Defesa em profundidade

Defesa em profundidade é uma abordagem de cibersegurança que orienta as empresas a criar e combinar várias camadas de medidas de segurança. Em vez de depender de uma única medida, essa abordagem propõe construir uma série de camadas de segurança para que, se uma falhar, outra entre em ação. O objetivo é prevenir ataques, tornando o sucesso deles o mais difícil possível.

A segurança residencial adota uma abordagem parecida. Para proteger uma casa, não basta trancar a porta e considerar o trabalho concluído. Você pode instalar uma fechadura auxiliar, trancar as janelas, conectar um sistema de alarme e instalar câmeras de segurança. 

Para entrar na sua casa, um invasor teria que superar todas as camadas de segurança, cada uma exigindo habilidades e táticas diferentes. Acrescentar camadas de segurança não apenas torna a invasão cumulativamente mais difícil: elas aumentam exponencialmente o nível de dificuldade. 

A defesa em profundidade aplica a mesma abordagem à TI e à segurança de aplicações. A diferença, claro, é que uma casa é um único espaço ao redor do qual você pode construir um perímetro, enquanto uma empresa e seu conjunto de aplicações e serviços podem estar vulneráveis a muito mais tipos de ataque. 

O princípio continua o mesmo, mas a defesa precisa ser mais profunda. Neste artigo, vamos explicar o que é defesa em profundidade, mostrar como ela funciona e apresentar alguns exemplos práticos.

O que é defesa em profundidade e por que ela é importante?

Defesa em profundidade é uma metodologia de cibersegurança que usa várias técnicas de mitigação para evitar que uma mesma vulnerabilidade seja explorada. 

O termo surgiu em um artigo de 2012 da Agência de Segurança Nacional dos EUA (NSA). O artigo descreve a defesa em profundidade como uma “estratégia prática para alcançar a garantia da informação nos ambientes altamente conectados de hoje”. Uma década depois, essa estratégia é ainda mais relevante, pois os ambientes modernos estão ainda mais conectados. 

A defesa em profundidade trata a segurança como uma série de camadas, e não como um único perímetro. Adotar essa abordagem exige que as equipes de segurança equilibrem pessimismo e otimismo. Em vez de adotar uma ferramenta ou prática e presumir que você está protegido contra o ataque que ela promete evitar, a defesa em profundidade pede que você considere a possibilidade de a medida adotada falhar. E então? 

Empresas que adotam uma perspectiva de defesa em profundidade continuam escolhendo as melhores ferramentas e práticas, mas também se preparam para quando elas falharem. Assim, mesmo que um invasor consiga contornar uma medida de segurança, ainda terá que superar várias outras para alcançar seu objetivo. 

A defesa em profundidade é importante porque os invasores e seus métodos de ataque estão cada vez mais sofisticados e escaláveis.  Para evitar virar manchete por causa do próximo grande vazamento de dados, as empresas precisam criar defesas profundas, não superficiais.

Como funciona a defesa em profundidade?

A defesa em profundidade funciona com três camadas: física, administrativa e técnica (a última é a mais relevante para profissionais de segurança). Cada camada pode ser dividida em vários métodos. Por isso, uma estratégia eficaz de defesa em profundidade combina essas três camadas com diversos métodos em cada uma delas. 

Física

Os controles de segurança física protegem o acesso presencial e material aos sistemas da empresa. Entre eles estão portões e portas trancados, além de câmeras e vigilantes. 

Administrativa

Os controles administrativos são políticas e procedimentos que orientam funcionários e usuários sobre segurança e incentivam seu cumprimento. Eles podem estar documentados em um manual do funcionário e incluir práticas como higiene cibernética, apresentadas durante o processo de contratação, ensinadas em cursos de segurança e reforçadas em simulações de phishing da empresa. 

Técnica

Os controles técnicos, nos quais a defesa em profundidade se aprofunda de verdade, incluem todo o hardware e software que as empresas podem usar para proteger seus sistemas e recursos. 

Há muitos exemplos de controles técnicos, incluindo:

• Software antivírus instalado nos computadores dos funcionários

• Criptografia de dados armazenados e em trânsito 

• Autenticação multifator para gerenciar quem pode usar os sistemas da empresa e acesso baseado em aprovação para controlar quem pode usar recursos especialmente importantes

• Scanners de vulnerabilidades, como o Snyk, que detectam vulnerabilidades em software de código aberto, código e contêineres 

• Firewalls e outras medidas de segurança de rede

Na prática, uma combinação descoordenada de medidas de segurança só é defesa em profundidade no sentido técnico. Uma estratégia verdadeira mapeia os caminhos que um invasor pode seguir, estabelece várias defesas ao longo deles e replica esse esforço para cada caminho de ataque possível. 

