Segurança Cibernética para além do bem e do mal

Um equívoco bastante comum é o de se trazer o julgamento ético ou a preferência ideológica para a discussão relacionada à segurança cibernética das empresas, governos e sociedade. 

Julgamento equivocado e inócuo por dois motivos muito simples: primeiro, porque esse tipo de debate jamais conduzirá ao consenso e em nada ajudará na questão da segurança. E segundo, porque, ainda que por motivos eticamente generosos e louváveis, qualquer pessoa ou grupo organizado que se apodere de certas armas, e as leve ao espaço público para fazer valer a sua opinião, deverá ser prontamente desarmado em favor do real interesse coletivo.

Vejamos, a este propósito, o caso dos cada vez mais sofisticados ataques DDoS (ou de negação de serviços). Para muitos, eles correspondem apenas à metáfora de um piquete (cuja validade ética não entra em questão aqui), no qual um grupo de pessoas promove um cerco na porta de entrada do escritório ou da fábrica que se deseja paralisar em função de uma reivindicação ou protesto.

No imaginário que se constituiu sobre a estratégia de ataques DDoS, esta prática é opcionalmente atribuída a um hacker especialista “do bem” (também chamado ‘hacktivista’), que organiza um cerco massivo ao site da empresa “maldosa” (aquela que não respeita a privacidade alheia, por exemplo); ou ao contrário, é atribuída a um cibercriminoso comum, sem ética e sem piedade, que utiliza o mesmo estratagema para enfraquecer os mecanismos de guarda de um banco, ou de uma empresa de cartão, para assim invadir os seus tesouros.

Ao lado dos dois personagens, campeiam o ciberterrorismo (que também promove o sequestro de dados, a sabotagem, o roubo, a fraude etc. por motivos políticos ou ideológicos) e a guerra fria cibernética em si, que envolve o engajamento de países com suas forças estratégicas de inteligência, e que não será objeto deste artigo.

Mas se a prática hacktivista pode às vezes ser considerada “do bem” por sua finalidade altruística (em contraposição ao sempre condenável cibercrime), de que lado devemos ficar quando o grupo hacktivista “Anonymous” invade e faz profanação em inocentes sites islâmicos, em nome do protesto “je suis Charlie”? ou quando os hacktivistas islâmicos do “L’Apoca-Dz” derrubam sites cristãos em nome da suas crenças?

Se a pergunta se refere à preferência ideológica ou à religião, cada um que opte por seu lado. Mas se a discussão é de fato voltada à questão da segurança, o papel do debatedor é ignorar solenemente tais embates. Os responsáveis pela segurança devem fazer uma suspensão radical desses julgamentos ideológicos e entender que, em ambos os casos, o que está sendo violado é o bom funcionamento da Internet do qual depende, em última instância, a tranquilidade pública.

Não só a tranquilidade dos sites e instituições afetadas, mas a de todos os cidadãos, obrigados a conviver com o aumento progressivo do medo e da frustração em relação às salvaguardas de autointegridade no espaço público da Internet. Glamourizar ou não glamourizar o ativismo cibernético baseado em ferramentas hackers é uma questão que deve passar totalmente ao largo daqueles que precisam se preocupar com a segurança cibernética. 

Que partam de uma agremiação idealista, a favor do direto inegável de minorias injustiçadas; ou que partam de organizações voltadas para promover o tráfico de crianças, as táticas de ativismo ancoradas em ataques cibernéticos comungam em pelo menos dois aspectos básicos: 

1. Todas elas exploram as vulnerabilidades técnicas de terceiros inocentes (que quase nunca têm algo a ver com o alvo de seus ataques) e usam de expedientes igualmente espúrios, como phishing; roubo de identidade; clonagem de páginas web; interceptação ilegal; reedição de códigos fontes; invasão de propriedade; violação de privacidade e violação de inúmeros direitos.

2. Todos esses tipos de agentes acabam negociando entre si, ainda que inadvertidamente, seja no submundo ou em fóruns lícitos de interação, para a troca de experiências e para as operações de compra e venda de kits para a atividade hacker. E isto engloba não apenas o tráfico de códigos maliciosos utilizados nos ataques, mas também as listagens globais de verdadeiros parques computacionais zumbis, que são transformados em clusters, tanto para o ataque de pane (DDoS), quanto para o processamento de dados, necessário à decifração de senhas ou à quebra de algoritmos em geral.

