Hoje, os cibercriminosos estão mais sofisticados do que nunca e tendem a explorar o ponto mais fraco das organizações para obter acesso não autorizado aos seus sistemas. Quaisquer vulnerabilidades ou configurações incorretas fornecem um ponto de entrada fácil para os invasores. Como resultado, a postura de segurança de qualquer organização é tão forte quanto seu elo mais fraco.
De acordo com o último relatório da ENISA (European Union Agency for Cybersecurity) Threat Landscape (ETL) , o crescimento anual da exploração de vulnerabilidades foi a causa mais comum de incidentes de segurança em 33%. As vulnerabilidades são cruciais nas estratégias nacionais de segurança cibernética, e os líderes globais estão apenas começando a reconhecer a importância de abordar as vulnerabilidades de software. Os governos da União Européia ( Diretiva NIS2 ) e dos Estados Unidos ( Estratégia Nacional de Segurança Cibernética dos EUA ) estão trabalhando para resolver o problema das vulnerabilidades de software. Embora a extensão do incentivo (cenoura) e da penalização (castanha) seja incerta, é evidente que ambos os regulamentos se esforçam para promover maior responsabilidade e resiliência de segurança.
Aprender sobre configurações incorretas, riscos de comportamento do usuário e vulnerabilidades é crucial para manter a segurança e a integridade dos dados e sistemas em qualquer organização. A compreensão desses fatores ajuda as organizações e os indivíduos a mitigar os riscos e a cumprir os requisitos impostos pelas estruturas regulatórias e de conformidade.
Anatomia dos riscos
Atualmente, os invasores usam várias técnicas para descobrir vulnerabilidades que colocam em risco aplicativos públicos ou redes de vítimas. Uma maneira comum usada pelos hackers é executar um dos muitos scanners automáticos disponíveis no mercado.
Usando um aplicativo completo, os invasores verificam a rede de destino e recebem dados em formato gráfico com todas as informações necessárias. O aplicativo apresenta informações detalhadas sobre endereços IP, sistemas operacionais, versões de aplicativos, vulnerabilidades descobertas e uma visão detalhada das técnicas de exploração disponíveis. Em segundos, os cibercriminosos podem decidir qual técnica disponível lançar para comprometer o sistema visado.
Outra abordagem é começar com uma vulnerabilidade explorável e, em seguida, localizar oportunisticamente os sistemas vulneráveis acessíveis pela Internet. Vimos um aumento nos ataques usando essa fórmula, direcionados a softwares populares como Microsoft Exchange , VMware ESXi ou ManageEngine . O comprometimento inicial pode ser apenas o começo de uma operação complexa, pois esses ataques oportunistas geralmente levam ao comprometimento da cadeia de suprimentos.
Um de nossos blogs anteriores descreve a “nova” fórmula vencedora para agentes de ameaças
O aumento de ferramentas automatizadas sugere que vários cibercriminosos exploram vulnerabilidades e exposições comuns (CVEs). A página CVE Details inclui uma lista de CVEs com informações sobre aplicativos afetados, pontuação (quão sério é o risco) e etapas de correção. No entanto, nem todas as empresas corrigem rapidamente, o que deixa os agentes de ameaças com milhares de vulnerabilidades conhecidas. Ainda estamos encontrando servidores Exchange expostos à internet com as falhas CVE-2021-34473 e CVE-2021-26855 (Remote Code Execution), para as quais foram disponibilizados patches em março e abril de 2021.
Aumentando a proteção
Tudo isso leva à conclusão de que os especialistas em TI devem entender os ativos que possuem, os possíveis riscos e minimizar o vetor de ataque. Para construir uma forte resiliência de segurança cibernética, devemos definir diversos tipos de vulnerabilidades:
- Vulnerabilidades de rede: Fraquezas no hardware e nos sistemas operacionais (SO) que podem expor a rede a invasores. Um dos riscos comuns é usar firewalls sem patches ou redes Wi-Fi desprotegidas.
