A pedra de toque

O Brasil, bem cedo e com vigor, aderiu à digitalização de serviços, e já era notável a base computacional que os bancos tinham no século passado: transações por aqui eram resolvidas em menos tempo do que, por exemplo, nos Estados Unidos. A própria identificação dos correntistas já se valia de impressão digital.

Esse avanço tecnológico em conectividade e automação, traz conforto e economias, porém deve-se estar alerta a fragilidades: se hoje a internet falhar, ou tivermos um apagão elétrico como o da semana passada, boa parte dos serviços que eram tidos como garantidos podem estar indisponíveis, gerando caos. Por virtude, nossa internet está entre as mais estáveis do mundo.

Esse risco não é novo: em 2007 a Estônia, país modelo ao digitalizar praticamente todas as atividades de seus cidadãos, sofreu um ataque que tirou do ar boa parte dos serviços. O que gerou a pane foi um sincronizado e orquestrado ataque de “DoS” “denial of service” (negação de serviço): uma enxurrada de pedidos fictícios a sistemas e serviços que visava a sobrecarregá-los de forma a torná-los inoperantes. Hoje tentativas de “negação de serviço” são dos ataques mais comuns, mas há formas de neutralizá-los.

O conjunto de riscos a que a digitalização está continuamente submetida é um “alvo móvel”. Para cada novo ataque desenvolvem-se formas de defesa, porém, como no caso de doenças, o remédio é posterior ao problema. Por isso é fundamental o constante monitoramento do que se passa pela rede, buscando antecipar-se a uma nova forma de ataque. Um dos meios usados são os “potes de mel”: máquinas desprotegidas, espalhadas pela rede, para potencial alvo de ataques. Ao destrinchar o que se passa com elas, pode surgir um eventual remédio para novo problema. Isso depende da colaboração ampla, internacional e multissetorial, entre equipes voltadas à segurança. Elas trocam dados sobre o que encontraram, e buscam possíveis formas de mitigação. Além disso, é importante que as instituições que sofreram algum ataque o reportem a centros de emergência que monitoram o cenário local. Assim, é vital que exista confiança entre os entes envolvidos, mantendo sigilo em informações obtidas e preservando-as ao fim a que se destinam: monitorar o cenário da rede. O CERT.br, nosso órgão central de coordenação nessa área, recebeu mais de 110 mil notificações de incidentes apenas em novembro passado. Órgãos como o CERT.br disponibilizam informações, articulam e conectam os diversos atores, além de fornecer uma gama de cursos de formação, e frequentes publicações sobre boas práticas e medidas acautelatórias.

Segurança se constrói com cooperação, não com medo. Com reação e mais antecipação. Sem enfraquecer criptografia em nome de “segurança”, nem normalizar tentativas apressadas de bloqueio, sem base clara e técnica. Reduzir esse sistema colaborativo e virtuoso a um braço centralizado policial/regulatório, pode incentivar a que os incidentes passem a ser escondidos. A governança em segurança tem que ser distribuída e multissetorial por projeto. Uma centralização disso pode levar à redução do reporte de informações, e pode criar pontos únicos de falha, acabando por enfraquecer a própria segurança que queria proteger.

===

https://www.estadao.com.br/link/demi-getschko/a-centralizacao-pode-enfraquecer-a-seguranca-da-internet/

===

https://cert.br/

https://stats.cert.br/incidentes/

===

https://www.wired.com/2007/07/massive-wave-of/

https://www.wired.com/2007/08/ff-estonia/ 

===