O que é cibersegurança? Guia para iniciantes

Cibersegurança é o trabalho de proteger computadores, redes, software e os dados que eles guardam contra acesso não autorizado, dano e uso indevido, e de colocá-los para funcionar de novo quando algo dá errado. O glossário do NIST define o termo como prevenir danos aos sistemas, protegê-los e restaurá-los, de modo que a informação continue disponível, íntegra, autêntica, confidencial e com não repúdio.

A definição é ampla de propósito. Cabe nela uma política de senhas, uma regra de firewall, um backup, uma revisão de código e uma ligação para confirmar um pedido de pagamento.

#A tríade CIA

Quase todo trabalho de segurança se descreve com três propriedades. O glossário do NIST define cada uma.

• Confidencialidade: só pessoas e sistemas autorizados conseguem ler a informação. Um banco de dados vazado com e-mails de clientes é uma falha de confidencialidade.
• Integridade: a informação não foi alterada nem destruída de forma indevida. Uma fatura adulterada ou um download de software modificado é uma falha de integridade.
• Disponibilidade: usuários autorizados conseguem acessar a informação e o serviço quando precisam. Um ransomware que bloqueia todos os arquivos e uma enxurrada de tráfego que derruba um site são falhas de disponibilidade.

Incidentes reais costumam atingir mais de uma. Um ransomware que também copia seus dados quebra disponibilidade e confidencialidade ao mesmo tempo. A tríade serve para perguntar "o que exatamente deu errado?", tanto do lado de quem ataca quanto de quem defende. Quem testa pergunta qual propriedade uma falha permite quebrar. Quem defende pergunta qual propriedade um controle protege.

#O que preocupa quem trabalha com segurança

#Ameaças, vulnerabilidades e risco

Vulnerabilidade é uma fraqueza, como um programa sem atualização ou uma senha reaproveitada. Ameaça é algo que pode explorá-la, como um grupo criminoso ou um funcionário descuidado. Risco é a probabilidade e o impacto de isso acontecer. Quase nunca se elimina o risco; decide-se quais riscos reduzir, transferir ou aceitar.

#Formas comuns de falha

• Phishing: mensagens que enganam uma pessoa para entregar uma senha ou executar algo. O guia da CISA sobre como reconhecer e denunciar phishing é uma boa primeira leitura.
• Senhas fracas ou reutilizadas: quando um site vaza uma senha, os atacantes testam a mesma em outros sites.
• Software sem atualização: falhas conhecidas continuam exploráveis até a correção ser instalada.
• Configuração errada: um bucket de armazenamento deixado público, uma senha padrão mantida, uma porta de administração aberta para a internet.
• Falhas em aplicações web: injeção, controle de acesso quebrado e bugs parecidos. O OWASP Top Ten lista as categorias mais comuns.

Nenhuma delas exige habilidade avançada para causar estrago, e é por isso que o básico importa.

#Defesa em profundidade

Nenhum controle sozinho barra tudo, então quem defende empilha camadas. Uma senha roubada não deveria bastar para chegar aos dados, e um notebook comprometido não deveria bastar para chegar a todos os servidores.

• Prevenir: atualizações de software, autenticação multifator, privilégio mínimo, configuração segura.
• Detectar: logs que alguém realmente lê e alertas para logins incomuns.
• Responder e recuperar: um backup testado, um plano escrito de quem faz o quê e um jeito de restabelecer o serviço.

O NIST Cybersecurity Framework organiza as mesmas ideias em funções: Govern, Identify, Protect, Detect, Respond e Recover. Leia o próprio framework no site do NIST, em vez de um resumo dele.

#Ataque e defesa

A cibersegurança tem dois lados que dependem um do outro. Quem defende constrói e monitora sistemas. Quem atua em segurança ofensiva, como pentesters e red teams, ataca sistemas para achar fraquezas antes dos criminosos. O lado ofensivo só é legítimo com autorização: suas próprias máquinas, um laboratório que você montou ou um alvo cujo dono deu permissão por escrito e um escopo definido. Um sistema estar acessível pela internet não significa que você pode testá-lo.

#Um primeiro exercício na sua máquina

Dá para ver a integridade em ação com uma função de hash. Um hash criptográfico como o SHA-256 transforma qualquer entrada em uma impressão digital de tamanho fixo. Troque um caractere da entrada e a impressão muda por completo. É assim que você confere se um arquivo baixado é o mesmo que o fabricante publicou.

Estes comandos foram executados no Git Bash, no Windows 11. Também funcionam em um terminal Linux ou macOS que tenha sha256sum (no macOS, use shasum -a 256). Eles mexem só no texto que você digita e não tocam na rede.

printf 'notholy' | sha256sum | cut -d' ' -f1
printf 'notholy2' | sha256sum | cut -d' ' -f1

22d877c3c676415aa2de4720884d52a36b60beff37f0c5468dc45ac9366e3c22
500b373e094e8eaa968be463e24fb8c944bb04d325a1da543ad91972a0a700ae

As duas entradas diferem por um caractere, e os hashes não têm nada em comum à vista. O hash é de mão única: você não calcula notholy a partir do resultado, só pode calcular o hash de um palpite e comparar. Um hash sozinho não prova quem publicou um arquivo, só que o conteúdo bate com um valor que você obteve de um lugar confiável.

Agora teste com um arquivo real. Baixe qualquer instalador do site oficial de um fabricante, ache o checksum que ele publica e compare com a saída do sha256sum na sua cópia. Se os valores forem diferentes, não execute o arquivo.

#Equívocos comuns

• "Não tenho nada que valha a pena roubar." Atacantes também querem suas contas, seu poder de processamento e seu acesso a outras pessoas.
• "O antivírus resolve." É uma camada. Ele não corrige uma senha reutilizada nem um clique em phishing.
• "Segurança é um produto que se compra." É uma prática contínua de configuração, atualização, monitoramento e hábitos.
• "Uma senha complicada basta." Uma senha única por conta, guardada em um gerenciador de senhas e reforçada por autenticação multifator, protege bem mais. O guia da CISA sobre senhas fortes trata disso.

#O que estudar a seguir

Comece pelos hábitos pequenos: atualizações ligadas, um gerenciador de senhas, autenticação multifator nas contas importantes. Depois aprenda como redes e a web funcionam, porque quase todo ataque e toda defesa se apoiam nelas. O próximo artigo trata de criptografia, incluindo hashing, com mais profundidade. Para praticar, rode uma aplicação de treino propositalmente vulnerável, como o OWASP Juice Shop, em um laboratório seu, ou use a NotHoly para planejar e revisar o trabalho no seu próprio laboratório. Mantenha todo teste dentro de sistemas que você tem permissão para tocar.