede

5. Gerenciamento de identidade e acesso

6. Avaliação e teste de segurança

7. Operações de segurança

8. Segurança de Desenvolvimento de Software

   
   

Cada domínio contém subseções que abrangem pessoas, processos e tecnologia de uma organização. Algumas dessas seções contêm áreas que você pode achar que não estão associadas ao ciber. Por exemplo, você sabia que supressão de incêndio, mitigação de várzea e iluminação externa podem ser classificados como segurança cibernética? Nem eu, até perceber que um sistema não pode ser protegido se estiver pegando fogo, encharcado ou roubado na calada da noite. Basta dizer que a segurança cibernética envolve muitas áreas, cada uma das quais deve ser protegida por um profissional experiente.

Defesa de segurança cibernética

À medida que começamos a entender o quão ampla a segurança cibernética realmente é, podemos começar a entender como é importante evitar ataques aos nossos sistemas em primeiro lugar. No entanto, parece que estamos enfrentando uma batalha difícil e cada passo à frente encontra resistência.

Existem alguns itens que enfraquecem nossa postura de segurança cibernética desde o início. Por um lado, o novo computador que você compra em uma loja confiável não é tão seguro quanto você pensa. Por exemplo, você já notou programas instalados em seu computador que não deseja, como uma versão de teste de um programa antivírus ou suíte de jogos? Isso é chamado de bloatware e abre seu computador para ataques. E os 'Serviços de Localização' e o AI Voice Assistant 'Cortana' no Windows? Esses serviços podem expor sua localização física, bem como fazer com que a Microsoft imprima seu padrão de voz. Desative esses serviços para reduzir sua superfície de ataque.

Outra questão é que a maioria dos dispositivos inteligentes, como smartwatches e smart TVs, são vulneráveis a ataques cibernéticos básicos. Esses dispositivos geralmente não são tão seguros quanto laptops ou desktops, pois a segurança não é a primeira consideração na fabricação desses dispositivos. Um exemplo extremo, mas bom, disso é o ataque cibernético que ocorreu através do sensor do aquário de um cassino .

Mais um ponto a considerar é que os usuários de computador normalmente não são ciberconscientes. Por exemplo, você sabia que pode sofrer milhares de ataques cibernéticos sem nem perceber? Isso pode ser feito por meio de e-mails de phishing , ataques de negação de serviço e violações de dados (por exemplo, a violação de dados da Equifax em 2017 ). Sem mencionar que a maioria das pessoas reutiliza senhas fracas para a maioria de suas contas. Você é culpado, e eu também há alguns anos. Por favor, faça a mim e ao resto da sociedade um favor e pare de usar ' 123456' como sua única senha.

Acho que é seguro dizer que as probabilidades estão contra nós. No entanto, houve algum progresso em direção a um mundo ciberseguro nos últimos anos devido ao custo crescente dos ataques cibernéticos. Há esperança, mas ainda há muito trabalho a fazer nesse sentido. Portanto, se você estiver interessado em entrar no mundo da segurança cibernética, agora é um bom momento.

Ofensa de segurança cibernética

Conforme entramos no tópico de táticas ofensivas, é importante observar que qualquer ataque convida a uma resposta da vítima. Uma agressão física a alguém convida à retaliação na forma de autodefesa, que pode variar de um simples golpe a um golpe que pode matar.

Com isso em mente, há duas questões que gostaria de discutir:

1. Se ocorrer um ataque cibernético em nossos sistemas, temos o direito de responder em legítima defesa?

2. Se temos o direito de responder em legítima defesa, até que ponto podemos responder?

   
   

No mundo físico, se formos provocados ou prejudicados por outra pessoa, nós, como sociedade, decidimos uma resposta aceitável por meio da autodefesa. Se uma pessoa tentar me machucar, eu tenho o direito de me defender. E mesmo tendo o direito de me defender, cabe a mim naquele momento decidir se ajo com base nesse direito. Como alguém que está aprendendo uma arte marcial, tudo o que tenho a dizer é que responderei a um ataque de alguma forma. Você foi avisado.

