Sutilezas da segurança ? entrevista com Cássio Alcântara da Websense ? parte 2

Ainda bem que existem cerca uma dúzia de empresas que se dedicam profunda e seriamente ao tema segurança. Dentro deste bem-vindo grupo encontra-se a Websense, empresa fundada em 1994 e sediada em San Diego, California que já atua no Brasil há alguns anos. Tive a oportunidade de conversar com Câssio Alcântara, gerente regional de vendas Brasil e nesta ocasião ele contou muito da empresa e das como deveríamos nos prevenir contra as inúmeras ameaças existentes. Foi uma conversa bem longa que me permitiu transcrever esta entrevista que apesar do tamanho ficou muito rica em casos, exemplos, dicas, etc.
No texto anterior, a parte 1 desta entrevista havíamos perguntado para Cássio sobre a possibilidade de controle e ampliação de segurança em dispositivos móveis. Retomemos a conversa:
Xandó : Mas como minimizar estes riscos? Há alguma forma de controle ou monitoração de dispositivos móveis?
Cássio : Este é um cenário muito delicado. Não apenas smartphones, mas computadores portáteis podem ser retirados da rede da empresa e levados para outros lugares em princípio fora de nosso controle. Por isso nossa solução hoje é híbrida, parte no dispositivo que fica na empresa e parte na nuvem. Assim enquanto ele estiver dentro da rede da empresa ele está sendo protegido pelas políticas do gateway. Ao sair da empresa e o gateway não é encontrado o computador aponta para o sistema de proteção na nuvem e existe na nuvem a mesma política de segurança interna.

Xandó : Nós estamos tendo esta conversa aqui no Starbucks. Ao me conectar ao WiFi daqui o gateway usado pela conexão será aquele do provedor usado pelo Starbucks. Como a proteção entra em ação?
Cássio : O gateway será o do provedor daqui, mas o Proxy não. Nossa solução de baseia nisso. O Proxy é configurado (somente pelo administrador da máquina) para usar nossa solução na rede. Mas além disso um agente é instalado na máquina que ao perceber que não há conexão com o gateway interno ele muda o Proxy para o endereço na nuvem. Este por sua vez, repito, é um espelho de todo o conjunto de configurações e políticas da empresa. Salva uma política na rede ela é imediatamente espelhada na nuvem.

Xandó : isso vale para smartphones e tablets também?
Cássio : no caso de iPhone e iPad nós também podemos dar o mesmo tratamento. Dentro da empresa eles navegam pelo gateway corporativo e fora de empresa a navegação passa obrigatoriamente pelo serviço na nuvem, conferindo a mesma segurança para estes dispositivos.

Xandó : Isso viabiliza o BYID (Bring Your Own Device ? traga o seu próprio dispositivo) na organização?
Cássio : veja que coisa, existe um paradoxo neste ponto. Todos falam em BYOD, ?tragam o seu próprio dispositivo?, traga seu telefone para mim. Em seguida uma ferramenta de MDM (Mobile Device Management) é instalada no aparelho que trava seu telefone todo. Você diz para o usuário ?traga seu telefone aqui que eu vou travá-lo?. Não faz sentido. Nossa ferramenta tem algumas funcionalidades de MDM como exigir uso de senha, controlar uso de câmera e coisas do tipo, mas a função principal é filtrar o acesso deste usuário pela utilização do gateway na nuvem. E podemos definir o perfil do usuário como, sempre filtrar conteúdo e garantir a segurança, mas fora do horário de trabalho e nos finais de semana ele não tem o filtro de conteúdo, apenas as medidas de segurança. Dessa forma, qualquer acesso do aparelho não será associado como uso profissional fora dos horários definidos.

