Em cibersegurança, uma "superfície de ataque" é o conjunto total de vulnerabilidades, pontos de acesso e vetores de ataque que podem ser explorados para obter acesso não autorizado aos sistemas e dados de uma organização.
A superfície de ataque é o que os agentes mal-intencionados visam quando querem violar as defesas de uma organização para desestabilizar sistemas, roubar dados, extorquir um resgate ou realizar qualquer outra ação maliciosa. Isso a torna uma área chave de preocupação para os profissionais de cibersegurança.
A superfície de ataque inclui qualquer vulnerabilidade, ponto de entrada ou método que possa ser usado para invadir a rede ou o ambiente de TI—qualquer hardware ou software, seja no local, na internet ou na nuvem.
Para a maioria das organizações, a superfície de ataque possui três partes: uma superfície de ataque digital, uma superfície de ataque física e uma superfície de ataque social ou humana. Uma abordagem tradicional para gerenciar a superfície de ataque não é mais suficiente. Todas essas superfícies precisam ser monitoradas de forma contínua e proativa, utilizando o gerenciamento de exposição a riscos cibernéticos, para que as ameaças possam ser descobertas e interrompidas o mais cedo possível.
Além de defender a superfície de ataque, a maioria das equipes de cibersegurança também tenta torná-la o menor possível, limitando as oportunidades para cibercriminosos invadirem e causarem danos. Isso pode ser difícil de fazer porque os sistemas e ambientes de TI de muitas organizações estão mais interconectados e abertos do que nunca.
Saiba mais sobre como gerenciar sua superfície de ataque.
Superfície de Ataque vs. vetor de ataque
Vetores de ataque são um aspecto da superfície de ataque geral. São as técnicas que agentes mal-intencionados utilizam para acessar dados e sistemas de forma ilícita. Muitos vetores podem ser usados contra várias partes da superfície de ataque, por exemplo:
O que devemos saber sobre nossa superfície de ataque?
Como mencionado anteriormente, a gestão tradicional da superfície de ataque não é suficiente. As organizações e suas equipes de cibersegurança precisam de uma solução de gerenciamento de exposição a riscos cibernéticos para compilar uma visão clara e completa de toda a superfície de ataque. Qualquer análise da superfície de ataque deve incluir tudo, desde equipamentos de rede, servidores em nuvem e dispositivos da internet das coisas (IoT) até contas de usuário, privilégios de acesso e muito mais.
Também é importante que as organizações saibam onde todos os seus dados estão armazenados, especialmente os dados que são críticos para os negócios, privados, confidenciais, classificados ou sensíveis.
Formar essa visão e mantê-la atualizada requer um mapeamento completo das partes digital, física e social (humana) da superfície de ataque, com mudanças sendo rastreadas ao longo do tempo.
Quais são os principais riscos da superfície de ataque?
Cada uma das diferentes partes da superfície de ataque (digital, física, social) possui seus próprios riscos que os defensores precisam estar cientes e gerenciar. Esses riscos, que incluem vetores de ataque específicos, estão constantemente mudando à medida que as tecnologias e as ameaças evoluem. Abaixo estão alguns exemplos.
Riscos da superfície de ataque digital
Qualquer recurso de rede ou dados que possa ser acessado externamente — mesmo que esteja protegido por criptografia, autenticação, firewalls ou outras medidas — faz parte da superfície de ataque digital e é vulnerável a:
- Ciberataques: Ransomware, vírus e outros malwares podem ser injetados nos sistemas corporativos, permitindo que os atacantes acessem redes e recursos, exfiltram dados, sequestram dispositivos e danifiquem ativos e dados.
- Problemas de codificação e erros de configuração: Erros de configuração em tecnologias de rede e nuvem, como portas, pontos de acesso e protocolos, deixam "portas" abertas para atacantes e são uma causa comum de violações.
- Tecnologias expostas: Qualquer tecnologia conectada à internet pública está acessível a hackers e vulnerável a ataques. Isso pode incluir aplicativos web, servidores web, servidores e aplicatções em nuvem, entre outros.