No mundo digital, porém, a questão da legítima defesa torna-se muito complexa. Para começar, você nunca pode ter 100% de certeza de quem o prejudicou (ou cometeu um ataque cibernético em seu sistema). A maioria dos ataques cibernéticos ocorre a partir de um sistema comprometido de um terceiro inocente e não da máquina real do invasor. Isso é planejado, pois fica difícil, senão impossível, descobrir quem, o quê, quando, onde, por que e como do ataque. E assim, mesmo que você tenha a capacidade de lançar um ataque cibernético em grande escala contra o sistema perpetrado, você pode estar atacando um espectador inocente, levando-o a agir contra seus sistemas... uma profecia auto-realizável.

Outra questão é que um ataque cibernético pode causar danos significativos a um sistema, causando consequências imprevistas, pois o sistema atacado pode estar conectado a centenas, senão milhares de outros sistemas, tanto na tecnologia quanto no mundo geopolítico. Por exemplo, se um ataque cibernético foi bem-sucedido em fechar um oleoduto, uma nação pode ficar sem petróleo até que os sistemas afetados possam ser reativados com segurança. O Incidente Colonial Pipeline Ransomware é um exemplo disso, já que o sudeste dos Estados Unidos sofreu uma escassez de petróleo devido ao ataque.

O terceiro problema da retaliação é a responsabilidade e a possibilidade de escalação. Quem é responsável pelos danos causados pela retaliação? Mesmo que o ataque cibernético danifique os sistemas do invasor, quem pode dizer que eles não responderão da mesma forma? Se a retaliação não for feita por um profissional, a possibilidade de um invasor descobrir quem você é e quais sistemas atacar é quase garantida. Você está preparado para lidar com um ataque cibernético em grande escala não apenas em seus sistemas, mas também em sua identidade, família e amigos? Quem sabe até que ponto o ataque irá?

Acho que é seguro dizer que a maioria das pessoas não está preparada para essa quantidade de consequências.

Para fins de argumentação, digamos que a resposta à nossa primeira pergunta seja sim. A próxima pergunta é até que ponto podemos responder a um ataque cibernético? Podemos dar a resposta mais básica na forma de sondar um sistema para ver se está ligado ou desligado. Também podemos cometer uma negação de serviço em grande escala, ransomware ou ataque de força bruta nos sistemas do perpetrador. onde nós desenhamos a linha? Ou a melhor pergunta é qual é a resposta apropriada para cada ataque que experimentamos?

Se detectarmos um invasor examinando nossos sistemas em busca de vulnerabilidades, seria apropriado fazer o mesmo? E se um invasor enviar um e-mail de phishing para nossos endereços de e-mail, podemos tentar enganá-lo de alguma forma? Podemos realizar um ataque de phishing se formos atingidos por um ataque de ransomware? Acho que você pode ver aonde quero chegar com isso, não há uma boa resposta para essa pergunta. A verdade é que nunca teremos todas as informações necessárias para conduzir 'com segurança' um ataque cibernético a um sistema criminoso. As perguntas são infinitas e ainda nem falamos sobre a moral e a ética de tudo isso. Vou deixar esse assunto para outro dia.

Considerações finais

Tenho que admitir que gosto do conceito de autodefesa cibernética, mas, na minha opinião, simplesmente não é viável. Existem poucos profissionais, muitos dispositivos inseguros e muito risco se indivíduos ou empresas começarem a 'hackear'. É com isso que sempre existirá o Dilema do Defensor: os atacantes sempre estarão um passo à frente dos defensores. O único caso em que eu poderia ver 'hackear de volta' como uma opção é se a população mundial estivesse em risco devido a um evento semelhante à Guerra Mundial. Nesse caso, a vida normal de todos seria interrompida e realmente não importaria se os ataques cibernéticos estivessem ocorrendo, pois haveria questões mais urgentes a serem atendidas, como precipitação nuclear, fome, assassinato e doenças. Vamos rezar para que não chegue a isso...

De qualquer forma, espero que isso seja útil para aqueles que leem meu blog. Eu sempre digo que não escolhi essa carreira, ela me escolheu. Continuarei a escrever sobre os temas que me interessam e que acredito agregarem valor à sociedade.

Como sempre, estou disponível se você tiver alguma dúvida, comentário ou preocupação sobre o que escrevo.

Paz, amor e todas essas coisas de felicidade!

Também publicado aqui.