Xandó : você falou em iPhone ou iPad no qual um agente foi instalado no aparelho…
Cássio : trata-se de um agente que fecha uma VPN com nosso serviço na nuvem e por esta VPN na nuvem eu tenho todo o controle. Durante todo o tempo que ele está tutelado pelo sistema suas conexões passam por esta VPN para garantir filtro de conteúdo e proteção. Não interessa onde o usuário está nem o dispositivo que ele esteja usando, conhecendo o dispositivo e ele estando autenticado eu o filtro em todos os níveis seja em um computador dentro da rede, fora da rede ou recurso de mobilidade. Hoje este é o grande problema. Se a pessoa sai da empresa com seu computador ou smartphone ele perde a proteção, mas nós a estendemos para fora do ambiente corporativo com a solução híbrida gateway mais nuvem. Algumas soluções se fundamentam em fechar VPNs com os gateways das empresas. Isso acaba por alocar uma quantidade muito grande de recursos, exige firewalls muito potentes para viabilizar centenas (ou mais) de acessos externos e ainda usam os recursos de filtros internos e o link de Internet na empresa. Isso tudo é muito complexo e consome recursos demais e mesmo que está na rede pode sofrer consequências de lentidão decorrente disso.

Xandó : mas quem fecha VPN com a empresa e quem navega pelo Proxy?
Cássio : quem está dentro da empresa navega via Proxy e quem está fora fecha VPN com o nosso serviço na nuvem e jamais com a empresa. Assim a necessidade recursos dentro da empresa é muito menor comparado com o outro cenário. Para isso nós temos 15 Datacenters no mundo. Onde quer que a pessoa esteja ela será direcionada ao Datacenter mais próximo (menor latência).

Xandó : A solução interna é obrigatoriamente um hardware fornecido pela empresa ou pode ser um appliance virtual entregue já pronto?
Cássio : fornecemos o equipamento já pronto e configurado. Mas temos vários clientes que rodam nossa solução em ambientes como VMware e outros sistemas de virtualização. Não temos hoje o fornecimento do appliance virtual. O cliente pode comprar nosso software e instalar no seu hardware físico ou virtual desde que atenda às especificações. O uso em ambientes virtualizados é interessante porque é muito simples restaurar um backup do ambiente no caso de algum problema, escalar para um hardware mais potente, etc.

Xandó : existe algum caso de cliente aqui no Brasil que você possa comentar?
Cássio : aqui no Brasil temos autorização de divulgar o caso do grupo JBS que tem 10 mil usuários dentro de sua própria rede e vários escritórios pelo mundo. Estes usam o produto via nuvem. Dessa forma todo o gerenciamento é centralizado, não há necessidade de infraestrutura nos locais.

Xandó : o fato de todo o tráfego ser tutelado pelo gateway da empresa ou pelo sistema na nuvem introduz algum tipo de latência ou alguma lentidão que seja percebida pelo usuário?
Cássio : aqui no Brasil havia este problema porque nós não tínhamos Datacenter aqui e por isso todo o serviço de análise de URLs e acesso na nuvem tinha que ser processado em algum Datacenter em outro local no mundo. Infelizmente o nosso backbone de saída para outros locais do mundo não é muito bom. Nós trouxemos um Datacenter para o Brasil exatamente para que todo o tráfego pudesse ser filtrado todo por aqui.

Xandó : quer dizer que antes disso, uma vez que estamos aqui na região do Morumbi, para acessar o site da Rede Globo, assumindo que o Datacenter deles ficasse aqui na região da Berrini, o acesso a este site seria feito pelo seu Datacenter nos Estados Unidos, indo e voltando para alcançar 5 ou 6 quarteirões?
Cássio : Era assim, mas não mais. Aproximadamente há 3 anos o acesso é feito pelo nosso DataCenter aqui no Brasil localizado no Rio de Janeiro e isso permite que navegar em conteúdo do Brasil seja consideravelmente mais rápido que antes. Nós temos muitos clientes só na nuvem e também a solução híbrida (local mais nuvem). Mas cada caso é um caso e nós temos que orientar o cliente. A solução na nuvem é muito boa, mas pode não ser a melhor opção apontar uma empresa com 10 mil usuários toda para a nuvem, por isso a solução interna é também é muito importante. Mesmo nestas grandes empresas temos a solução de nuvem como backup ou contingência, no caso de indisponibilidade do serviço provido pelo nosso appliance a nuvem continua a suprir a necessidade. O objetivo é sempre proporcionar o melhor nível de filtragem possível não importando quem realiza a função nem qual dispositivo está sendo usado.
Xandó : Há pouco você falou em proteção para iPhone e iPad. E outras plataformas como o Android que tem um imenso mercado?
Cássio : estamos para lançar a cobertura também para Android. Mas a grande sacada disso tudo é que nós classificamos em nossos laboratórios 99.99999% (5 noves após o ponto decimal) e no appliance 99% com um falso positivo a cada 400 mil análises. Assim o nível de falso positivo é muito baixo. E um de  nossos diferenciais é que conseguimos classificar Youtube. Não o vídeo em si, mas tudo em torno dele como as tags, título, comentários do vídeo e dessa forma temos como atribuir uma categoria que se de acordo com a política do usuário pode ser visualizado ou não.