- Tecnologias e aplicatções desatualizadas: Software, firmware e sistemas operacionais de dispositivos precisam ser codificados corretamente e corrigidos contra vulnerabilidades e ameaças conhecidas; caso contrário, podem fornecer aos atacantes uma maneira de violar uma organização. Dispositivos antigos que ainda fazem parte do ambiente de TI, mas que não são mantidos ou usados ativamente, também podem fornecer pontos de acesso convenientes para os atacantes, já que geralmente não são monitorados.
- Shadow IT: Ferramentas usadas pelos funcionários de uma organização que não fazem parte do ambiente de TI conhecido ou autorizado são consideradas "shadow IT" e podem criar vulnerabilidades justamente porque a equipe de cibersegurança não tem conhecimento delas. Isso inclui aplicativos, dispositivos de armazenamento portáteis, telefones e tablets pessoais, entre outros.
- Senhas e criptografia fracas: Senhas fáceis de adivinhar — seja porque são óbvias, muito simples ou reutilizadas em várias contas — podem dar acesso a recursos digitais de uma organização para agentes mal-intencionados. Credenciais roubadas também estão em alta demanda entre cibercriminosos por razões semelhantes. A criptografia tem como objetivo disfarçar as informações para que apenas pessoas autorizadas possam lê-las. Se não for forte o suficiente, os hackers podem extrair dados que podem ser usados para lançar ataques em maior escala.
Riscos da superfície de ataque física
A superfície de ataque física inclui tecnologias que os indivíduos possuem fisicamente (como laptops) ou que só podem ser acessadas em locais e instalações específicos. Dois grandes riscos associados à superfície de ataque física são:
- Furto e roubo de dispositivos: Laptops e outros dispositivos são rotineiramente roubados de carros, de locais públicos quando deixados sem vigilância, e até durante invasões a escritórios e outros edifícios. Uma vez que os agentes mal-intencionados tenham esses dispositivos, eles podem usá-los e as credenciais armazenadas neles para acessar a rede corporativa ou outros recursos.
- Baiting: Com ataques de *baiting*, criminosos deixam dispositivos de armazenamento portáteis, como USBs, em locais públicos, esperando que alguém conecte o dispositivo a um computador para ver o que há nele. Esses USBs "isca" estão carregados com malware que é transferido para o sistema do usuário e começa a executar um ataque.
Riscos da superfície de ataque social ou humana
Os seres humanos são frequentemente chamados de "primeira linha de defesa" em cibersegurança. Isso porque suas ações podem diretamente ajudar a fortalecer ou enfraquecer a superfície de ataque. Ciberataques que visam o comportamento humano são chamados de ataques de engenharia social. A superfície de ataque social ou humana é basicamente igual ao número de usuários cujo comportamento cibernético pode prejudicar intencionalmente ou não uma organização.
Os riscos comuns incluem:
- Esquemas de phishing: Estes incluem e-mails fraudulentos, mensagens de texto, mensagens de voz (e até, hoje em dia, com deepfakes gerados por IA, chamadas de vídeo) que enganam os usuários e os incentivam a tomar ações que comprometem a cibersegurança. Isso pode incluir compartilhar informações sensíveis, clicar em links que levam a malware, liberar fundos que não deveriam ser pagos e muito mais. A IA ajudou a tornar o phishing mais difícil de detectar e mais direcionado.
- Insiders maliciosos: Funcionários com rancor contra sua organização ou que são chantageados ou subornados por agentes mal-intencionados podem usar suas autorizações legítimas e acesso para exfiltrar dados da empresa, compartilhar credenciais, instalar malware, danificar sistemas da empresa ou realizar outras ações prejudiciais.
Como podemos reduzir nossa superfície de ataque?
Nenhuma organização pode eliminar completamente a superfície de ataque, mas é possível contê-la e minimizá-la. Uma vez que a superfície de ataque tenha sido mapeada, as equipes de cibersegurança podem implementar o gerenciamento de riscos cibernéticos para monitorar continuamente quaisquer mudanças e prever proativamente os potenciais riscos emergentes. Isso pode revelar oportunidades para reduzir áreas de vulnerabilidade e exposição, incluindo:
- Racionalizar o ambiente, descomissionar qualquer software e dispositivo obsoleto ou não utilizado e limitar o número de Endpoints.
