7 recomendações para líderes de segurança da informação lidarem com Spectre e Meltdown

Líderes de segurança e gerenciamento de riscos devem adotar uma abordagem pragmática e baseada em risco para lidar com as ameaças atuais de segurança da informação, de acordo com o Gartner. Specter e Meltdown são os nomes de códigos dados a diferentes tipos de vulnerabilidades que visam a implementação de ameaças dentro da maioria dos chips de computadores fabricados nos últimos 20 anos.

Pesquisadores de segurança revelaram três principais variantes de ataques em janeiro de 2018. Os dois primeiros são apontados como Specter, o terceiro como Meltdown, e as três variantes envolvem execução especulativa de código para ler a memória protegida do chip.

“Nem todos os processadores e softwares são vulneráveis às três categorias da mesma maneira, e o risco varia com base na exposição do sistema ao código desconhecido e não confiável”, explica Neil MacDonald, vice-presidente, analista e companheiro emérito do Gartner. “O risco é real, mas com um plano de remediação claro e pragmático baseado em risco, líderes de segurança e gerenciamento podem fornecer aos líderes empresariais a proteção adequada.”

O Gartner listou sete passos que líderes de segurança podem colocar em prática para mitigar riscos associados às novas ameaças. Confira abaixo:

1. Sistemas operacionais modernos (OS) e hypervisores

Eles dependem de modelos de permissões estruturados e em camadas para fornecer isolamento e separação de segurança. Como essa implementação de design explorável está no hardware – abaixo do sistema operacional e do hypervisor – todas as camadas de software acima são afetadas e vulneráveis. No entanto, a memória só pode ser lida, mas não alterada.

A exploração da falha requer que o código não confiável seja introduzido e executado no sistema de destino, o que deve ser extremamente difícil em um servidor ou dispositivo bem gerenciado, como uma rede ou dispositivo de armazenamento.

Há também uma vantagem em não se apressar para fazer um “patch do pânico”. Os patches iniciais criaram conflitos com algumas ofertas de antivírus e bloquearam desktops com Windows. Alguns conflitaram com o uso de microprocessadores AMD, de modo que os sistemas não inicializassem. Outros patches iniciais tiveram impactos de desempenho que foram aprimorados por patches subsequentes.

2. Quase todos os sistemas modernos serão afetados até certo ponto

Desde que a Y2K tenha uma vulnerabilidade afetada, muitos sistemas – desktops, dispositivos móveis, servidores, máquinas virtuais, dispositivos de rede e armazenamento, tecnologia de operação e dispositivos da internet das coisas (IoT) – demandaram um plano de ação para remediação.

O ponto de partida para os líderes de segurança deve ser um inventário dos sistemas afetados. Em alguns casos, a decisão apropriada para o risco não será corrigir. No entanto, em todos os casos, o roteiro para líderes de segurança será o inventário. Para cada sistema, é necessário um banco de dados ou uma planilha detalhada para rastrear o dispositivo ou a carga de trabalho, a versão do microprocessador, a versão do firmware e o sistema operacional.

3. Vulnerabilidades não são diretamente exploráveis remotamente

Um ataque bem-sucedido exige que o invasor execute um código no sistema. Para tal, o controle de aplicativos e listas brancas em todos os sistemas reduzem o risco de execução de código desconhecida. No entanto, a infraestrutura como serviços (IaaS) compartilhada é particularmente vulnerável até que os provedores da nuvem atualizem suas camadas de firmware e hypervisores subjacente (algo que os principais provedores fizeram). A forte separação de funções (SOD) e o gerenciamento de contas privilegiadas (PAM) reduzem o risco de introdução de código não confiável.

4. Divida a estratégia em fases

A recomendação é fundamental, pois o risco, as implicações de desempenho e as potenciais atualizações de hardware necessárias variam muito entre os casos de uso. Comece com sistemas que representam o maior risco – desktops, infraestrutura de desktop virtual (VDI), smartphones e servidores externos.

5. Prepare-se para cenários nos quais a decisão apropriada não é corrigir

Em alguns casos, isso acontecerá devido à falta de patches em sistemas mais antigos. Em outros casos, o impacto no desempenho não é compensado pela redução do risco, portanto, os patches não serão aplicados. Mesmo para alguns servidores bem gerenciados, a decisão de renunciar patches pode ser feita para proteger o desempenho até que os patches futuros tenham comprovadamente impactos aceitáveis.

No entanto, para as cargas de trabalho do servidor, quando as características de desempenho o permitem, o Gartner recomenda atualizações e uso de firmware.

6. E os sistemas não corrigidos?

Para sistemas que não são corrigidos ou apenas parcialmente corrigidos, vários controles atenuantes podem reduzir o risco. O problema mais importante a ser abordado é restringir a capacidade de colocar código desconhecido ou não confiável no dispositivo.

Ao fazer isso isso, os riscos são significativamente reduzidos, porque os ataques requerem a execução de código local. Para todos os sistemas, isso significa assumir uma abordagem de “negação padrão”, e o controle de aplicativos e listas brancas reduzem muito o risco. Na medida em que os ataques públicos se tornam conhecidos, plataformas tradicionais de proteção de pontos de extremidade e sistemas de prevenção de intrusão baseados em rede também têm seus riscos mitigados.

7. Lembre-se: é apenas o começo

Specter e Meltdown representam uma classe inteiramente nova de vulnerabilidades, e isso é apenas o começo. A implementação explorável subjacente certamente permanecerá nos próximos anos.