Concebido para Evadir: A Superfície de Ataque em Expansão das Infraestruturas Críticas

• As infraestruturas críticas podem sofrer perturbações provenientes da rede da empresa, e casos recentes no setor da saúde pública demonstram como uma única ação de um utilizador envolvendo um ficheiro malicioso pode desencadear uma reação em cadeia que conduz a perturbações operacionais.
• O e-mail continua a ser uma das principais vias de acesso na superfície de ataque: um canal que, por definição, chega tanto às máquinas como às pessoas que as operam, em grande escala.
• Os ambientes isolados (air-gapped) continuam a depender de conteúdos provenientes do lado ligado à Internet, o que torna importante a inspeção a montante antes de os ficheiros passarem para sistemas mais sensíveis.
• A inovação é essencial para a resiliência, mas cada novo fornecedor, integração e canal de atualização deve ser planeado com o mesmo cuidado que o benefício operacional que proporciona.
• Uma defesa concebida para esta realidade encara a segurança do correio eletrónico como um dos pilares de um modelo holístico e em camadas, inspecionando e reduzindo o risco antes de o conteúdo chegar ao destinatário, seja ele uma pessoa ou uma máquina.

Nas infraestruturas críticas, o isolamento tem sido frequentemente considerado como o objetivo final da segurança: segmentar a rede, isolar fisicamente os sistemas mais sensíveis e o problema fica contido. No entanto, as operações empresariais decorrem fora do núcleo isolado: planeamento, logística, faturação, registos históricos de processos, monitorização. Esse território também constitui uma superfície de ataque.

Assim, a questão não é apenas o que se encontra por trás da barreira física, mas sim o que pode ser bloqueado antes que algo chegue até lá. Para muitas organizações de infraestruturas críticas, incluindo hospitais, bancos e redes de transportes que não poderiam funcionar plenamente por trás de uma barreira física, a rede empresarial constitui uma parte essencial do seu conjunto de infraestruturas.

E esse território tem uma porta de entrada particularmente movimentada. O e-mail é uma das portas mais movimentadas da superfície de ataque, um canal que todas as organizações mantêm aberto por natureza, porque é assim que o trabalho chega: atualizações de fornecedores, documentos de prestadores de serviços, a folha de cálculo que dá início a um projeto. Representa uma dupla ameaça, atingindo os computadores com ficheiros e links que são executados e atingindo as pessoas com a persuasão que leva à abertura desses ficheiros. Poucos canais proporcionam ambas as coisas numa escala semelhante. Os casos que se seguem são de domínio público e mostram como o e-mail, ficheiros maliciosos ou ações de utilizadores de confiança podem tornar-se o primeiro passo para uma perturbação operacional mais ampla.

O Health Service Executive da Irlanda é uma das poucas vítimas que optou pela transparência total, tendo encomendado e publicado uma análise independente, razão pela qual é possível analisar o caso em pormenor. Em março de 2021, um utilizador interagiu com um e-mail de phishing que infetou uma estação de trabalho com malware. Os atacantes operaram então no interior do ambiente durante oito semanas antes de ativarem o ransomware, aproveitando esse tempo para comprometer servidores e contas privilegiadas, deslocarem-se lateralmente e extraírem dados antes de a perturbação se tornar visível à escala nacional. O serviço de saúde desligou os seus sistemas de TI para conter a propagação. Os hospitais voltaram a utilizar caneta e papel, as consultas foram canceladas em todo o país, a recuperação demorou mais de quatro meses e o custo da reparação foi estimado em 102 milhões de euros em novembro de 2024.

Uma falha na segurança do e-mail raramente se limita a ser apenas um problema de e-mail; pode provocar uma reação em cadeia que leva a perturbações operacionais e empresariais, com consequências financeiras também. Em 2024, a Ascension informou que um colaborador descarregou um ficheiro malicioso, num caso que a organização descreveu como um erro inocente. O incidente levou uma das maiores redes hospitalares dos EUA a desviar ambulâncias, a adiar cuidados de saúde e, posteriormente, a comunicar que 5 599 699 pessoas foram afetadas.

Um cenário que os responsáveis pela segurança devem ter em conta é aquele em que, inicialmente, nada acontece, em que o atacante se instala no interior da rede da empresa e acede a: diagramas de rede, documentos de engenharia, credenciais, calendários de manutenção e aos próprios fluxos de trabalho de transferência. E quando a leitura se transforma em ação, as consequências podem atingir o mundo físico. Foi assim que, segundo relatos, se desenrolou o ataque de 2015 à rede elétrica da Ucrânia: relatos públicos e análises técnicas descrevem o comprometimento prévio de redes empresariais através de e-mails de spear-phishing que transportavam o malware BlackEnergy, seguido de reconhecimento, roubo de credenciais e perturbação coordenada de subestações. O incidente afetou cerca de 225 000 clientes. Uma mensagem de confiança, uma ação rotineira, múltiplas consequências operacionais.

