Recentemente nos chocamos com um blecaute ocorrido na Internet nos EUA, causado por um ataque de negação de serviço realizado desde milhares de dispositivos da Internet das Coisas (IoT). Foi um ataque perpetrado com um exército de pequenos "zumbis", ou seja, dispositivos simples que haviam sido previamente comprometidos e que lançaram o ataque de forma coordenada.
É curioso falar que "nos chocamos", pois trata-se de um tipo de ataque relativamente esperado. Aliás, sequer foi o primeiro. Mas a escala deste último evento e sua publicidade tornaram conhecidos ao grande público o poder devastador que se pode ter. E materializou em milhões de mentes a ameaça que representa a IoT quando nas mãos erradas. Não se trata mais de ficção ou discussão de especialistas; é realidade do jornal no horário nobre.
Fato é que a tecnologia atual de IoT tem muitas limitações, tais como memória disponível, vida útil de baterias, largura de banda, alcance de transmissão, interoperabilidade etc. Estas limitações fazem com que os recursos de segurança embarcados sejam mínimos, aumentando de forma exponencial as vulnerabilidades e as oportunidades para os ciber criminosos. Portanto, ficamos com uma grande questão: como impedir que a ciber segurança (ou a falta dela) seja um fator inibidor da inovação e da IoT? Não podemos disseminar de forma inconsequente dispositivos que podem voltar-se contra nós, mas ao mesmo tempo queremos as inovações e benefícios que eles nos trazem a um custo viável. Precisamos então gerir riscos e custos de forma a viabilizar arquiteturas que sejam ao mesmo tempo inovadoras e seguras.
Felizmente é mais simples do que aparenta. Práticas e tecnologias existentes podem ajudar bastante, como veremos.
Tudo começa com uma avaliação de quais problemas de negócio serão resolvidos com a implementação da IoT. Entender os benefícios esperados, restrições (técnicas e de negócio), a natureza das informações que trafegarão, bem como sua criticidade, e o impacto de eventuais incidentes. Faz-se necessário conhecer os dispositivos, suas capacidades e funcionalidades – as "coisas em si", sensores, gateways; que vulnerabilidades têm; onde serão instalados; quais tecnologias de comunicação usarão; com que aplicações e outros serviços vão interagir, e onde os mesmos estão (em Centros de Dados corporativos, dispositivos móveis, sistemas em Nuvem etc); a quem se destinam, seja funcionários, terceiros, clientes e parceiros da cadeia de valor, entre outros temas. Perfis de risco devem ser identificados bem como ações de tratamento dos riscos em cada caso (mitigar, transferir, evitar, aceitar).
Uma vez conhecido o perfil de risco de cada ambiente, é prudente isolá-los uns dos outros. E garantir que estejam isolados dos demais sistemas de TI e Internet. Mas, veja, isolar dispositivos que estarão espalhados geograficamente requer uma tecnologia diferente, que suporte a implementação e administração de centenas ou milhares de dispositivos de forma ágil e econômica, caso contrário a segurança inviabilizará o sistema. Definitivamente VLANs, Listas de Controle de Acesso, Firewalls etc não são tecnologias adequadas para esse ambiente. É necessária uma tecnologia de isolamento mais fluida, que possa estender-se até onde encontram-se os dispositivos, de modo simples, ágil e de fácil administração.
Tecnologias como a microssegmentação definida por software podem cumprir esse papel. Trabalhando com a mesma consistência em distintas plataformas da TI Tradicional (servidores físicos ou virtuais dentro do Datacenter corporativo) como nas plataformas da TI Inovadora (Computação em Nuvem e dispositivos da Internet das Coisas), ela leva a segurança para onde a mesma faz-se necessária. Sendo definida por software, pode ser implementada de modo transparente em qualquer infraestrutura, mesmo heterogênea e composta por diferentes fabricantes de produtos de rede e segurança. Adotando técnicas criptográficas pode não apenas proteger os dados em trânsito, como também tornar invisíveis os equipamentos que protege aos ciber criminosos. E pode organizar os direitos de acesso tendo por base a identidade dos dispositivos, serviços que prestam a seus usuários, evitando os transtornos de gestão de segurança baseada em endereçamento IP, com grande simplicidade para implementar e gerenciar.
Em outras palavras, a microssegmentação pode isolar os dispositivos e sistemas da IoT daqueles da TI Tradicional e mesmo da Internet, reduzindo a superfície de ataque e, consequentemente, os riscos. Caso algum criminoso explore as fraquezas da IoT, sua movimentação lateral em busca de novos alvos ou seu alcance em termos de volume de zumbis será limitado àqueles do segmento atingido.
A Internet das Coisas é uma demanda da sociedade para a obtenção de benefícios como maior conforto, economia de tempo e recursos. É importante abraçá-la. Não fazê-lo pode comprometer a viabilidade do seu negócio em médio prazo. Mas tão importante quanto abraçá-la é atuar com controles adequados, que mitiguem os riscos com flexibilidade, agilidade e custos. Nesse sentido, a microssegmentação pode ser vista como um poderoso habilitador da inovação. Ou como uma aliada contra exércitos de zumbis.
Leonardo Carissimi, lidera a Prática de Segurança da Unisys na América Latina.