- Vulnerabilidades do sistema operacional e do aplicativo: podem causar danos, por exemplo, ao executar código adicional e permitir que invasores assumam o controle do sistema.
- Vulnerabilidades de processo e humanas: são criadas pelo comportamento de risco de um administrador ou usuário relacionado a configuração incorreta ou políticas de senha fraca.
Instalar um patch ou atualizar o software para uma versão mais recente sem vulnerabilidades são as únicas formas de resposta ao risco que podem eliminar vulnerabilidades sem remover a funcionalidade ( NIST ). A Agência de Segurança Cibernética e Infraestrutura (CISA) e a Agência Nacional de Segurança (NSA) lançaram documentos de orientação Enduring Security Framework (ESF) sobre gerenciamento de identidade e acesso , recomendando patches de software e verificação de vulnerabilidades como práticas recomendadas para proteção de rede e avaliação de segurança.
Para saber o que deve ser corrigido, os especialistas em segurança precisam de visibilidade e devem saber o que é comumente explorado e onde erraram durante a configuração.
Observação do Laboratório Bitdefender
Para este relatório, usamos dados da telemetria do Laboratório Bitdefender sobre possíveis ataques vetoriais. Dividimos este relatório em três categorias: configuração incorreta, comportamento do usuário e vulnerabilidades.
Principais riscos de configuração incorreta
Serviço de spooler de impressão explorável – O serviço de spooler de impressão é responsável por trabalhos de impressão enviados do computador para a impressora ou servidor de impressão. A Microsoft reconheceu uma vulnerabilidade no serviço ( CVE-2021-34527, também conhecido como PrintNightmare) que pode abrir uma porta para invasores. Em qualquer instalação do Windows executando um serviço de spooler de impressão vulnerável, usuários não autorizados podem executar códigos com privilégios de SISTEMA. Um invasor pode instalar qualquer programa, modificar ou excluir os dados e criar novas contas com direitos totais de usuário. Recomenda-se verificar se os servidores e endpoints estão totalmente atualizados. Este serviço deve ser desativado quando sua funcionalidade não for necessária (por exemplo, cargas de trabalho do servidor).
Internet Explorer: permissões Java (zona de máquina local) - esta configuração de política permite o gerenciamento de permissões para miniaplicativos Java. Aplicativos Java podem conter código malicioso que pode entregar uma carga útil para a vítima. O Java Applet Attack é um dos métodos mais bem-sucedidos e populares usados em técnicas de engenharia social. Hackers e usuários desonestos podem facilmente encontrar aplicativos e dezenas de tutoriais em vídeo sobre como clonar um portal da Web, transformar applets Java em armas e estabelecer um túnel de Comando e Controle (C&C) para o computador da vítima. Tendo acesso ao computador, os invasores podem executar qualquer comando, instalar um aplicativo ou executar um ransomware. Para melhorar a postura de segurança cibernética, os administradores devem desabilitar essa funcionalidade em todos os computadores da rede corporativa.
Serviço WinRM – Gerenciamento Remoto do Windowsé o nome do serviço e protocolo do Windows. Pode ser chamado pelo comando winrm e permite a administração local e remota de computadores Windows enviando comandos de gerenciamento por HTTP ou HTTPS. Os administradores podem usar scripts para automatizar o gerenciamento dos servidores e obter dados para aplicativos de gerenciamento. Os adversários também podem usar o WinRM para executar uma carga útil em um host remoto, por exemplo, usando a ferramenta Cobalt Strike. O serviço deve ser desabilitado, a menos que seja necessário e usado pelos administradores, então deve ser separado com contas e permissões dedicadas. Os administradores devem usar HTTPS em vez de HTTP ao se conectar ao WinRM e restringir o acesso ao serviço de endereços IP dedicados. Além disso, uma senha forte deve ser usada para evitar ataques de força bruta no sistema.