Assim, é papel da comunidade de segurança acompanhar o cibercrime, o ciberterrorismo e o hacktivismo como facetas de um mesmo movimento de constante pressão em que vive a sociedade atual (suas pessoas, suas instituições de estado, suas empresas e agremiações), em função da vulnerabilidade sistêmica que existe na Internet. 

E cabe à indústria de software e dispositivos de segurança o esforço permanente de oferecer à sociedade os mecanismos de combate (prioritariamente, de proteção) contra toda a sorte de atacantes virtuais. Em outras palavras, a ordem é contribuir – de modo frio e agnóstico – para a mitigação dessas vulnerabilidades, que são cada dia maiores, mais complexas e mais desafiadoras.

A Guerra Fria Cibernética e a Posição Brasileira

O que o Brasil pode aprender com o recente conflito EUA-Coreia do Norte em torno do ataque à Sony.

A intensa onda de escaramuças cibernéticas, que fechou o ano de 2014, colocou em conflito aberto duas potências nucleares (EUA e Coréia do Norte) tendo como pivô um incidente aparentemente corriqueiro, que foi o vazamento de informações privadas da Sony a partir da ação de hackers.

Inicialmente, as duas partes passaram apenas a trocar acusações ruidosas de violação de princípios, mas logo o governo americano adotou medidas de retaliação no campo militar e, embora sem o assumir explicitamente, provocou uma pane geral de um dia na internet norte-coreana.

Além de demonstrar o alto potencial de risco que tal tipo de ciberataque apresenta para a sociedade global, o episódio Sony-Pyongyang aponta para dois fatos importantes e que nós brasileiros precisamos ter em mente para que possamos aprimorar nossa visão da segurança.

O primeiro fato a se considerar é que a guerra fria cibernética está efetivamente em curso e é cada vez mais intensa. O segundo é que, na lógica dessa nossa guerra, que é permanente, complexa e de difícil delimitação, não há uma clara distinção entre interesses estritamente privados e a segurança estratégica dos países.

De fato, ao responder ao ataque à Sony com retaliações explícitas e discurso bélico, o Governo Obama mostrou o seu alto nível de preocupação com segurança cibernética do País - e não apenas a do Estado.

Bastante ilustrativo quanto à importância global de uma segurança holística, o episódio serve para referendar a tese hoje em discussão no Brasil de que o Governo e as empresas necessitam procurar um "alfa" capaz de conciliar políticas de segurança cibernética e de defesa estratégica.

Uma dificuldade dessa discussão estava, até bem pouco tempo, na velha vocação "pacifista" da sociedade brasileira. E também numa forte aversão de boa parte das empresas em aderir a programas de estado, que poderiam carregar um viés de indesejável "dirigismo".

Felizmente, do lado do Governo, esta fase pueril começou a ser superada no início dos anos 2000 e especialmente a partir de 2011, quando o Exército Brasileiro passou a operar o CDCiber (Centro de Defesa Cibernética), um bem planejado instrumento de defesa que já mostrou bons serviços durante o Rio+20 e a Copa de 2014 e que considera estratégica também a defesa do setor privado.

Outro avanço considerável se deu a partir de 2013 quando o Ministério da Defesa se aliou às lideranças do setor privado, instituindo a credencial de 'Empresa Estratégica de Defesa' (EED), com grande ênfase para empresas nacionais ligadas à proteção cibernética, ao lado de indústrias de ponta, como a aeroespacial, de biotecnologia e a de química fina.

São arranjos de grande abrangência e longa visão de futuro que poderão proteger o estado brasileiro e suas empresas de um novo modelo de guerra que contém uma zona cinzenta onde se misturam, de forma difusa, os altos interesses de estado, a propriedade intelectual das empresas e a fúria inescrupulosa do crime cibernético.

Como não agir como agiu o Governo Obama, ao sinalizar que o ataque a uma rede privada com base no seu território é considerado um ato de guerra? E de que forma, sozinha, uma empresa comercial poderá se contrapor a organizações sem rosto, sem localização definida e com arsenais de poder à altura dos exércitos mais bem aparelhados?

E tudo isto sem falar na alta complexidade que vai caracterizando a própria indústria do crime cibernético. Mencione-se, a este respeito, que poucos dias após um poderoso ataque a redes da Xbox (Microsoft) e - novamente - da Sony, ainda ao final de dezembro último, o grupo hacker Lizard Squad passou a oferecer (via varejo, na internet e a preços baixos) o mesmo kit de ferramentas DDoS (de ataques direcionados) que utilizou para por de joelhos estas duas potências do setor privado global.