- Particionar a rede e adicionar firewalls e outras barreiras para dificultar a movimentação dos Agentes mal-intencionados após obterem acesso.
- Usar os resultados da análise da superfície de ataque para identificar e fechar lacunas e pontos fracos, por exemplo, exigindo senhas mais fortes, eliminando softwares e aplicações desatualizadas, reduzindo shadow IT, implementando políticas e controles de segurança direcionados, entre outros.
- Reforçar as medidas de segurança adotando boas práticas, incluindo autenticação de dois fatores ou multifatores e abordagens de Zero Trust. Com Zero Trust, apenas as pessoas certas têm acesso limitado a dados, aplicações e recursos específicos, conforme necessário. Zero Trust limita radicalmente quem pode usar quais recursos de tecnologia, quando e por quanto tempo. Isso protege os ativos de forma inerente e também torna mais evidente se ocorrer uma violação.
- Reforçar a conscientização cibernética dos colaboradores por meio de treinamentos, testes e reciclagens periódicas. Os tópicos de treinamento podem incluir boas práticas de criação de senhas, como seguir as políticas da empresa, como manter-se atento ao risco de esquemas de phishing e outros ataques de engenharia social, e quais ações tomar caso os colaboradores tenham preocupações de que a segurança possa estar em risco.
O que é de attack surface management (Gerenciamento de Risco de Superfície de Ataque)?
O Gerenciamento de Risco de Superfície de Ataque (Attack Surface Management ou ASM) é uma abordagem tradicional de Cibersegurança que visa ajudar as organizações a se tornarem mais fortes na defesa de seus dados e sistemas. Trata-se de saber onde os riscos existem, entender sua gravidade relativa e tomar medidas para fechar lacunas de segurança relacionadas a pessoas, processos e tecnologia. O ASM permite que as equipes de segurança reduzam o número de caminhos de entrada no ecossistema de TI da empresa e obtenham uma visão das vulnerabilidades emergentes e dos vetores de ataque.
O ASM se tornou extremamente importante porque os ambientes de TI das empresas estão mais dinâmicos e interconectados do que nunca, tornando a superfície de ataque maior e mais variada. O ASM tradicional, que oferece abordagens de descoberta e monitoramento de ativos e soluções pontuais de Cibersegurança com um único propósito, não consegue fornecer a visibilidade, a inteligência ou a proteção necessárias. O cenário atual exige monitoramento contínuo dos pontos de entrada e priorização das ações de mitigação com base no impacto. Essa abordagem ajuda a traduzir os riscos em termos de negócios e a prever ameaças, permitindo a neutralização proativa dos riscos antes que eles se concretizem.
O governo desempenha algum papel no Gerenciamento de Risco de Superfície de Ataque?
As autoridades em muitas jurisdições criaram legislações, regulamentações e políticas públicas para definir expectativas sobre como as organizações devem manter seus ambientes digitais seguros e protegidos. Isso inclui frameworks como o Cyber Risk Scoring Framework do National Institute of Standards and Technology dos EUA, que é utilizado para avaliar e gerenciar sua própria superfície de ataque.
Uma boa colaboração entre a indústria e o governo em Cibersegurança contribui para proteções cibernéticas mais robustas no geral e promove o compartilhamento de boas práticas para um Gerenciamento de Risco de Superfície de Ataque eficaz.
Quem pode nos ajudar a gerenciar nossa superfície de ataque?
Apenas gerenciar a superfície de ataque não é suficiente. O cenário de riscos atual exige recursos de cyber risk exposure management para prever, descobrir, avaliar e mitigar riscos de forma proativa, a fim de reduzir significativamente sua exposição ao risco cibernético.
O Trend Vision One™ oferece uma solução de Cyber Risk Exposure Management (CREM) que adota uma abordagem revolucionária ao combinar recursos essenciais—como External Attack Surface Management (EASM), Cyber Asset Attack Surface Management (CAASM), Vulnerability Management e Security Posture Management—abrangendo nuvem, dados, identidade, APIs, IA, Compliance e aplicações SaaS em uma única solução poderosa e fácil de usar.
Saiba mais sobre Cyber Risk Exposure Management para ir além do simples gerenciamento da superfície de ataque.