Internet Explorer: opções de logon (zona de sites restritos)- Legacy Internet Explorer tinha cinco zonas de segurança diferentes para simplificar a configuração para os administradores. Uma zona restrita pode conter todos os sites nos quais o administrador não confia. A opção Logon permite gerenciar configurações de logon como logon anônimo, solicitação de nome de usuário e senha, logon automático somente na zona da Intranet e logon automático com nome de usuário e senha atuais. Para as zonas restritas, os usuários acidentalmente podem enviar suas credenciais para aplicativos operados por agentes de ameaças que tentam se passar por servidores legítimos. Os criminosos que usam a campanha de phishing podem convencer o usuário a abrir uma página a partir de um link incluído na mensagem. A recomendação segura é configurar o uso de um login anônimo. O Legacy Internet Explorer tinha cinco zonas de segurança diferentes para simplificar a configuração para os administradores. Uma zona restrita pode conter todos os sites em que um administrador não confia. A opção Logon permite gerenciar configurações como login anônimo, solicitação de nome de usuário e senha, logon automático apenas na zona da Intranet e logon automático com nome de usuário e senha atuais. Nas zonas restritas, os usuários podem enviar acidentalmente suas credenciais para aplicativos operados por agentes de ameaças que tentam se passar por servidores legítimos. Os criminosos que usam a campanha de phishing podem convencer o usuário a abrir uma página a partir de um link incluído na mensagem. A recomendação segura é configurar o uso de um login anônimo. e logon automático com nome de usuário e senha atuais. Nas zonas restritas, os usuários podem enviar acidentalmente suas credenciais para aplicativos operados por agentes de ameaças que tentam se passar por servidores legítimos. Os criminosos que usam a campanha de phishing podem convencer o usuário a abrir uma página a partir de um link incluído na mensagem. A recomendação segura é configurar o uso de um login anônimo. e logon automático com nome de usuário e senha atuais. Nas zonas restritas, os usuários podem enviar acidentalmente suas credenciais para aplicativos operados por agentes de ameaças que tentam se passar por servidores legítimos. Os criminosos que usam a campanha de phishing podem convencer o usuário a abrir uma página a partir de um link incluído na mensagem. A recomendação segura é configurar o uso de um login anônimo.
Internet Explorer: inicializar e executar scripts de controles ActiveX não marcados como seguros (zona de sites confiáveis) - Scripts ativos conhecidos como controles ActiveX podem carregar e executar quaisquer parâmetros e scripts sem verificar se são seguros ou não confiáveis. O script é executado na memória, não faz nenhuma alteração no disco e pode tentar ignorar os recursos de detecção nos produtos de segurança de endpoint. Script escrito em uma das linguagens populares como VBA, Perl pode executar código malicioso para fornecer acesso inicial ao computador da vítima para iniciar a comunicação backdoor, coletar informações e criptografar arquivos. Todos os controles ActiveX não marcados como seguros não devem ser executados.
Internet Explorer: Permitir arrastar e soltar ou copiar e colar arquivos (zona de sites restritos) - Para cada zona, o administrador pode controlar como os usuários podem arrastar e soltar ou copiar e colar os arquivos. Essa configuração incorreta pode possibilitar a colocação de arquivos armados no computador do usuário ao visitar sites maliciosos. Quando o administrador desativa essa política, ele impede que os usuários baixem arquivos não confiáveis ou, por meio das configurações de prompt, notifica os usuários para escolher a ação. O conteúdo hospedado em zonas de sites restritos deve ser bloqueado.
Internet Explorer: Incluir caminho local quando o usuário está fazendo upload de arquivos para um servidor (Zona de sites restritos) - Quando o usuário faz upload de arquivos via formulário HTML, ele também pode enviar informações sobre o caminho do diretório local onde o arquivo está localizado. Dependendo da localização do arquivo, algumas informações como nome de usuário podem ser reveladas involuntariamente. A opção deve ser desativada para todos os usuários da rede corporativa.
