Imagine acordar com o telefone tocando incessantemente: clientes sem internet, equipe técnica sem acesso aos sistemas de monitoramento, equipamentos de core respondendo de forma errática. Esse cenário, que parece caótico, mas é realidade e muito mais comum do que se imagina.
O setor de telecomunicações encontra-se em uma posição onde a exposição a falhas e ataques é enorme. Ao mesmo tempo que é responsável por conectar centenas de milhares de usuários, também gerencia uma infraestrutura crítica, enorme, complexa e que atravessa múltiplas camadas tecnológicas: redes internas, servidores de provisionamento, autenticação, equipamentos de borda, integrações e interconexões além de uma cadeia enorme de fornecedores de todos os tipos, desde serviços até equipamentos que gerenciam toda a rede. Cada um desses elos representa uma porta de entrada potencial para agentes maliciosos devido à alta quantidade de superfícies sujeitas à ataques e falhas.
Tanto em salas de aula quanto em congressos de cibersegurança uma das frases mais comentadas pelos especialistas é: “A pergunta que todo dirigente deveria fazer não é se o negócio já foi atacado, mas sim quando será atacado”. A meu ver o mais importante não é sabermos se a empresa foi ou se será atacada, mas sim o quanto estamos preparados para suportar e dar continuidade nos negócios nos momentos de crise.
A inexistência de um programa estruturado de análise e correção de vulnerabilidades deixa que o ISP fique à deriva, em um eterno ‘deixa a vida me levar’, permitindo que vulnerabilidades sejam exploradas para ataques cibernéticos, DDoS ou até mesmo causar mau funcionamento de hardwares importantes na infraestrutura. A diferença entre descobrir e mitigar vulnerabilidades por ser a diferença entre a mitigação de um problema gerenciável ou uma catástrofe reputacional e financeira.
O Que Está em Jogo na Infraestrutura de um ISP
A análise de vulnerabilidade é inegociável para qualquer empresa, ao inventariarmos a superfície de ataque do qual um ISP está exposto, entendemos o quanto a situação é maior do que a maioria dos gestores percebe.
Rede Interna de Gestão e Operações: A rede interna abriga os sistemas que controlam toda a operação: plataformas de OSS (sistemas de suporte a operações) / BSS (sistemas de suporte a operações e ao negócio), como: servidores de autenticação RADIUS, sistemas de billing, bancos de dados, ferramentas de monitoramento entre outros. Vulnerabilidades nessa camada são particularmente críticas porque uma indisponibilidade pode influenciar no funcionamento de toda a infraestrutura e sobre os dados pessoais de todos os assinantes.
Servidores e Infraestrutura de Dados: Os servidores armazenam e processam informações extremamente sensíveis: dados cadastrais e de contrato de todos os clientes, registros de conexão exigidos pelo Marco Civil da Internet, credenciais de acesso a sistemas críticos e, em muitos casos, dados financeiros. Uma análise de vulnerabilidade em servidores identifica CVEs (Common Vulnerabilities and Exposures) conhecidas, configurações inseguras, serviços expostos indevidamente e ausência de controles como autenticação multifator e criptografia em repouso.
Rede Externa e Equipamentos de Borda: A infraestrutura voltada para o mundo externo: roteadores de borda, switches de agregação, OLTs, equipamentos de CGNAT, servidores DNS e proxies é comumente a mais exposta. Ataques a esses componentes podem resultar em interceptação de tráfego dos clientes, amplificação de ataques DDoS usando a infraestrutura do próprio provedor, redirecionamento de DNS para fins de espionagem ou fraude, e comprometimento total do roteamento.
Fornecedores e Cadeia de Suprimentos Digital: Este é o vetor que mais tem crescido como ponto de entrada para ataques e incidentes, a falta de análises de segurança em seus fornecedores pode causar danos e incidentes inesperados na cadeia de atendimento.
Os Ganhos Concretos e efeito das análises de vulnerabilidade.
A análise de vulnerabilidade é um investimento com retorno mensurável e documentável. Para líderes que precisam justificar orçamento para iniciativas de cibersegurança, os indicadores de confiabilidade operacional oferecem uma linguagem objetiva e poderosa.
MTTR (Reduzindo o Tempo de Recuperação): O MTTR mede o tempo médio necessário para restaurar um serviço após uma falha ou incidente. Em ISPs que não antecipam a correção de falhas, incidentes de segurança tendem a ter MTTR elevadíssimo: a equipe demora a entender o causador da falha, não tem visibilidade sobre o escopo do comprometimento, precisa investigar sistemas sem inventário atualizado e muitas vezes descobre que os backups também foram afetados.
MTBF (Tempo médio entre falhas): O MTBF mede o tempo médio entre falhas ou incidentes. Um ISP que remedia vulnerabilidades de forma proativa simplesmente tem menos incidentes e os que ocorrem são menos graves. Isso acontece porque as análises de vulnerabilidades identificam e eliminam fragilidades antes que sejam exploradas.
Como Implementar um Programa de Análise de Vulnerabilidade
A boa notícia é que um programa robusto de análise de vulnerabilidade pode ser implementado de forma gradual e com investimento proporcional ao porte do provedor. A chave está na metodologia, frequência e definição de responsabilidades claras, a simples contratação de serviços e ferramentas de avaliação não resolvem o problema se não existir ação de correção.
Fase 1 (Inventário e Escopo): Antes de qualquer varredura, atualize o inventário de ativos: servidores físicos e virtuais, equipamentos de rede, sistemas de software, APIs e integrações, contratos, acessos internos e acessos de fornecedores. Sem esse mapa, a análise será incompleta e com resultados não confiáveis.
Fase 2 (Análise Técnica Estruturada): A análise deve cobrir quatro pilares: (1) varredura de vulnerabilidades em servidores e estações; (2) avaliação de configuração de segurança em equipamentos de rede; (3) teste de superfície de ataque externa; (4) avaliação de segurança de fornecedores, que pode ser feita através de questionários, análise de contratos e quando possível auditorias técnicas.
Fase 3 (Priorização e Remediação): O resultado das análises cria uma lista dos riscos mapeados, classifique-os por severidade (Crítico, Alto, Médio, Baixo). A partir do seu mapa de riscos crie o cronograma de remediação.
Fase 4 (Governança): Vá além de uma análise isolada, crie um processo contínuo com ciclos bem definidos de varreduras internas, análises externas e revisão anual completa. Mantenha os resultados documentados que devem ser reportados à alta direção por meio de métricas executivas que demonstrem a evolução do projeto e melhorias alcançadas.
Segurança Como Vantagem Competitiva
Sem saber onde estão as fragilidades nenhum investimento em proteção será eficiente. Com um programa estruturado e contínuo, o ISP ganha em resiliência operacional, conformidade regulatória, credibilidade junto a clientes e colaboradores, além de possuir uma capacidade eficiente de resposta a incidentes.
A decisão sobre quando começar é mais simples do que parece, a melhor data para iniciar um programa de análise de vulnerabilidade era ontem e a segunda melhor é hoje.
GUSTAVO LEÃO