Os ataques cibernéticos podem vir de qualquer lugar e passar despercebidos por anos - diz Peter Dempsey, da Axis Communications - por isso, é imperativo que os data centers se armem com hardware de segurança resiliente para evitar violar regulamentações cada vez mais rigorosas.
Para os criminosos cibernéticos, os data centers representam um prêmio lucrativo e atraente, quer o objetivo do ataque seja roubar dados, interromper sistemas essenciais ou implantar ransomware. Um data center representa um grande número de sistemas, processos e dispositivos de hardware, e basta uma brecha na armadura de qualquer um deles para que isso aconteça. Se ela puder ser explorada, será - e há muitas vias potenciais de entrada.
Mais de 20.000 sistemas de gerenciamento de infraestrutura de data center (DCIM) foram expostos publicamente, e eles poderiam permitir que um invasor interrompesse um data center alterando os limiares de temperatura e umidade. Alguns sistemas de no-break (UPS) também foram considerados vulneráveis, dando aos hackers acesso à energia do data center. E os data centers estão repletos de dispositivos da Internet das Coisas (IoT) que podem atuar como vetores de ataque. Os data centers devem estar cientes de sua vulnerabilidade e se esforçar para proteger cada parte de sua infraestrutura.
APT31 – Prepare-se para ataques ocultos
Muitos data centers já podem ter sido comprometidos silenciosamente. Os invasores estão cada vez mais implementando ataques sofisticados "living off the land" (LOTL) que utilizam as ferramentas de núcleo dos sistemas de computador em vez de instalar seus próprios arquivos maliciosos. Esse tipo de infiltração é difícil de detectar e, de fato, pode permanecer sem ser detectado por anos até que o ator criminoso esteja pronto para atacar1.
Esses atores podem ser entidades importantes. Em muitos casos, descobriu-se que cargas LOTL originárias de agentes patrocinados pelo estado se escondiam em redes críticas. O Centro Nacional de Segurança Cibernética do Reino Unido já implicou o grupo de hacking patrocinado pelo estado, APT31, na tentativa de atingir um grupo de parlamentares. Em uma lista de outros alvos, a ameaça cibernética APT31 se estende à economia do Reino Unido, infraestruturas nacionais críticas e cadeias de suprimento2.
Isso destaca a necessidade de os gerentes de data centers adotarem uma abordagem proativa à segurança, que não se baseie simplesmente em princípios conhecidos de segurança cibernética, mas empregue monitoramento ativo e diligência rigorosa. E isso é especialmente importante no ambiente regulatório atual.
NIS2 - Detectando anomalias de dados em infraestruturas críticas
A Diretiva NIS2 (NIS2) e a Lei de Resiliência Cibernética reclassificam os data centers como infraestrutura crítica. Eles agora se enquadram na mesma categoria que a saúde, energia e transporte, e atenderão ao mesmo nível de escrutínio sobre sua governança. Os operadores de data center, estejam ou não sob a jurisdição de tal legislação, não têm outra opção a não ser reforçar suas defesas.
O comportamento de cada peça de hardware, software e firmware dentro de uma rede deve ser analisado regularmente para detectar até mesmo a atividade incomum que parece inofensiva. Esse trabalho de detetive também deve se estender além dos limites do data center, porque a NIS2 se aplica às atividades de colaboradores, bem como de entidades críticas. Isso inclui fornecedores de equipamentos e, crucialmente, cada etapa de sua cadeia de suprimento.
Encontrando vulnerabilidades na cadeia de suprimento
Se um invasor não conseguir se infiltrar em um data center por meios diretos, ele pode tentar injetar uma carga maliciosa em equipamentos que ainda não foram implantados. O dispositivo IoT é terra fértil para criminosos: eles estão ligados à rede por padrão e muitas vezes não são inspecionados com o mesmo nível de detalhe que vetores de ataque mais óbvios seriam. Assim como acontece com as cargas úteis de LOTL, os dispositivos de IoT mal-intencionados podem simplesmente se esconder à vista de todos, pois permitem que os invasores peguem carona na confiança implícita.
Os ataques à cadeia de suprimento são incrivelmente perigosos e estão crescendo, superando os ataques diretos de malware em 40%3 em 2022. Não há mais como justificar qualquer confiança implícita: os fornecedores devem demonstrar a segurança e a pureza de sua cadeia de suprimento em detalhes e tomar ações para garantir que modificações não autorizadas não ocorram. Os data centers, por sua vez, devem reavaliar cada relação com o fornecedor para garantir que não sejam pegos de surpresa.
Felizmente, a tecnologia moderna permite que os fornecedores demonstrem a legitimidade de seu hardware de forma bastante clara. O hardware do módulo de plataforma confiável protege o firmware assinado, oferecendo confiança na integridade de um dispositivo ao longo da cadeia. A inicialização segura evita que firmware não autorizado seja executado. E alguns dispositivos podem armazenar chaves criptográficas e certificados de forma segura, fortalecendo suas credenciais de segurança e simplificando o processo de gerenciamento das defesas.
Lidando com a pressão regulatória
Regulamentações como a NIS2 basicamente oferecem aos data centers nenhuma escolha, a não ser agir agora ou enfrentar multas pesadas. Seus termos tornam os diretores de data center responsáveis não apenas por violações internas, mas também por aquelas causadas por algumas falhas de segurança de terceiros. A segurança deve ser reavaliada de cima para baixo.
Uma forte segurança física através de câmeras, detecção térmica e por radar e controle de acesso é claramente vital, porque um invasor no site poderia causar transtornos incalculáveis. Mas a segurança lógica é igualmente vital para garantir que os invasores não alcancem o site virtualmente. Cada peça de hardware e software, dentro ou fora do escopo das regulamentações, deve ser catalogada, analisada, priorizada e documentada regularmente.
A conformidade precisa ser comprovada com um registro claro – e os fornecedores também devem fornecer isso. Nenhum fornecedor de qualquer valor gostaria de emitir algo que não esteja no nível; trabalhar com fornecedores que se preocupam com seus produtos é o caminho para os data centers criarem um mundo mais SMART e seguro.