Internet Explorer: Permitir scripts de controles do Internet Explorer WebBrowser (zona de sites restritos) - O controle WebBrowser possui várias propriedades, métodos e eventos, que podem ser usados para implementar controles no Internet Explorer via script. O script pode incluir código não gerenciado que não pode ser impedido de ser executado. O WebBrowser foi projetado para funcionar apenas em confiança total. É uma configuração incorreta semelhante à descrita acima no Internet Explorer: permissões de Java. Para melhorar a postura de segurança cibernética, os administradores devem desabilitar essa funcionalidade.
Internet Explorer: permissões Java (Zona da Internet) - É uma configuração incorreta semelhante à descrita acima na seção Internet Explorer: permissões Java. Os aplicativos Java podem conter código malicioso. A configuração de baixa segurança permite que os applets executem todas as operações. Para melhorar a postura de segurança cibernética, os administradores devem desabilitar essa funcionalidade.
Internet Explorer: Permitir scriptlets (zona de sites restritos) - Scriptlet é um modelo de objeto componente reutilizável que inclui um trecho de código, por exemplo, Java embutido em HTML, o que significa que pode ser usado para qualquer ação em uma página da Web. Os scriptlets localizados em Sites Restritos podem conter código malicioso. Para melhorar a postura de segurança cibernética, os administradores devem desabilitar essa funcionalidade.
Principais riscos de comportamento do usuário
Senha do usuário antigo – Verifica se o usuário não alterou a senha da conta local ou de domínio por mais de 90 dias. Lembre-se de que alterações obrigatórias de senha podem fazer mais mal do que bem e exigem um equilíbrio cuidadoso. Os usuários forçados a alterar as senhas com frequência podem mantê-las em um pedaço de papel ou, finalmente, torná-lo menos complicado e mais fácil de força bruta. O NIST nas Diretrizes de Identidade Digital recomenda alterações de senha somente mediante solicitação do usuário ou evidência de comprometimento da autenticação. A Microsoft também não recomenda redefinições de senha periódicas obrigatórias para contas de usuário. Recomendamos o uso de políticas de senha fortes e autenticação multifator.
A senha não expira – Verificação do atributo “A senha não expira”. Conforme mencionado acima, a Microsoft e o NIST não recomendam redefinições de senha periódicas obrigatórias para contas de usuário. Recomendamos o uso de políticas de senha fortes e autenticação multifator.
Política de baixa complexidade de senha – Com base nas recomendações da Microsoft , as senhas devem conter no mínimo 14 caracteres contendo caracteres maiúsculos e minúsculos e caracteres não alfanuméricos. Os usuários não devem usar senhas comuns ou óbvias. Em um de nossos blogs anteriores, compartilhamos a lista de credenciais comuns que foram usadas em ataques de dicionário na infraestrutura de IoT (Internet of Things).
Senha não necessária – Este parâmetro pode causar uma falha de segurança dentro da organização. As contas de usuário com senhas em branco podem ser facilmente comprometidas pelos invasores. Senhas em branco sem forte visibilidade na organização podem ser extremamente difíceis de encontrar. Os administradores devem criar contas apenas com senhas fortes.
Alta contagem de detecção – identifica os usuários que frequentemente encontram ameaças de segurança e geram alertas. Ao usar esse método, os administradores podem identificar indivíduos dentro da organização que podem ter conhecimento inadequado sobre segurança e fornecer a eles treinamento de conscientização de segurança.
Brute Force RDP (Remote Desk Protocol) Source - Um alerta é gerado quando o número de tentativas de conexão RDP com falha é percebido em um curto período. Pode indicar que um ataque de força bruta foi iniciado a partir da conta do usuário.
