Introduzido pelos militares dos EUA na década de 1950, o Moving Target Defense (MTD) é o conceito de controle de mudanças em várias dimensões do sistema, a fim de aumentar a incerteza e a complexidade aparente para os invasores, reduzir sua janela de oportunidade e aumentar os custos de seus esforços de sondagem e ataque.
Esta técnica foi traduzida para o mundo da segurança cibernética nos últimos anos, mas embora o conceito seja forte, é uma estratégia complexa que tem muitas desvantagens se não for executada corretamente. Conversamos com Avihay Cohen, CTO e cofundador da Seraphic Security, saiba mais sobre como esse conceito é aplicado aos dias de hoje estratégias de segurança cibernética, suas armadilhas e como implementá-la com sucesso.
BN: Como é o MTD para segurança cibernética?
AC: Defesa de alvo em movimento é um conceito antigo que foi incorporado em década de 50 pelo Exército dos EUA. Você pode pensar nisso como um bloqueio em constante mudança que continua alterando quando você tenta pegá-lo.
Existem muitas implementações para MTD no nível do sistema operacional (SO), como randomização de layout de espaço de endereço (ASLR ). Uma das partes fundamentais e necessárias de uma exploração é a previsibilidade do alvo. Pura e simplesmente, a exploração de corrupção de memória precisa contar com a previsibilidade do alvo explorável. Antes do ASLR, por exemplo, o espaço de endereço de um processo era previsível, mas o ASLR veio e randomizou o espaço de endereço do processo em cada execução. Isso significa que os locais de determinados endereços de memória que o invasor conhecia quando desenvolveram as explorações não são mais válidos em nenhuma outra máquina. Então, mudou muitas coisas, e o ASLR por si só é altamente robusto. Ele fornece prevenção para erros específicos de corrupção de memória, mas o campo amadureceu e agora existem maneiras mais sofisticadas de contornar essas defesas. ASLR ainda é uma coisa, e está em seu sistema operacional agora. Cada processo que você executa, na verdade, é executado de maneira ASLR.
Existem startups que desejam utilizar essa abordagem para outras áreas do processo, como alterar o espaço de endereço de bibliotecas dinâmicas carregadas, por exemplo. Isso causou muita sobrecarga e resultou em muitas quebras de funcionalidade, por isso não decolou. Embora, para áreas específicas, o ASLR funcione muito bem porque é bastante simples e robusto. Para outras aplicações é extremamente complicado, mas para navegadores é totalmente diferente. Em um navegador, você não está no nível do sistema operacional porque existe algo intermediário chamado de mecanismo JavaScript. A razão pela qual essa abordagem funciona tão bem para navegadores é porque temos um intermediário entre o sistema operacional e o código JS, que é o mecanismo JavaScript que está sob controle total.
Devido às técnicas de MTD, a robustez de é excelente porque você não está contando com a detecção. Esta é a parte mais problemática de qualquer solução de segurança. É a taxa de falsos positivos ou, mais importante, os falsos negativos. O que acontece se não conseguirmos detectar as ameaças que estão se tornando cada vez mais sofisticadas?
A capacidade de prevenir ameaças sem detectá-las é enorme. Isso é exatamente o que o ASLR está fazendo-não está fazendo nenhuma detecção. Está prevenindo casos específicos de bugs de corrupção de memória. No nível do navegador, porque você não interage diretamente com o sistema operacional, mas interage com o mecanismo JavaScript. Qualquer exploração no navegador precisa contar com recursos específicos e previsíveis no navegador. Ao implementar o MTD para navegadores, você cria um ambiente imprevisível sem causar grande impacto no desempenho ou quebra de funcionalidade ao alterar todo o ambiente. Portanto, não é apenas um aspecto como o ASLR, mas muitos componentes juntos que criam imprevisibilidade que resulta em altas taxas de prevenção sem necessidade de detecção. A prevenção é completamente independente da detecção, o que torna o navegador altamente robusto contra a exploração.
BN: Por que as organizações atualmente lutam para implementar estratégias de MTD?
AC: A maioria das organizações não conhece o MTD, a menos que tenham programas de segurança mais sofisticados. Existem algumas empresas que estão fazendo algum tipo de MTD no nível do sistema operacional, mas não provou ser bem-sucedido porque causa grandes impactos no desempenho e quebra de funcionalidade. Obviamente, você deseja que os funcionários no trabalho não mexam com os bugs e a quebra de aplicativos nativos, por isso foi extremamente problemático implementá-los para as organizações que estavam familiarizadas com essas técnicas.
Há um longo MIT pesquisa que analisou muitas empresas que alavancaram algum tipo de estratégia MTD e as comparou. Depois de analisar todas as suas capacidades, os resultados da pesquisa destacaram que o campo em si não está maduro o suficiente para o MTD. Portanto, o principal motivo pelo qual o MTD não ganhou popularidade é porque ele pode causar impacto específico no desempenho ou quebra de funcionalidade quando não executado corretamente e, mais importante, muitas das soluções propostas simplesmente não eram suficientes.
BN: Como é o sucesso de uma estratégia MTD implementada adequadamente?
AC: Como compartilhei, as estratégias MTD não dependem da detecção. Se você tiver apenas recursos de prevenção e recursos de detecção zero, a maneira de obter uma indicação de que a estratégia está funcionando é não obter nenhuma indicação. Se você não está recebendo feedback de seus usuários de que algo travou ou há bugs, então esta é uma indicação de que sua estratégia está fazendo seu trabalho.
BN: Que tipos de organizações você recomendaria usar estratégias MTD?
AC: Se houver uma abordagem MTD que possa fornecer prevenção robusta sem qualquer perda de funcionalidade ou grande impacto no desempenho, aconselho qualquer organização a implementá-la. O MTD oferece às organizações a capacidade de prevenir ataques sofisticados, bem como ataques não tão sofisticados, sem depender de determinados algoritmos para detectar essas ameaças, porque ele está funcionando o tempo todo e você está seguro ao implantá-lo. Eu realmente acredito que essa abordagem pode funcionar para qualquer organização.
Crédito da imagem: fonte de luz/depositphotos.com