Exemplos de defesa em profundidade

A melhor forma de entender a defesa em profundidade é por meio de exemplos, pois essa metodologia é intuitiva na teoria, mas difícil de implementar na prática — até porque sempre é possível se aprofundar mais e incluir outras camadas. 

Defesa em profundidade com várias táticas

Como vimos, uma boa estratégia de defesa em profundidade não se limita a agrupar várias táticas. Ela avalia um caminho de ataque e constrói camadas de defesa ao longo dele. 

Vamos ver um exemplo. 

Considere os ataques de cross-site scripting. Nesse tipo de ataque, um invasor usa uma aplicação web para enviar código malicioso a um usuário por meio de um script executado no navegador. Uma pesquisa da Unit42 mostra que, entre 6.443 vulnerabilidades publicadas de novembro de 2021 a janeiro de 2022, o cross-site scripting se destacou como um dos vetores de ataque mais comuns. 

Esses dados são preocupantes porque um ataque de cross-site scripting bem-sucedido pode permitir a falsificação de identidade em contas, a espionagem de usuários, o carregamento de conteúdo externo nos computadores deles e o roubo de dados confidenciais.

A estratégia mais comum e, em grande parte, eficaz para se proteger desses ataques é validar as entradas. A OWASP descreve essa prática como “garantir que todas as variáveis passem por validação e, em seguida, sejam escapadas ou higienizadas”. Usar frameworks populares como React e Angular pode facilitar a validação de variáveis, mas ainda assim persistem brechas de segurança, e ataques de cross-site scripting continuam sendo possíveis.

Com a defesa em profundidade em mente, as empresas devem presumir que os invasores podem contornar essas medidas comuns e acrescentar outras camadas de proteção, como codificação de saída, higienização de HTML, destinos seguros e políticas de segurança de conteúdo. Com esses métodos e outros trabalhando em conjunto, as empresas podem se sentir mais confiantes de que estão protegidas contra ataques de cross-site scripting. 

Defesa em profundidade com vários produtos

Além de adotar e implementar várias técnicas de segurança, as empresas também devem considerar produtos de segurança extensíveis que ofereçam múltiplas camadas de proteção.

Uma estratégia eficaz de defesa em profundidade baseada em ferramentas também evita agrupar um número excessivo de ferramentas e chamar isso de defesa em profundidade. Segundo a 451 Research, 39% das empresas usam de 11 a 30 ferramentas de monitoramento ao mesmo tempo, e quase 10% usam de 21 a 30. Esse excesso, conhecido como “proliferação de ferramentas”, pode sobrecarregar os funcionários com alertas e interfaces demais para acompanhar. 

Muitas vezes, é mais prático adotar produtos completos que ofereçam diversas integrações, para que você possa usá-los como parte de uma estratégia coordenada de defesa em profundidade. 

Por exemplo, o Snyk oferece vários produtos, como:

• Snyk Open Source, que detecta vulnerabilidades introduzidas por dependências

• Snyk Container, que detecta vulnerabilidades introduzidas por imagens de contêiner

• Snyk Code, que detecta vulnerabilidades no código causadas pela falta de práticas de programação segura. 

Snyk IaC, que analisa infraestrutura como código para encontrar configurações incorretas e garantir a conformidade com as políticas de segurança.…

Produtos extensíveis como esses podem formar uma camada de proteção eficaz em uma estratégia mais ampla de defesa em profundidade. 

Dificulte ao máximo o sucesso dos invasores

A defesa em profundidade parte do princípio de que os invasores estão por aí e, mais cedo ou mais tarde, vão atacar sua empresa. Ao adotar essa premissa, você deixa de pensar na segurança como uma única camada de defesa e passa a tratá-la como um processo de prevenção com várias camadas.

A realidade incômoda da segurança é que nenhuma prática recomendada é perfeita, nenhuma ferramenta é invulnerável e nenhuma empresa consegue implementar e manter políticas de segurança perfeitas, especialmente em grande escala. Com tempo e recursos suficientes, os invasores podem superar quase qualquer defesa.

É nesse contexto que a defesa em profundidade se destaca. O objetivo final é dificultar ao máximo o sucesso de um invasor, garantindo que, sempre que ele superar uma defesa, tenha outra pela frente. Os invasores não têm tempo e recursos infinitos. Portanto, quanto mais você dificultar o sucesso deles, menor será a probabilidade de sofrer um ataque.