Autenticação Samba PlainText/LM/NTLM – As senhas de texto simples enviadas pela rede podem ser recuperadas dos pacotes TCP usando farejadores de pacotes ou ferramentas básicas como o Wireshark. A autenticação NTLM e NTLMv2 são vulneráveis a vários ataques mal-intencionados, incluindo replay SMB, ataques man-in-the-middle e ataques de força bruta. Reduzir e eliminar a autenticação NTLM de seu ambiente força o sistema operacional Windows a usar protocolos mais seguros, como o protocolo Kerberos versão 5, ou diferentes mecanismos de autenticação, como cartões inteligentes (Microsoft ) .
Shared HTTP Password External – Este mecanismo verifica se os usuários aplicam a mesma senha entre aplicativos internos e externos. Senhas exclusivas devem ser utilizadas para cada aplicativo para minimizar o risco caso um dos servidores seja comprometido e as credenciais sejam armazenadas. De acordo com o Relatório de Investigação de Violação de Dados da Verizon de 2022 , 80% dos ataques a aplicativos da web estavam usando credenciais roubadas. Quando o usuário possui as mesmas credenciais em vários aplicativos, caso um dos servidores sofra uma violação de dados, os invasores podem usar esses dados para obter acesso a outro aplicativo. Os hackers podem usar senhas roubadas para autenticar vários aplicativos usando ataques de dicionário (um tipo de ataque de força bruta).
Infecção de Navegação – Verificação do comportamento do usuário e acesso a qualquer URL malicioso. Assim como o High Detection Count, isso pode ajudar os administradores a identificar os funcionários que contribuem para os riscos de segurança cibernética dentro da organização.
Conexão Wi-Fi pública – Este alerta é gerado quando o usuário se conecta a uma rede Wi-Fi desprotegida e sem segurança no ponto de acesso. Do lado do usuário com computadores Windows, a notificação do sistema também deve ser gerada toda vez que eles se conectam a uma rede Wi-Fi que usa WEP ou TKIP para segurança.
Vulnerabilidades principais riscos
As vulnerabilidades relacionadas ao Log4j estiveram no centro das atenções no ano passado , mas nossas principais detecções são outro lembrete claro da importância de manter os sistemas atualizados com os patches de segurança mais recentes, além de empregar uma forte defesa de perímetro. Os invasores não precisam procurar novas explorações ou novas técnicas quando sabem que muitas organizações são vulneráveis a explorações mais antigas devido, em parte, à falta de gerenciamento adequado de patches e gerenciamento de riscos .
CVE-2022-23302 – O JMSSink em todas as versões do Log4j 1.x é vulnerável à desserialização de dados não confiáveis quando o invasor tem acesso de gravação à configuração do Log4j ou se a configuração faz referência a um serviço LDAP ao qual o invasor tem acesso.
CVE-2022-33915 - As versões do pacote de hotpatch Apache Log4j da Amazon AWS (Amazon Web Services) anteriores a log4j-cve-2021-44228-hotpatch-1.3.5 são afetadas por uma condição de corrida que pode levar a uma escalação de privilégio local.
CVE-2020-9488 – Validação incorreta de certificado com incompatibilidade de host no Apache Log4j SMTP appender. Isso pode permitir que uma conexão SMTPS seja interceptada por um ataque man-in-the-middle, que pode vazar qualquer mensagem de log enviada por meio desse anexador.
CVE-2019-17571 - Incluído no Log4j 1.2 está uma classe SocketServer que é vulnerável à desserialização de dados não confiáveis que podem ser explorados para executar remotamente código arbitrário.
CVE-2022-23305 - Por projeto, o JDBCAppender no Log4j 1.2.x aceita uma instrução SQL como parâmetro de configuração onde os valores a serem inseridos são conversores do PatternLayout. O conversor de mensagem, %m, provavelmente sempre será incluído. Isso permite que os invasores manipulem o SQL inserindo strings criadas em campos de entrada ou cabeçalhos de um aplicativo que são registrados, permitindo que consultas SQL não intencionais sejam executadas.
CVE-2022-23307 - Identificado um problema de desserialização que estava presente no componente Apache Chainsaw do Log4j 1 que pode levar à execução de código mal-intencionado.