Xandó : isso tudo é muito complicado, pois a ferramenta tem que entender vários idiomas como português, inglês, etc.
Cássio : com certeza temos que interpretar e analisar do chinês ao português, todos os idiomas mais usados na Internet. Uma característica importante de nosso desenvolvimento de produto é que inicialmente as diversas empresas de segurança compravam listas negras de alguém enquanto nós mesmos desenvolvemos os nossos algoritmos para análise em tempo real. Quando a Web se tornou dinâmica nós já fazíamos isso em nossos laboratórios. E hoje em dia 80% dos ataques são em sites de boa reputação que em algum momento ficam comprometidos. E como sites surgem toda hora na Internet quem não trabalha com classificação em tempo real teria que manter listas imensas com muitos Terabytes e mesmo assim a maioria dos sites estariam na categoria ?não classificados?. Isso sem falar do conteúdo dinâmico. Se por não ter sido previamente classificado adequadamente eu bloqueasse o acesso eu estaria limitando o acesso a praticamente 60% da Internet hoje em dia.

Xandó : e dentro da empresa que no final administra quem pode ver qual tipo de conteúdo?
Cássio : Eu posso criar uma política padrão da empresa, isso feito na implantação junto com a equipe de TI. Essa ninguém mexe. Em seguida a área de Marketing pode escolher quais categorias seus funcionários podem acessar. Nós fazemos isso para criar a cogestão, gestão compartilhada. TI não tem o monopólio da escolha sobre o que o usuário vê. Quem pode ver o que as pessoas podem ver são as áreas, mais RH, Legal e TI junto e não TI sozinha. Dependendo do que ela pode ver pode haver riscos legais, riscos de segurança e dependendo do que ela não vê pode haver prejuízo na rotina de trabalho.

Xandó : isso se aplica também às redes sociais?
Cássio : claro e com um agravante. Tem empresas que declaram ?aqui rede social é fechada? e eu insisto que é aberta! Com o advento do smartphone (não gerenciado) a pessoa se quiser usar rede social vai se afastar do seu posto de trabalho e usar seu telefone. Com um agravante. No smartphone ela demora até 6 vezes mais para realizar as ações nas redes sociais em comparação com os computadores. Apenas fechar acesso total às redes sócias e achar que isso ajuda a produtividade é um grande engano pois a pessoa vai para outro local e gasta muito mais tempo nas mesmas atividades. As empresas não têm apenas mais a rodinha do cigarro, mas também a rodinha do facebook. Com a desculpa de fumar ele vai fazer as duas coisas e pior, em vez de fumar um ele fuma dois para dar tempo para terminar a interação social dele nas redes. O assunto é tão sério que em algumas empresas existe um escaninho na entrada da sala de reunião onde está escrito ?smartphones e tablets aqui?, não podem entrar.

Xandó : algumas semanas atrás foi aniversário do meu filho adolescente e convidamos cerca de 10 ou 12 pessoas para comemorarmos em uma pizzaria. Certo momento todos estavam com os smartphones nas mãos e eu falei brincando, todos os celulares no centro da mesa, quem pegar o aparelho antes do final paga a conta. Formou-se uma pilha de celulares no centro da mesa, interessante de se ver.
Cássio : mas você sabe o que eles estavam fazendo? Possivelmente compartilhando a festa com outras pessoas. É diferente a forma de pensar. Na nossa geração ao nos sentarmos à mesa com alguém é para dividir com elas aquele momento. A geração atual por sua vez conversa com as pessoas da mesa, tecla com um amigo, conta da festa, falam de outro assunto e possivelmente também falam com alguém que está à mesa, ao seu lado ou na outra extremidade de mesa. E no ambiente da empresa, como você controla uma situação dessas?? Eu como administrador de segurança prefiro dar autorização para ele usar com moderação   no tempo certo este recurso e controlando o que ele faz, sabendo o que ele tecla e o que ele pode fazer do que deixar aberto.
Xandó : não entendo de leis, mas li que recentemente foi formada jurisprudência a respeito de conferir o direito da empresa a monitorar comunicações, e-mails, etc. dentro da empresa.
Cássio : não acho que ela pode, ela deve fazer isso! Ela tem que ter as ferramentas que garantam a segurança de acesso e segurança de informação. E-mail ainda existem discussões a respeito, mas acesso Web não há dúvidas de que a empresa pode saber tudo que o funcionário acessa. Uma das coisas que nós conseguimos fazer é restringir ou limitar acesso de comunicação instantânea (Skype, MSN, etc.) inclusive bloqueando a possibilidade de enviar ou receber arquivos. Um de nossos clientes, um banco, usavam o Messenger que supostamente era para falar com clientes, mas eu percebo que ficam falando com amigos o dia todo. Vamos instalar a ferramenta e eu vou determinar um horário de utilização, uma hora antes do início do expediente e uma hora depois do término. Nunca mais ninguém chegou atrasado.
Xandó : interessante esta abordagem! Algum outro caso parecido?