Ao fomentar a pesquisa de criptografias proprietárias de concepção autóctone, como é o caso da tecnologia brasileira CelAzul; ao incentivar o surgimento de uma indústria de dispositivos de proteção livres de backdoors" (que por vezes são armadilhas impostas por certos governos a seus exportadores de tecnologia, que são obrigados a embarcá-las nos produtos em função de interesses políticos ou militares), o estado Brasileiro dá um passo importante para se posicionar de forma soberana e competitiva no ambiente da guerra cibernética.

E a indústria local de tecnologia deve aplaudir e lutar pelo fortalecimento de disposições como as credenciais EED e CERTICS, que atesta a nacionalidade  de tecnologias no setor de TI.  Como um competidor brasileiro integralmente dedicado a este problema, a Aker vem apoiando e reivindicando sua participação em programas dessa natureza, já tendo obtido o CERTICS para suas soluções de firewall - hoje também reconhecidas pelo Gartner - e se aliando aos órgãos de segurança e parceiras congêneres. Só com a união de competências e recursos poderemos fazer frente ao forte avanço tecnológico do crime cibernético global e dos dispositivos formais (ou informais) da nova guerra fria.

Sofisticação gerencial do crime cibernético desafia as empresas

A superioridade técnica e administrativa das organizações criminosas frente ao estágio atual das defesas cibernéticas é real.

Já há algum tempo, especialistas em segurança digital e a mídia dedicada ao assunto veem reportando uma impressionante evolução da competência tecnológica do crime digital, que age tanto de forma global como localizada.

Tecnologias novíssimas e complexas, como a engenharia social aplicada às redes sociais (utilizando semântica, gramática e análise de vínculos) e o uso de “clusterização” de milhares de máquinas escravas para o processamento colaborativo de grandes massas de dados, são apenas alguns dos exemplos de um patamar de excelência que a maior parte das empresas – e mesmo governos nacionais – ainda está longe de dominar e que já integram o arsenal do crime cibernético.

Mas a novidade mais surpreendente, que começa a ser revelada, é a sofisticada visão gerencial dos grupos criminosos, envolvendo a aplicação de técnicas e conceitos ainda fora do alcance da maioria das empresas. Inclui-se aí também o outsourcing de serviços para ataques em massa, através do qual a alta bandidagem arregimenta mão de obra altamente especializada no submundo da web para a produção de ferramentas de ataque.

A lista é extensa, abrangendo, por exemplo, a adoção de ferramentas de BPM (Business Process Management) para a gestão dos ataques e monitoramento de sua produtividade e o emprego de modelos de aquisição de malwares no modelo “software as a service”. Neste último exemplo específico, recentemente especialistas norte-americanos da empresa Loockout descobriram uma central de crimes cibernéticos na Rússia que tem por prática “alugar” componentes de malware para que outros criminosos possam produzir artefatos digitais voltados para múltiplas funções, como a violação de dados, sequestro de informações, desvio de “Bitcoins”, roubo de senhas, invasões a tesouros de dados ou controle remoto de smartphones de milhares de usuários para a prática de outros e outros crimes.

Nesse modelo “malware as a service” descrito pela Loockout, os contratos de parceria para o crime acontecem em sombrios canais clandestinos da Internet. Não obstante, sua pescaria de “incautos” ocorre exatamente na via pública da World Wide Web onde, nós cidadãos honrados, estabelecemos nossos relacionamentos e nossas transações de negócios.

Além disso, os novos bandidos virtuais não localizam seus comparsas de maneira aberta, ainda que nessas zonas escuras. Eles constituem listas “top secret” de conhecimento exclusivo dos próprios grupos criminosos, que trocam “figurinhas” entre si. E é nessas listas fechadas que eles compõem seu metier e realizam seus consórcios. Uma vez apto para o ataque, através de códigos de terceiros, acessados em nuvem, o atacante ‘cliente’ entrega parte de suas vítimas para o fornecedor da “solução” e assim está caracterizada uma sofisticada confraria.

Se rastrear e identificar um atacante individual, ou desbaratar um grupo específico especializado na produção de códigos maliciosos, já era uma tarefa hercúlea para as autoridades e empresas, imagine a situação atual, em que o originador do crime se vale de formas indiretas de atuação, de tão difícil mapeamento.

