Imagine acordar com o telefone tocando incessantemente: clientes sem internet, equipe t\u00e9cnica sem acesso aos sistemas de monitoramento, equipamentos de core respondendo de forma err\u00e1tica. Esse cen\u00e1rio, que parece ca\u00f3tico, mas \u00e9 realidade e muito mais comum do que se imagina.<\/p>\n
<\/p>\n
O setor de telecomunica\u00e7\u00f5es encontra-se em uma posi\u00e7\u00e3o onde a exposi\u00e7\u00e3o a falhas e ataques \u00e9 enorme. Ao mesmo tempo que \u00e9 respons\u00e1vel por conectar centenas de milhares de usu\u00e1rios, tamb\u00e9m gerencia uma infraestrutura cr\u00edtica, enorme, complexa e que atravessa m\u00faltiplas camadas tecnol\u00f3gicas: redes internas, servidores de provisionamento, autentica\u00e7\u00e3o, equipamentos de borda, integra\u00e7\u00f5es e interconex\u00f5es al\u00e9m de uma cadeia enorme de fornecedores de todos os tipos, desde servi\u00e7os at\u00e9 equipamentos que gerenciam toda a rede. Cada um desses elos representa uma porta de entrada potencial para agentes maliciosos devido \u00e0 alta quantidade de superf\u00edcies sujeitas \u00e0 ataques e falhas.<\/p>\n
<\/p>\n
Tanto em salas de aula quanto em congressos de ciberseguran\u00e7a uma das frases mais comentadas pelos especialistas \u00e9: \u201cA pergunta que todo dirigente deveria fazer n\u00e3o \u00e9 se o neg\u00f3cio j\u00e1 foi atacado, mas sim quando ser\u00e1 atacado\u201d. A meu ver o mais importante n\u00e3o \u00e9 sabermos se a empresa foi ou se ser\u00e1 atacada, mas sim o quanto estamos preparados para suportar e dar continuidade nos neg\u00f3cios nos momentos de crise.<\/p>\n
A inexist\u00eancia de um programa estruturado de an\u00e1lise e corre\u00e7\u00e3o de vulnerabilidades deixa que o ISP fique \u00e0 deriva, em um eterno \u2018deixa a vida me levar\u2019, permitindo que vulnerabilidades sejam exploradas para ataques cibern\u00e9ticos, DDoS ou at\u00e9 mesmo causar mau funcionamento de hardwares importantes na infraestrutura. A diferen\u00e7a entre descobrir e mitigar vulnerabilidades por ser a diferen\u00e7a entre a mitiga\u00e7\u00e3o de um problema gerenci\u00e1vel ou uma cat\u00e1strofe reputacional e financeira.<\/p>\n
<\/p>\n A an\u00e1lise de vulnerabilidade \u00e9 inegoci\u00e1vel para qualquer empresa, ao inventariarmos a superf\u00edcie de ataque do qual um ISP est\u00e1 exposto, entendemos o quanto a situa\u00e7\u00e3o \u00e9 maior do que a maioria dos gestores percebe.<\/p>\n Rede Interna de Gest\u00e3o e Opera\u00e7\u00f5es:<\/strong> A rede interna abriga os sistemas que controlam toda a opera\u00e7\u00e3o: plataformas de OSS (sistemas de suporte a opera\u00e7\u00f5es) \/ BSS (sistemas de suporte a opera\u00e7\u00f5es e ao neg\u00f3cio), como: servidores de autentica\u00e7\u00e3o RADIUS, sistemas de billing, bancos de dados, ferramentas de monitoramento entre outros. Vulnerabilidades nessa camada s\u00e3o particularmente cr\u00edticas porque uma indisponibilidade pode influenciar no funcionamento de toda a infraestrutura e sobre os dados pessoais de todos os assinantes.<\/p>\n <\/p>\n Servidores e Infraestrutura de Dados<\/strong>: Os servidores armazenam e processam informa\u00e7\u00f5es extremamente sens\u00edveis: dados cadastrais e de contrato de todos os clientes, registros de conex\u00e3o exigidos pelo Marco Civil da Internet, credenciais de acesso a sistemas cr\u00edticos e, em muitos casos, dados financeiros. Uma an\u00e1lise de vulnerabilidade em servidores identifica CVEs (Common Vulnerabilities and Exposures) conhecidas, configura\u00e7\u00f5es inseguras, servi\u00e7os expostos indevidamente e aus\u00eancia de controles como autentica\u00e7\u00e3o multifator e criptografia em repouso.<\/p>\n Rede Externa e Equipamentos de Borda<\/strong>: A infraestrutura voltada para o mundo externo: roteadores de borda, switches de agrega\u00e7\u00e3o, OLTs, equipamentos de CGNAT, servidores DNS e proxies \u00e9 comumente a mais exposta. Ataques a esses componentes podem resultar em intercepta\u00e7\u00e3o de tr\u00e1fego dos clientes, amplifica\u00e7\u00e3o de ataques DDoS usando a infraestrutura do pr\u00f3prio provedor, redirecionamento de DNS para fins de espionagem ou fraude, e comprometimento total do roteamento.<\/p>\n <\/p>\n Fornecedores e Cadeia de Suprimentos Digital:<\/strong> Este \u00e9 o vetor que mais tem crescido como ponto de entrada para ataques e incidentes, a falta de an\u00e1lises de seguran\u00e7a em seus fornecedores pode causar danos e incidentes inesperados na cadeia de atendimento.<\/p>\n \u00a0<\/strong><\/p>\n Os Ganhos Concretos e efeito das an\u00e1lises de vulnerabilidade.