Cássio : outro caso interessante é de outra empresa que se discutiu de abria ou não abria redes sociais. Foi decidido que abriria na hora do almoço. Mas porquê? O refeitório não era muito grande e as pessoas tinham o hábito de terminarem o almoço e permaneciam no refeitório conversando, diminuindo a capacidade do refeitório. Com a rede social aberta neste horário as pessoas almoçavam e voltavam para seus lugares para poder aproveitar o tempo e colocar em dia suas redes sociais. Até este tipo de situação acaba sendo considerada no uso de uma ferramenta dessas. Segurança é o mais importante, mas não é apenas isso.
Xandó : voltando para aquele assunto do e-mail, imagine que uma empresa tem escaninhos com estoques ilimitados de envelopes e selos. Se o funcionário começar a usar abusivamente os recursos da empresa para suas cartas pessoais, isso não é correto, não acha?
Cássio : a nossa solução de DLP integrada no gateway permite levantar um ?incidente? que descreve qual o tipo de vazamento de informação e que informação está vazando sem mostrar o e-mail. Aponta quem mandou o e-mail, quando, para quem e o que era crítico sendo enviado e este tipo de evidência o juiz aceita como prova.
Xandó : Este assunto é muito extenso, muito tipo de vazamento ou mal uso de informações pode acontecer.
Cássio : veja outro exemplo interessante. Eu tenho um cartão de crédito corporativo que só pode ser usado para deslocamentos, alimentação e estadias. Se eu entro na página da FastShop e vou comprar uma geladeira. Informo o número do cartão (da empresa). Nossa ferramenta vai perceber que aquele é um número de cartão, checa em seu banco de dados e percebe que é do Cássio. Em seguida a página que está sendo usada é confrontada, no caso a categoria é de compra de eletroeletrônicos. Neste instante o acesso é bloqueado porque eu não posso comprar eletroeletrônicos. Agora imagine que eu estou comprando uma passagem aérea em determinado site. A operação é legal, mas o referido site é ou está malicioso? É checada a veracidade do site (se a URL é correta) e se não há ameaça no site. Este nível de controle todo não existe antivírus que faça e nem mesmo firewall. Existe aqui a integração de inteligência de várias ferramentas. Nós somos especialistas em inteligência de Web e nós integramos isso com e-mail, DLP e mobilidade.
Xandó : qual os principais perfis de clientes aqui no Brasil e fora do Brasil?
Cássio : temos clientes em todos os mercados. Desde empresas com 10 usuários até 100 mil usuários. Não existe um perfil exclusivo. Atendemos grandes bancos, governo, clientes pequenos, laboratórios, bancos de investimento, corretoras, concessionária de veículos… Adequamos a solução ao nível de controle que é necessário para aquela operação.
Xandó : como as empresas do segmento financeiro lidam com esta parte do produto que opera na nuvem? Nós sabemos que este tipo de negócio é relutante a uso de nuvem para transitar ou conter suas informações.
Cássio : você tem razão, as empresas deste segmento ainda não estão usando a solução híbrida que conta com a inteligência também na nuvem. É um paradigma a ser quebrado por estas empresas. Mas eu te faço uma pergunta. Quando eu mando um e-mail ele vai por onde? Nem você, nem eu e nem os bancos fazem a menor ideia. O e-mail pode passar por 4 hops (ponto de desvio de tráfego na Internet) ou 15 hops e e-mails podem carregar informações confidenciais. É curiosa esta resistência do uso da nossa solução em nuvem para este segmento porque apenas o que passa lá é o tráfego. Por mais recursos que tenhamos em nossa infraestrutura e por mais seguro que seja eles ainda pensam apenas confiam no que eles mesmo fazem, na infra de redundância dele porque se algo ficar indisponível isso pode significar milhões de reais de prejuízo a cada minuto. Além disso estas empresas trabalham de forma bastante centralizada e por isso ainda não faz sentido para eles descentralizar alguns processos. Um grupo como o JBS que têm muitos escritórios de tamanhos pequenos e médios e uma grande sede, a solução na nuvem faz sentido imediatamente.