A tudo isto se acrescenta o reluzente mercado de armas cibernéticas, de toda espécie, a partir das quais se pode atacar tanto uma usina hidrelétrica quanto uma rede de farmácia, um usuário de cartão ou uma transportadora de valores.

Com o dispêndio de alguns dólares, é possível a qualquer aventureiro adquirir malwares para roubo de informações de cartão de crédito e, em seguida, vender estas informações no submundo para outros marginais cibernéticos ou, simplesmente, atacar as vítimas e obter dividendos diretos. A diversificação dos negócios e a definição de “nichos” de preferência dos agentes é outro sinal preocupante do amadurecimento do crime, por tornar ainda mais difícil e complicado o rastreamento e o desmantelamento desses grupos.

Constata-se, em outras palavras, que certas práticas organizacionais, ainda em fase de consolidação em grande parte das empresas, encontram-se hoje num estágio próximo à banalização nas comunidades do crime cibernético.

A situação é, portanto, de ameaça constante para todo o sistema cibernético global, mas é especialmente dramática para a pequena e média empresa, cuja capacidade financeira e cultura organizacional estão inegavelmente aquém desse poder de ataque, aqui descrito apenas em alguns de seus aspectos.

E enquanto as grandes empresas e governos se protegem, na base de investimentos cada vez mais expressivos em ferramentas, pessoas e consultorias; estas partes mais vulneráveis do elo de conexão da Internet acabam contaminando toda a cadeia de produção por encontrarem-se umbilicalmente ligadas às maiores redes globais de negócio. Isto porque, como sabemos, a economia atual, como um todo, processa-se, essencialmente através de meios eletrônicos.

É assim que a barraca de feira, por exemplo, ou a academia de ginástica (com seus baixos níveis de criticidade informacional ou financeira) acaba por transmitir altas doses de insegurança às redes internacionais de pagamento por cartão, anulando assim o efeito prático de milhões e milhões de dólares empregados em segurança.

Perfeitamente cientes desses fatos, a indústria de pagamentos e o setor de segurança, bem como as grandes corporações e governos, desenvolvem constantemente mecanismos e processos para a disseminação das práticas seguras, e tentam levá-las rigorosamente a todos os pontos da cadeia. Aí estão no mercado normalizações como o PCI-DSS, que busca equacionar a questão da segurança no núcleo e nas pontas do processo, e uma infinidade de normas como a ISO 27000 e suas variantes.

São inúmeras e bem estruturadas iniciativas técnicas, com grande efetividade estratégica, ao menos do ponto de vista teórico. Mas concretizá-las, de fato, requer uma democratização mais profunda do acesso à tecnologia e – principalmente – a ferramentas gerenciais do dia a dia que, vamos admitir, ainda não estão ao alcance da grande massa dos agentes econômicos.

A boa notícia, contudo, é que os novos modelos de entrega de aplicações e serviços de segurança na nuvem começam a criar escala para que os provedores mais bem estruturados possam lastrear soluções compatíveis com a realidade das empresas como um todo.

Esta nova classe de provedores, inicialmente planejada para atender a elite dos mercados, e com todo o preparo necessário para a permanente evolução e atualização frente aos avanços do padrão do crime, será em breve reconhecida como um importante fator de amadurecimento da segurança global da Internet.

Esse desenvolvimento combinado poderá representar um importante ganho estratégico, até mesmo na perspectiva da defesa nacional. Algo bastante positivo nesse momento em que os órgãos voltados para a segurança e soberania estão mobilizados justamente para criar uma base nacional (brasileira) de conhecimentos e dispositivos que nos permitam fazer frente à fragilidade cibernética também no seu aspecto macropolítico.

É através deste modelo que o conjunto das empresas, no Brasil, poderá dar um salto expressivo de prevenção, proteção e documentação dos incidentes de rede, permitindo também um maior compartilhamento de alertas, experiências e descobertas entre os mais diversos agentes públicos e privados em função da segurança da rede.

Cabe ao governo brasileiro encarar com a máxima atenção o caráter estratégico desse segmento emergente. Seja promovendo políticas de fomento à sua evolução tecnológica, seja colaborando ele mesmo (o setor público) com o aprimoramento das competências que são articuladas em sua cadeia de produção.