<\/strong><\/p>\n A an\u00e1lise de vulnerabilidade \u00e9 um investimento com retorno mensur\u00e1vel e document\u00e1vel. Para l\u00edderes que precisam justificar or\u00e7amento para iniciativas de ciberseguran\u00e7a, os indicadores de confiabilidade operacional oferecem uma linguagem objetiva e poderosa.<\/p>\n MTTR (Reduzindo o Tempo de Recupera\u00e7\u00e3o):<\/strong> O MTTR mede o tempo m\u00e9dio necess\u00e1rio para restaurar um servi\u00e7o ap\u00f3s uma falha ou incidente. Em ISPs que n\u00e3o antecipam a corre\u00e7\u00e3o de falhas, incidentes de seguran\u00e7a tendem a ter MTTR elevad\u00edssimo: a equipe demora a entender o causador da falha, n\u00e3o tem visibilidade sobre o escopo do comprometimento, precisa investigar sistemas sem invent\u00e1rio atualizado e muitas vezes descobre que os backups tamb\u00e9m foram afetados.<\/p>\n MTBF (Tempo m\u00e9dio entre falhas):<\/strong> O MTBF mede o tempo m\u00e9dio entre falhas ou incidentes. Um ISP que remedia vulnerabilidades de forma proativa simplesmente tem menos incidentes e os que ocorrem s\u00e3o menos graves. Isso acontece porque as an\u00e1lises de vulnerabilidades identificam e eliminam fragilidades antes que sejam exploradas.<\/p>\n <\/p>\n Como Implementar um Programa de An\u00e1lise de Vulnerabilidade<\/strong><\/p>\n A boa not\u00edcia \u00e9 que um programa robusto de an\u00e1lise de vulnerabilidade pode ser implementado de forma gradual e com investimento proporcional ao porte do provedor. A chave est\u00e1 na metodologia, frequ\u00eancia e defini\u00e7\u00e3o de responsabilidades claras, a simples contrata\u00e7\u00e3o de servi\u00e7os e ferramentas de avalia\u00e7\u00e3o n\u00e3o resolvem o problema se n\u00e3o existir a\u00e7\u00e3o de corre\u00e7\u00e3o.<\/p>\n Fase 1 (Invent\u00e1rio e Escopo):<\/strong> Antes de qualquer varredura, atualize o invent\u00e1rio de ativos: servidores f\u00edsicos e virtuais, equipamentos de rede, sistemas de software, APIs e integra\u00e7\u00f5es, contratos, acessos internos e acessos de fornecedores. Sem esse mapa, a an\u00e1lise ser\u00e1 incompleta e com resultados n\u00e3o confi\u00e1veis.<\/p>\n Fase 2 (An\u00e1lise T\u00e9cnica Estruturada):<\/strong> A an\u00e1lise deve cobrir quatro pilares: (1) varredura de vulnerabilidades em servidores e esta\u00e7\u00f5es; (2) avalia\u00e7\u00e3o de configura\u00e7\u00e3o de seguran\u00e7a em equipamentos de rede; (3) teste de superf\u00edcie de ataque externa; (4) avalia\u00e7\u00e3o de seguran\u00e7a de fornecedores, que pode ser feita atrav\u00e9s de question\u00e1rios, an\u00e1lise de contratos e quando poss\u00edvel auditorias t\u00e9cnicas.<\/p>\n Fase 3 (Prioriza\u00e7\u00e3o e Remedia\u00e7\u00e3o):<\/strong> O resultado das an\u00e1lises cria uma lista dos riscos mapeados, classifique-os por severidade (Cr\u00edtico, Alto, M\u00e9dio, Baixo). A partir do seu mapa de riscos crie o cronograma de remedia\u00e7\u00e3o.<\/p>\n Fase 4 (Governan\u00e7a):<\/strong> V\u00e1 al\u00e9m de uma an\u00e1lise isolada, crie um processo cont\u00ednuo com ciclos bem definidos de varreduras internas, an\u00e1lises externas e revis\u00e3o anual completa. Mantenha os resultados documentados que devem ser reportados \u00e0 alta dire\u00e7\u00e3o por meio de m\u00e9tricas executivas que demonstrem a evolu\u00e7\u00e3o do projeto e melhorias alcan\u00e7adas.<\/p>\n Seguran\u00e7a Como Vantagem Competitiva<\/strong><\/p>\n Sem saber onde est\u00e3o as fragilidades nenhum investimento em prote\u00e7\u00e3o ser\u00e1 eficiente. Com um programa estruturado e cont\u00ednuo, o ISP ganha em resili\u00eancia operacional, conformidade regulat\u00f3ria, credibilidade junto a clientes e colaboradores, al\u00e9m de possuir uma capacidade eficiente de resposta a incidentes.<\/p>\n A decis\u00e3o sobre quando come\u00e7ar \u00e9 mais simples do que parece, a melhor data para iniciar um programa de an\u00e1lise de vulnerabilidade era ontem e a segunda melhor \u00e9 hoje.<\/p>\n <\/p>\n GUSTAVO LE\u00c3O<\/strong><\/p>\n","protected":false},"excerpt":{"rendered":" Imagine acordar com o telefone tocando incessantemente: clientes sem internet, equipe t\u00e9cnica sem acesso aos sistemas de monitoramento, equipamentos de core respondendo de forma err\u00e1tica. Esse cen\u00e1rio, que parece ca\u00f3tico, mas \u00e9 realidade e muito mais comum do que se imagina. O setor de telecomunica\u00e7\u00f5es encontra-se em uma posi\u00e7\u00e3o onde a exposi\u00e7\u00e3o a falhas […]<\/p>\n","protected":false},"author":4,"featured_media":8185,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[5],"tags":[],"class_list":["post-8184","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-artigos"],"yoast_head":"\n
\nO Que Est\u00e1 em Jogo na Infraestrutura de um ISP<\/strong><\/p>\n