Xandó : isso tudo que estamos falando diz respeito possivelmente a sua solução mais elaborada, mas que outros tipos de produtos a Websense tem para acomodar empresas de portes distintos?
Cássio : nós temos uma linha de produtos que ainda é o filtro estático de conteúdo, adequado para empresas que têm políticas de acesso bem fechadas e restritivas, com filtros definidos pelo usuários (pelas categorias) e nosso laboratório envia para os dispositivos atualizações de listas de URLs perigosas ou maliciosas. Ele dá um bom nível de segurança porque a empresa por princípio não quer abrir muito a Internet. Porém neste tipo de produto se você abrir rede social tudo será acessível. Mas é eficaz para restrição de acessos e também ajuda a conter uso de banda de Internet (pelas restrições a sites ou categorias não desejadas). E temos um ponto muito forte que são os relatórios que podem ser extraídos a partir do uso e bloqueios. Se a empresa quiser e precisar mesmo abrir toda a Internet, mas com controle mais sensível ela vai precisar da solução que faz análise em tempo real, mesmo nas páginas dinâmicas. Essa solução é um Proxy especializado. E nessa situação eu tenho um Proxy que é só interno e outro que é interno e nuvem, a versão híbrida.
Xandó : o importante é a sensação de segurança estar no nível da expectativa da empresa usuária. É isso?
Cássio : sim, mas a sensação de segurança é a partir de certo ponto subjetiva. Você se considera seguro aqui neste café que estamos conversando? Um carro não pode ficar desgovernado e entrar por esta porta de vidro na nossa frente? Não existe aqui detector de metais na entrada, um maluco não poderia entrar aqui e sair atirando? Segurança é uma sensação. E você pode se sentir seguro por não ter as ferramentas adequadas e os parâmetros  para dizer que você está inseguro…
Xandó : é a sensação de segurança pela ignorância?
Cássio : Isso. Ou você tem uma boa quantidade de ferramentas que te dão todos os indicadores que te mostram que está seguro de verdade. As grandes empresas têm estes indicadores. As empresas de médio e pequeno porte têm a sensação dessa segurança. Estes vão perguntar ?porque alguém invadiria a minha rede??.
Xandó : vai invadir porquê? Vai invadir porque ele está na Internet. Tem gente que sai caçando IPs na Internet buscando alguma porta ou vulnerabilidade para depois ver se vale a pena ou não, mas nessa hora o estrago está feito. Isso se não foi um ataque direcionado.
Cássio : para você ter uma ideia, na minha casa eu tenho 3 redes WiFi. Uma de 5 Ghz que eu uso apenas para conectar o meu MAC e de minha esposa. Outra rede de 2.4 Ghz para nossos tablets e meu notebook que é Windows e tenho uma rede para convidados que mesmo assim tem senha forte. Todas as 3 redes têm filtro de conteúdo, cada uma delas têm diferentes níveis de acesso que eu mesmo controlo. Todas as semanas eu analiso os logs e encontro ataques ao roteador e várias tentativas de conexão na minhas redes. Porque alguém tentaria invadir a rede WiFi da minha casa? Vários PORTSCAN, várias tentativas de ataque DDOS (negação de serviço), meus vizinhos tentando entrar na minha rede. E tem quem me pergunte ?porque este nível todo de segurança??. Eu tenho estes indicadores de que falei e por isso sei o quanto isso é importante mesmo na rede de minha casa. Imagine nas empresas. E na casa do meu pai a NET instalou o serviço com o roteador WiFi. Qual a senha do roteador? Quem pode acessar? Tem Firewall ali? Qual a segurança desta instalação? Até tem senha, mas quem criou a senha foi quem instalou… Será que é uma senha padrão? Não sei dizer.
