Colocando-se no lugar de um hacker: por que o mainframe precisa de testes de penetração.

Às vezes, colocar-se no lugar de um hacker é a única maneira de realmente se proteger contra eles. É por isso que tantas organizações incluem testes de penetração em sua estratégia de cibersegurança, com 85% dos profissionais da área relatando que realizam testes de penetração pelo menos uma vez por ano.

Embora os testes de penetração sejam uma prática comum para equipes de rede, nem sempre são aplicados a todos os sistemas, especialmente em mainframes. De fato, quando Chad Rikansrud, atualmente Diretor de Práticas na NetSPI, começou a trabalhar com mainframes no início dos anos 2000, pouquíssimas organizações se especializavam em testar táticas maliciosas contra esses sistemas. Conversamos com Rikansrud sobre o que impedia, e ainda impede, as organizações de investirem adequadamente em segurança de mainframe, o que o levou a impulsionar os testes de penetração em mainframes e como é o processo hoje em dia.

Introduzindo testes de intrusão no mainframe

Sabemos que o mainframe representa apenas 6% dos gastos com TI, embora seja responsável por cerca de 68% da produção mundial de cargas de trabalho de missão crítica. O que impede as organizações de investirem em mainframe?

Chad Rikansrud (CR): O mainframe é uma plataforma enorme, cara e poderosa que existe há mais de 50 anos. Por ser tão grande, caro e poderoso, o objetivo da maioria das equipes de TI é operar o sistema regularmente com uma utilização de 90 a 100%.

Infelizmente, a segurança pode ser vista como a antítese da utilização. Como resultado, a segurança fica comprometida, com patches não sendo totalmente implementados por medo de causar interrupções ou por não haver a possibilidade de reiniciar o sistema (IPL). Além disso, o mito persistente da segurança inerente ao mainframe, tão difundido, atenua qualquer ansiedade remanescente de que ele possa um dia ser comprometido e causar uma lentidão ainda maior.

Defender medidas de segurança mais rigorosas para mainframes pode exigir muita conscientização. Testes de penetração são frequentemente a única coisa que desperta as pessoas. Apresentar aos líderes de TI e de negócios um relatório de todas as maneiras pelas quais você, como hacker, poderia tê-los levado à falência é uma ótima maneira de soar o alarme antes que seja tarde demais.

Como você se tornou um pentester de mainframe?

CR: Parte da minha carreira de 20 anos em uma grande instituição financeira incluiu a gestão da infraestrutura de mainframe. Malware e ransomware surgiram nessa época. Inicialmente, o malware era extremamente lucrativo, mas também muito complexo: encontrar uma casa, invadir, pegar o que se queria e sair antes de ser pego ou bloqueado. O ransomware eliminou muitas dessas complicações, tornando mais fácil do que nunca para os criminosos lucrarem: invadir, trancar todos os armários para que ninguém possa acessar os pertences e, em seguida, receber para destrancá-los.

Após vivenciarmos diversas interrupções no mainframe, não relacionadas a ataques cibernéticos, fiquei pensando em como seria se um ransomware atingisse o mainframe. Descobri que o mainframe da minha organização não possuía nenhuma qualidade mágica ou inerente que o protegesse de ataques. Até então, tínhamos tido muita sorte.

Procurei alguém que pudesse testar a vulnerabilidade do nosso mainframe, mas descobri que poucas empresas se especializavam em táticas agressivas contra mainframes. Mesmo tendo amplo conhecimento em segurança, aprender a proteger especificamente o mainframe tornou-se minha principal prioridade. Isso me levou a trabalhar com os poucos especialistas em segurança de mainframe do setor (na época, apenas cerca de seis em todo o mundo) para desenvolver um processo de teste de intrusão no mainframe.

Como é um típico teste de penetração?

CR: Em resumo, o teste de intrusão verifica a configuração atual de uma organização – como o sistema foi configurado e quais controles de segurança estão em vigor.

Quando se trata de interagir com clientes, normalmente trabalhamos em projetos com prazos definidos, que para um único sistema levariam cerca de duas semanas. Iniciamos uma combinação de testes de caixa preta e caixa branca – no teste de caixa preta, o pentester atua como um hacker externo com pouco ou nenhum conhecimento do ambiente de TI; no teste de caixa branca, o pentester atua como um desenvolvedor interno com conhecimento completo do ambiente.

Normalmente, começamos com as credenciais de identidade de alguém na rede, que a maioria dos hackers consegue obter facilmente. Depois de obter acesso remoto, realizamos o seguinte processo em cada sistema:

Investigação: Passamos a maior parte da primeira semana analisando as contas conjuntas. Durante esse período, permanecemos discretamente à espreita em todo o sistema, buscando brechas de segurança para explorá-las posteriormente.

• Plano: Desenvolver um plano de ataque com base nas descobertas.
• Ataque: Isso pode incluir diversas táticas, mas a escalada de privilégios é o objetivo final. Quanto mais alto subirmos, maior será nossa capacidade de modificar o sistema, o que tem um impacto muito maior do que simplesmente roubar dados.
• Relatório: Reunir nossa lista de constatações, classificar sua gravidade, compartilhar com os clientes e aconselhar sobre como remediá-las.
• Reteste: Após a implementação das alterações, realizamos novos testes para garantir que as falhas existentes foram sanadas. E como o sistema está em constante evolução, incentivamos os clientes a realizarem novos testes anualmente ou até mesmo semestralmente.

Mas o teste de intrusão por si só não é suficiente.

Os testes de penetração são ótimos para desafiar a forma como a organização configurou seu ambiente de TI e os controles implementados para manter os invasores afastados, mas não abrangem o código em nível de sistema operacional no mainframe.

Infelizmente, a velocidade e a inovação tendem a ser priorizadas em detrimento da segurança, razão pela qual os fornecedores frequentemente introduzem código que pode ser facilmente explorado para obter o controle do mainframe. Sempre que um novo código é introduzido no sistema — seja pela contratação de um novo fornecedor ou por uma atualização de rotina — existe a possibilidade de que esse código contenha vulnerabilidades. Ao implementar varreduras de vulnerabilidades regulares e automáticas, as organizações podem analisar o código ativo do sistema operacional para detectar se os fornecedores abriram inadvertidamente ameaças por meio de vulnerabilidades de integridade. Juntos, os testes de penetração e a varredura de vulnerabilidades formam uma estratégia de segurança integrada para mainframes.