CVE-2020-9493 - Uma falha de desserialização foi encontrada nas versões do Apache Chainsaw anteriores a 2.1.0, o que pode levar à execução de código malicioso.
CVE-2022-29072 - 7-Zip até 21.07 no Windows permite escalonamento de privilégios e execução de comandos quando um arquivo com a extensão .7z é arrastado para a área Ajuda>Conteúdo. Isso é causado pela configuração incorreta de 7z.dll e um estouro de heap.
CVE-2009-2409 - A biblioteca Network Security Services (NSS) antes de 3.12.3, conforme usado no Firefox; GnuTLS antes de 2.6.4 e 2.7.4; OpenSSL 0.9.8 até 0.9.8k; e outros produtos oferecem suporte a MD2 com certificados X.509, o que pode permitir que invasores remotos falsifiquem certificados usando falhas de design MD2 para gerar uma colisão de hash em menos tempo de força bruta.
CVE-2020-36518 - jackson-databind antes de 2.13.0 permite uma exceção Java StackOverflow e DOS (Denial of Service) por meio de uma grande profundidade de objetos aninhados.
Principais descobertas e soluções
Concluindo, o gerenciamento de vulnerabilidades é um processo contínuo de identificação, classificação, priorização e correção de vulnerabilidades. Os patches também podem interferir na produtividade diminuindo ou interrompendo as principais funções de negócios. Esse é um dos motivos pelos quais a equipe de segurança deve criar uma política de gerenciamento de patches. Devemos lembrar que muitas empresas lutam com a falta de especialistas em segurança que possam se dedicar apenas às tarefas de segurança. Portanto, o processo deve ser totalmente automatizado, permitindo que até mesmo um único administrador descubra possíveis vulnerabilidades, gerencie patches e monitore novos patches e vulnerabilidades.
Não apenas as vulnerabilidades podem levar ao incidente, mas também configurações incorretas e comportamentos do usuário. Serviços abertos e senhas fracas ou em branco podem ser facilmente utilizadas por invasores como acesso inicial à rede corporativa. Os administradores devem ser capazes de encontrar e corrigir qualquer falha de segurança potencial na organização para minimizar as falhas de segurança.
A Bitdefender fornece soluções de segurança cibernética e proteção avançada contra ameaças para centenas de milhões de endpoints em todo o mundo, ajudando as organizações a reduzir o risco de exposição e melhorar sua experiência digital. Com o Bitdefender GravityZone , que inclui análise de risco, os clientes obtêm segurança unificada e plataforma de análise de risco.
Com a plataforma GravityZone, as organizações podem gerenciar com eficácia os riscos apresentados por vulnerabilidades, configurações incorretas de segurança e erro humano. O recurso Risk Analytics, combinado com seu módulo add-on Patch Management integrado, fornece uma solução abrangente e fácil de usar para ajudar as organizações a identificar, gerenciar e eliminar todos os vetores de ameaças potenciais que podem ser explorados por hackers. Juntamente com os mecanismos adicionais de XDR (eXtended Detection and Response), os especialistas em segurança podem medir a postura de segurança cibernética mesmo com vulnerabilidades de dia zero.
Saiba mais sobre como o Bitdefender GravityZone é indicado para ajudar na mitigação e identificação de riscos cibernéticos .
Se você estiver interessado em mais detalhes, contate-nos e saiba mais sobre as novas soluções de segurança da Bitdefender. Somos Bitdefender Gold Partner
Achou útil essa informação?
Siga a Dereco nas redes sociais e tenha acesso a artigos e novidades de Tecnologia e Cibersegurança.
Tags:
Cibersecurity , Firewall de Rede , Sonicwall , Gateway de Rede , Segurança da Informação , Antivírus Corporativo , CloudBackup ,EDR , XDR ;Bitdefender Gravityzone
Comentários
Postar um comentário