As infraestruturas críticas estão a inovar porque têm de o fazer. O panorama de ameaças está a agravar-se, as expectativas em termos de tempo de atividade estão a aumentar e a resiliência depende cada vez mais de sistemas mais inteligentes e mais conectados. Uma subestação que funcionou com a mesma lógica durante vinte anos pode agora enviar dados para análises na nuvem; uma bomba que era verificada manualmente uma vez por turno pode agora transmitir dados de telemetria a um fornecedor; e a manutenção, que antes esperava pela ocorrência de uma avaria, pode agora ser orientada por previsões baseadas em IA e aprendizagem automática. Estas melhorias não são distrações opcionais; são a forma como as infraestruturas críticas se mantêm a par dos tempos. A oportunidade é significativa, desde que o modelo de segurança evolua a par da tecnologia que o rodeia.

Cada onda dessa inovação traz consigo mudanças: novo código, novas integrações, novos fornecedores, canais de atualização e novas vias de acesso remoto. Com um plano minucioso, essa mudança pode ser gerida. Os responsáveis pela segurança podem definir como os dados circulam, como os fornecedores se ligam, como as atualizações são validadas e onde o conteúdo é inspecionado antes de chegar a fluxos de trabalho sensíveis. O risco não é a inovação em si; é a confiança não planeada. Cada novo fornecedor e contratante pode criar uma nova relação por e-mail, com anexos, faturas e avisos de atualização que se espera que os utilizadores abram. A superfície de exposição alarga-se, assim como o número de pontos de entrada por onde algo não fiável pode chegar com aparência legítima.

Então, o que acontece quando a modernização avança mais depressa do que as defesas concebidas para a fazer face? É esse o efeito cumulativo: mesmo que a capacidade dos atacantes se estagnasse hoje, a exposição poderia continuar a aumentar, porque o ambiente continua a ganhar novos pontos de ligação. A IA e a aprendizagem automática podem melhorar a resiliência operacional do lado defensivo, mas a capacidade dos atacantes também mostra poucos sinais de abrandamento. A IA pode acelerar a investigação, a identificação de alvos e a iteração do lado ofensivo, o que torna a segurança planeada e adaptativa parte integrante da inovação responsável, em vez de uma barreira à mesma.

Poucos operadores conseguem prever exatamente como será o seu próprio ambiente daqui a cinco anos, pelo que a arquitetura de segurança atual pode já estar a defender a topologia do passado. O objetivo não é travar a inovação, mas sim garantir que a segurança evolua a par dela. O isolamento continua a ser importante, mas funciona como uma camada num modelo de resiliência mais abrangente, em vez de ser a solução definitiva.

Os responsáveis pela segurança avaliam frequentemente uma ameaça colocando três perguntas: o adversário tem a intenção, a capacidade e a oportunidade? Em muitos ambientes de infraestruturas críticas, a resposta a todas as três perguntas é, cada vez mais, «sim».

• Objetivo: As infraestruturas críticas são alvo deliberado de adversários que investigam as suas vítimas, sendo provável que continuem a ser alvos atraentes, uma vez que o ganho potencial justifica o esforço.
• Capacidade: os ataques estão cada vez mais industrializados, com a IA a reduzir os custos de criação, teste e rotação das campanhas.
• Oportunidade: a superfície de ataque muda à medida que a inovação interliga sistemas que antes funcionavam de forma independente e o conteúdo continua a ultrapassar as fronteiras que ainda subsistem.

Por trás destas três realidades, há sempre o mesmo conjunto de constantes: as pessoas continuarão a recorrer ao e-mail, porque é essencial para manter as operações em funcionamento, e o conteúdo continuará a ultrapassar muitas das fronteiras que estabelecemos, porque é assim que as empresas funcionam.

Uma defesa concebida para essa realidade tem uma estrutura reconhecível. Encarar a segurança do e-mail como um dos pontos de acesso mais movimentados do perímetro e alocá-lhe recursos em conformidade, como um dos pilares de um modelo holístico. Estabelece camadas de controlos nesse ponto de acesso, cada uma desempenhando uma função diferente, para que o conteúdo seja inspecionado e o risco reduzido antes de um leitor o aceder, seja ele humano ou máquina. Recorre à análise assistida por IA no ciclo operacional para uma correlação mais rápida, uma triagem mais rápida e uma aprendizagem mais rápida a partir das tentativas bloqueadas, aproximando-se do ritmo imposto pelos atacantes. E encara a melhoria contínua como parte de uma modernização responsável, porque o ambiente de ameaças está em constante mudança.

A questão que vale a pena levar para o seu próprio ambiente é simples: quando o conteúdo se dirige para os sistemas que menos pode dar-se ao luxo de perder, qual é o último ponto em que é verdadeiramente inspecionado e será que esse ponto reconheceria conteúdo concebido para parecer seguro e fiável? Para muitas organizações, rastrear esse conteúdo até ao local onde chegou pela primeira vez termina frequentemente no mesmo sítio: a caixa de entrada.