A anatomia de uma superfície de ataque externa

A maioria dos ataques cibernéticos se origina a quilômetros de distância da rede; os aplicativos da Web constituíram a categoria de vetor mais comumente explorada em violações relacionadas a hackers. Infelizmente, a maioria das organizações não tem uma visão completa de seus ativos de Internet e de como esses ativos se conectam à superfície de ataque global. Três contribuintes significativos para essa falta de visibilidade são a shadow IT, as fusões e aquisições (M&A) e as cadeias de fornecedores digitais.

Shadow IT

Quando a TI não consegue acompanhar o ritmo dos requisitos comerciais, a empresa busca apoio em outro lugar para desenvolver e implantar novos ativos da Web. A equipe de segurança frequentemente não tem conhecimento dessas atividades de shadow IT e, como resultado, não consegue incluir os ativos criados no escopo de seu programa de segurança. Os ativos não gerenciados e órfãos podem se tornar um passivo na superfície de ataque de uma organização ao longo do tempo.

Essa rápida proliferação de ativos digitais fora do firewall agora é a norma. Os novos clientes da RiskIQ normalmente encontram cerca de 30% mais ativos do que pensavam ter, e a RiskIQ detecta 15 serviços expirados (suscetíveis à aquisição de subdomínios) e 143 portas abertas a cada minuto.²

Fusões e aquisições

As operações cotidianas e as iniciativas críticas de negócios, como M&A, parcerias estratégicas e terceirização, criam e expandem as superfícies de ataque externas. Atualmente, menos de 10% dos negócios em todo o mundo contêm diligência prévia de segurança cibernética.

Há vários motivos comuns pelos quais as organizações não estão obtendo uma visão completa dos possíveis riscos cibernéticos durante o processo de diligência prévia. A primeira é a grande escala da presença digital da empresa que está sendo adquirida. Não é incomum que uma grande organização tenha milhares, ou até dezenas de milhares, de sites ativos e outros ativos expostos publicamente. Embora as equipes de TI e de segurança da empresa a ser adquirida tenham um registro de ativos de sites, quase sempre essa é apenas uma visão parcial do que existe. Quanto mais descentralizadas forem as atividades de TI de uma organização, mais significativa será a lacuna.

Cadeias de fornecedores

A empresa está cada vez mais dependente das alianças digitais que formam a cadeia de fornecedores moderna. Embora essas dependências sejam essenciais para agir no século XXI, elas também criam uma rede desordenada, em camadas e altamente complicada de relacionamentos com terceiros, muitos dos quais estão fora do alcance das equipes de segurança e risco para proteger e defender proativamente. Como resultado, identificar rapidamente ativos digitais vulneráveis que sinalizam risco é um enorme desafio.

A falta de compreensão e visibilidade dessas dependências fez dos ataques de terceiros um dos vetores mais frequentes e eficazes para os atores de ameaças. Uma quantidade significativa de ataques passa agora pela cadeia de fornecedores digital. Hoje, 70% dos profissionais de TI indicaram um nível moderado a alto de dependência de entidades externas que podem incluir terceiros, quartos ou quintos.⁹ Ao mesmo tempo, 53% das organizações sofreram pelo menos uma violação de dados causada por terceiros.¹⁰

Embora os ataques em grande escala à cadeia de fornecedores se tornem mais comuns, as organizações lidam diariamente com ataques menores. Malware de fraude de cartões de crédito digitais, como o Magecart, afeta plug-ins de comércio eletrônico de terceiros. Em fevereiro de 2022, a RiskIQ detectou mais de 300 domínios afetados pelo malware Magecart de fraude de cartões de crédito digitais.¹¹

A superfície de ataque global da Internet de hoje se transformou drasticamente em um ecossistema dinâmico, abrangente e completamente entrelaçado do qual todos nós fazemos parte. Se você tem uma presença na Internet, se interconecta com todos os outros, inclusive com aqueles que querem causar danos. Por esse motivo, o rastreamento da infraestrutura de ameaças é tão importante quanto o rastreamento de sua própria infraestrutura.

Diferentes grupos de ameaças reciclarão e compartilharão a infraestrutura - IPs, domínios e certificados - e usarão ferramentas de commodity de código aberto, como malware, kits de phishing e componentes de C2 para evitar a atribuição fácil, ajustando-os e melhorando-os para atender às suas necessidades exclusivas.

Mais de 560.000 novas peças de malware são detectadas todos os dias, e o número de kits de phishing anunciados em mercados clandestinos de crimes cibernéticos dobrou entre 2018 e 2019. Em 2020, o número de variantes de malware detectadas aumentou 74%.¹⁴ A RiskIQ agora detecta um servidor C2 do Cobalt Strike a cada 49 minutos.