Vídeo: WiFi Sempre Sendo Hackeado? Saiba como resolver! (Novembro 2024)
Na segunda terça-feira de cada mês, "Patch Tuesday", a Microsoft elimina patches de bugs e falhas de segurança no Windows e em aplicativos da Microsoft. Na maioria das vezes, os problemas abordados incluem graves falhas de segurança, erros de programação que podem permitir que hackers penetrem na segurança da rede, roubem informações ou executem códigos arbitrários. Adobe, Oracle e outros fornecedores têm seus próprios agendamentos de patches. Um novo estudo alarmante do NSS Labs sugere que, em média, os hackers têm cerca de cinco meses de acesso irrestrito a essas brechas de segurança entre a descoberta e a correção iniciais. Pior, existem mercados especializados para vender vulnerabilidades recém-descobertas.
Dr. Stefan Frei, diretor de pesquisa do NSS Labs, supervisionou um estudo que analisou mais de dez anos de dados de dois grandes "programas de compra de vulnerabilidades". O relatório de Frei aponta que todos os números resultantes são mínimos; claramente há muito mais coisas que eles simplesmente não conhecem. Com base no que eles sabem, o mercado de informações sobre explorações cresceu significativamente nos últimos anos. Dez anos atrás, as duas empresas estudadas tinham apenas um punhado de vulnerabilidades não divulgadas em um determinado dia. Nos últimos anos, esse número cresceu para mais de 150, dos quais mais de 50 estão relacionados aos cinco principais fornecedores: Microsoft, Apple, Oracle, Sun e Adobe.
Explorações à Venda, Barato
O Stuxnet e outros ataques no nível nacional dependem de várias falhas de segurança não reveladas para penetrar na segurança. Supõe-se que seus criadores paguem enormes dividendos para obter acesso exclusivo a essas vulnerabilidades de dia zero. A NSA orçou US $ 25 milhões para a compra de exploração em 2013. O estudo de Frei revelou que os preços agora estão muito mais baixos; ainda alto, mas ao alcance de organizações cibercriminosas.
Frei cita um artigo do New York Times que examinou quatro provedores de exploração de butiques. Seu preço médio pelo conhecimento de uma vulnerabilidade ainda não revelada variou entre US $ 40.000 e US $ 160.000. Com base nas informações obtidas desses fornecedores, ele conclui que eles podem oferecer pelo menos 100 explorações exclusivas por ano.
Os vendedores revidam
Alguns fornecedores de software oferecem recompensas de bugs, criando um tipo de programa de pesquisa de crowdsourcing. Um pesquisador que descobre uma falha de segurança desconhecida anteriormente pode receber uma recompensa legítima diretamente do fornecedor. Isso é certamente mais seguro do que lidar com cibercriminosos ou com quem vende para cibercriminosos.
As recompensas típicas variam de centenas a milhares de dólares. O "Mitigation Bypass Bounty" da Microsoft paga US $ 100.000, mas não é um simples prêmio de bug. Para obtê-lo, um pesquisador deve descobrir uma "técnica de exploração verdadeiramente nova" que possa subverter a versão mais recente do Windows.
Você foi hackeado
Recompensas de insetos são boas, mas sempre haverá quem pague a maior recompensa oferecida por provedores de exploração de butiques e criminosos cibernéticos. O relatório conclui que qualquer empresa ou organização grande deve assumir que sua rede já foi invadida. Bloquear ou até detectar um ataque de dia zero é difícil, portanto a equipe de segurança deve planejar o pior com um plano de resposta a incidentes bem definido.
E as pequenas empresas e redes pessoais? O relatório não fala sobre eles, mas eu diria que alguém que pagou US $ 40.000 ou mais pelo acesso a uma exploração apontaria para o maior alvo possível.
Você pode ler o relatório completo no site do NSS Labs.
