Os ciberataques estão a evoluir rapidamente em termos de sofisticação e escala. A linha entre o domínio digital e o domínio físico tornou-se mais ténue. Os ciberataques estrangeiros utilizaram malware destrutivo para apagar dados de discos rígidos e infiltraram-se em sistemas industriais. No futuro, poderão tomar medidas igualmente prejudiciais, tendo em conta os recentes acontecimentos políticos e as ameaças verbais.
Qualquer pessoa responsável pela preparação cibernética de uma organização ocupa, neste momento, uma posição importante. O ditado «a melhor defesa é um bom ataque» não se aplica aqui. Neste caso, a melhor defesa é uma boa defesa.
Na prática, é necessário ter um plano de resposta a incidentes (IR) e um plano de continuidade da actividade (BCP) prontos e testados. É preciso ir além da identificação de riscos - tentando proteger-se contra eles com métodos como a autenticação multifactor e detectá-los com scanners de vírus e sistemas SIEM - e responder a eles. É necessário seguir até ao fim e pensar antecipadamente na forma como se vai recuperar.
Os serviços de identidade estão no centro da maioria dos alvos das ameaças persistentes avançadas (APT). Sabendo isto, é aconselhável testar o seu plano de continuidade de negócios (BCP) e o plano de recuperação de desastres (DRP) do Active Directory (AD) pelo menos a cada 13 meses. A razão pela qual muitas pessoas não o fazem é que se trata de uma tarefa rotineira e difícil de executar corretamente. Realizar um teste de restauração no ambiente de produção não é uma opção, e testar um ambiente padrão é apenas parcialmente útil. Fazer uma cópia de segurança do ambiente de produção e restaurá-la num laboratório isolado é a abordagem mais eficaz.
Dizemos aos nossos clientes que a melhor forma de testar os seus planos de BCP e DRP é mapear os processos organizacionais críticos para as aplicações que os suportam e, por fim, para a infra-estrutura que suporta essas aplicações. Não existem duas organizações exactamente iguais e, para algumas, o restabelecimento da sede (HQ) pode ser a prioridade máxima, seguindo-se as sucursais (um cenário comum para as instituições financeiras), enquanto para outras pode ser o contrário (um cenário comum para as empresas de produção).
Decidir adotar o mesmo acordo de nível de serviço (SLA) para toda a sua infraestrutura é a decisão mais fácil de tomar, mas, na maioria dos casos, isso significará que as aplicações críticas ficarão na mesma fila que as não críticas. Na maioria das empresas, isto significa que todos os caminhos conduzem ao AD. Apesar disso, temos constatado que o planeamento da recuperação do AD é frequentemente negligenciado, embora seja um dos componentes mais críticos de qualquer abordagem de recuperação de desastres (DR) centrada na cibersegurança.
A recuperação de dados após um ataque(AD DR) é um processo árduo. A empresa dinamarquesa Maersk demorou nove dias a recuperar os seus dados após o ataque do malware NotPetya,em 2017. Cercade 55 000dispositivos da rede mundial da Maersk ficaram totalmente infetados em sete minutos, segundo Andy Powell, CISO da Maersk.
Numa catástrofe cibernética, o AD é fundamental para a missão, pois é essencial para a recuperação de tudo o resto na rede. Até ter recuperado com sucesso o seu AD, não há muito mais que possa fazer. Limitar-se a desligar os sistemas assim que um ataque começa não funciona. É necessário compreender os vetores de ataque prováveis e os potenciais pontos fracos, e partir do princípio de que até os seus servidores AD de reserva podem ser comprometidos.
O conselho de boas práticas de Andy Powell é certificar-se de que pode recuperar o AD em menos de 24 horas. Portanto, isso levanta a questão: Quando foi a última vez que testou o seu plano de recuperação do AD? Igualmente importante, o seu plano de recuperação do AD foi actualizado para incluir cenários cibernéticos, como um ataque de ransomware ou wiper?
Para concluir, por vezes é necessária uma ameaça iminente para que as empresas levem mais a sério os seus planos fundamentais de detecção e resposta a ameaças. Agora é uma boa altura para tentar adiantar-se, trabalhando para colmatar as lacunas nos seus planos BCP e DRP, procurando os elos mais fracos, começando pela sua infra-estrutura AD e pelas aplicações que dela dependem.
Profissionais de segurança do AD, chegou a vossa hora de brilhar. O AD não é apenas tão crucial quanto as outras camadas em qualquer estratégia de segurança — hoje em dia, diríamos que é ainda mais. E é vosso desafio e responsabilidade convencer o resto da vossa equipa de que o AD precisa de estar no centro do vosso plano de defesa.
