Dissimulação como ferramenta cibernética
A história da humanidade é capaz de apresentar diversos eventos nos quais a dissimulação foi empregada como ferramenta de guerra. Acredito, sem nenhum estudo muito aprofundado, que a dissimulação como estratégia de guerra, tenha nascido juntamente com o primeiro exemplo de guerra. Desde esta primeira tentativa de enganar o adversário, as técnicas de dissimulação com toda certeza ganharam relevância e se aprimoraram seja nas ações defensivas, seja nas ações ofensivas.
A dissimulação, em geral, é obtida por meio da ocultação de informações, que passa por técnicas como camuflagem e criptografia/esteganografia. Mas também pode ser alcançada a partir de divulgação proposital de informações falsas, configurando um típico caso de isca com objetivo de induzir o inimigo a um erro ou descobrir algum modus faciendi adotado por ele.
"Toda guerra é baseada em dissimulação. Por isso, quando capaz, finja ser incapaz; quando pronto, finja grande desespero; quando perto, finja estar longe; quando longe, faça acreditar que está próximo." (Sun Tzu - A arte da Guerra)
As estratégias de guerra convencional estão sendo aplicadas por equipes de segurança cibernética para enganar os atacantes. Técnicas de "enganação" para desviar e inviabilizar invasões cibernéticas têm alterado um pouco o engajamento entre hackers e defensores ao mesmo tempo que se torna uma fonte de inteligência sobre os alvos, métodos e motivação dos invasores. Assim como na guerra convencional, esta estratégia é uma tentativa, por parte do lado da defesa, de sair da condição de estar sempre um passo atrás.
No jogo de gato e rato entre equipes de segurança de TI e hackers (no sentido maligno da palavra), são os atacantes que geralmente têm vantagem. Uma vez contornadas as defesas de perímetro, eles podem ficar muito tempo sem serem detectados ampliando o acesso a informações até chegarem aos alvos que estão buscando. Por mais que empreguem as mais sofisticadas defesas, as organizações tendem a estar sempre correndo atrás dos atacantes, que têm a vantagem de decidir quando, onde e com quem vão se engajar.
O conceito de deception (que estou traduzindo como dissimulação) surge como uma tentativa de equilibrar esta assimetria, mudando a maneira como as equipes de segurança se envolvem, respondem e forçam os invasores a revelar seu modus faciendi. A dissimulação funciona com o emprego de chamarizes que parecem ser ativos reais. Associado a iscas se tornam atrativos para os cibercriminosos - como dados, aplicativos ou credenciais - que os redirecionam para o ambiente dissimulado, projetado para parecer idênticos ao ambiente de produção, rodando nos mesmos sistemas operacionais e serviços.
O que há de novo?
Para os que já conhecem as honeynets, isto pode parecer mais do mesmo. Porém a abordagem mais recentes oferece uma solução mais sofisticada, eficiente e escalável, com recursos automatizados para detectar e responder às ameaças. Security deception (ou cyber deception) é um termo recente, amplamente utilizado a partir de 2017 e que se baseia em ferramental voltado para automatizar uma série de ações de configuração para detecção precoce e aprendizado com base em medidas forenses.
A título de comparação falo abreviadamente sobre as principais técnicas associadas à dissimulação: sandboxing e honeynet.
Sandboxing
Permite a instalação e execução de malware em um ambiente hermético, onde os pesquisadores podem monitorar suas ações para identificar riscos. Atualmente, são realizados com mais frequência em máquinas virtuais dedicadas, o que permite que o malware seja testado com segurança em várias versões diferentes de sistema operacional e em máquinas separadas da rede. Os pesquisadores de segurança usam sandboxing ao analisar malware e muitos produtos avançados antimalware empregam para determinar se os arquivos suspeitos são ou não realmente maliciosos com base em seu comportamento. Esses tipos de soluções antimalware estão se tornando mais importantes porque muitos dos malwares modernos são ofuscados para evitar antivírus com base em assinaturas.
Porém, muitos malwares detém, hoje em dia, meios para identificar que estão em uma sandbox e, desta forma, também dissimularem suas ações. Vento que venta lá, venta cá!
Uma questão que atenta para a dificuldade de escala desta abordagem é que análises de malware bem feitas costumam depender de um pesquisador dedicado.
Honeynet
São as redes que usam os chamados potes de mel (honeypots), hosts únicos, com sistemas deliberadamente vulneráveis, destinados a chamar a atenção dos atacantes. Conceito difundido pouco antes dos ano 2000 e voltado principalmente para a compreensão da estratégia dos atacantes.
Honeypots permitem que os pesquisadores observem como os atores de ameaças reais se comportam, enquanto o sandboxing revela apenas como o malware se comporta. Os pesquisadores preocupados com a defesa, podem usar essas informações para melhorar a segurança de suas organizações, observando novos métodos de ataque e implementando novas defesas correspondentes.
Honeynets também sofrem com dificuldades para escalar a solução visto que demandam de um especialista em segurança capaz de configurar ou manter os honeypots, bem como capturar o aprendizado obtido e implementar as soluções decorrentes.
Cyber Deception
A grosso modo podem ser considerados honeynets modernas e dinâmicas, que oferecem mais automação para detecção e implementação de defesas baseadas no dados que coletam.
É importante observar que existem diferentes níveis nas tecnologias de cyber deception. Alguns são pouco mais do que um honeypot, enquanto outros imitam redes completas que incluem dados e dispositivos reais. Os benefícios incluem a capacidade de falsificar e analisar diferentes tipos de tráfego, fornecer acesso falso a contas e arquivos e a capacidade de imitar uma rede interna de "forma mais autêntica".
Soluções novas com conceito antigo...
Se você, quando criança, já brincou de mentir com os dedos cruzados, vai entender a metáfora perfeitamente.
Os brinquedos continuam os mesmos, só mudam de objetivo... ah, e de preço! ツ