Xandó : o que você está falando é como se eu na minha casa instalasse uma série de trancas a mais. Sem as trancas pessoas podem passar ali e eu nem fico sabendo, mas com elas eu posso saber se alguém forçou aqui ou ali e ter consciência destes perigos.
Cássio : E os ataques se repetem na minha rede, direto, toda semana.
Xandó : Vários anos atrás eu passei por uma situação muito complicada. Uma empresa para qual eu prestava serviços e que criava soluções para Internet começou a ter seus sites invadidos e pichados (ataque conhecido como defacement). Foi terrível, passei semanas tentando descobrir como tinham entrado e roubado as informações e ao mesmo tempo negociando com o atacante (que deixara um número de ICQ nas telas). Eu até escrevi esta história no texto ?Invasão, Destruição e Extorsão?. No final descobri que ele entrara no computador do responsável da empresa e roubara um planilha com todos os dados de acesso, IPs, logins e senhas. Uma brecha no computador da tal pessoa permitiu que um incauto achasse a brecha e usasse a seu favor. Fora um ataque fortuito, não direcionado. Ele atacou e fez o que fez apenas porque havia uma brecha… O fulano se sentia seguro, foi invadido deu no que deu. Acabei fechando tudo, mas foi um trabalhão.
Cássio : toda vez que eu chego em uma cidade eu pergunto ?é seguro andar por aqui??. Se a pessoa diz que sim eu posso me aventurar a caminhar nas redondezas. Agora imagine que chegue um europeu aqui em São Paulo e ele sai a esmo pelas ruas da cidade… Ele por analogia aos locais que ele mora e conhece vai se sentir muito seguro e confortável, mas ele nem desconfia dos perigos que ele está passando. A sensação de segurança é muito perigosa porque ele não tem noção da ameaça. Quando a pessoa recebe de seu provedor um endereço IP ela sai navegando e se expondo sem ter noção do que pode ter de perigos. Eu tenho apenas uma rede social que é o Linkedin. Não compartilho fotos de viagens e nada que eu não saiba a segurança daquele ambiente e quem estará vendo aquilo. Meu Linkedin não tem foto. Quem quiser me contratar só precisa conhecer meu currículo, minha experiência! Eu sou uma pessoa muito reservada neste aspecto. E sou prevenido. Tenho 8 caminhos diferentes para ir e voltar de casa para o trabalho. Não repito nenhuma password em site ou serviço algum e todas têm no mínimo 16 caracteres! Não são palavras, são frases. E na minha casa todas as câmeras (webcam) têm uma fita adesiva tampando. Se apesar de todo cuidado que eu tenho, se entrar um malware que ativa a webcam, não estarei exposto. PC, notebook, tablet e mesmo meu telefone têm a câmera tampada ou sempre virados para baixo.
Xandó : isso tudo parece loucura e eu te entendo, pois você é profissional de segurança, mas pensando bem é mesmo necessário!
Cássio : minha esposa acha que eu sou maníaco!! Minha rede de casa é mais intrincada e mais protegida que muitas empresas!! Minhas senhas super complexas. Sabe onde é o lugar mais fácil para pegar senhas das pessoas? Em lojas que vendem tablets. As pessoas testam e entram com seus e-mails e apenas fecham o browser. Ao chamar novamente, por exemplo, o Gmail já aparecem os e-mails da última pessoa que usou (ela não fez logoff). Nessa hora não só você vê tudo sobre a pessoa como pode mudar a senha dela… E jamais use WiFi sem senha, pois estes são facilmente monitorados e pessoas podem capturar dados, e-mails e senhas com grande facilidade. Eu só uso o meu próprio modem 3G e ainda fecho VPN com a empresa e obviamente estou protegido pela nossa ferramenta da Websense que falamos sobre ela.
Xandó : Fantástica essa nossa conversa!! Eu agradeço muito pela oportunidade e por tantas informações, casos, detalhes sobre produtos, dicas de segurança e também pelo ótimo café!! Até uma próxima oportunidade.