os Pilares
As ações voltadas para os testes de penetração, ou seja, Pentest, englobam um vasto universo de possibilidades, ferramentas e conhecimentos. Alguns conceitos nos ajudam a nortear boa parte das nossas intenções, como usuários destas ferramentas e detentores de conhecimentos sensíveis à segurança da informação, é importante que você "escolha um lado".
Bem, não é de fato o mais importante escolher agora, mas logo no início o caminho que será trilhado por você, trará por consequência os frutos do que foi plantado. Usamos no meio profissional, empresarial e acadêmico bastante a palavra "Hacker", como forma de nomear aquilo que foi burlado, ou forma de citar crimes cibernéticos, ou forma de dizer que algo foi simplesmente otimizado ou "hackeado".
Neste momento usando o termo Hacking para segurança da informação, usar as ferramentas e softwares que comprometam a segurança de determinada aplicações, redes ou aparelhos digitais, por si só não é um crime, mas caso você não tenha a permissão para fazer tais testes ou caso você seja "pego", por algum firewall ou suas tentativas de ataques não foram bem criptografadas e até mesmo foram monitoradas. Isso sim seria um baita problema.
Por isso, para evitar que ocorra difamações em meio a comunidade de hackers, ou a interpretação de má fé de certos termos. Existe uma certa divisão de chapéus, portanto escolha o seu e seja feliz.
Black Hat: Temos os Black Hat Hackers, que usualmente possuem um extenso conhecimento que utilizam apenas para benefício próprio, ou seja, promovem ataques, individuais ou em conjunto visando ganhos financeiros, vazamento de dados, espionagem, protestos e até mesmo diversão. Não se importando com o princípio ético que vem com o conhecimento.
Podem ser meros amadores a até gerenciadores de grandes Botnets, com virús ou worms, implementar malwares para ganhar acesso a diversos dispositivos, passando por todos os protocolos de segurança sem deixar rastros, já que parte das atividades são ilegais.
White Hat: Temos os White Hat Hackers, que também se utilizam das mesmas ferramentas e dos conhecimentos que os "black hats" se beneficiam, estes são geralmente pagos ou contratados para trabalharem em companhias como especialistas em segurança da informação, analistas, engenheiros, arquitetos, ou simplesmente "Pentesters".
A única exceção é que os métodos de teste de vulnerabilidade da rede, aplicação, ou dispositivos, são feitos com as devidas permissões pelos donos, tornando o processo totalmente legal. E para essa comunidade crescente sempre é possível aprender com VMs (Virtual Machines) pré-configuradas, cursos, treinamentos e certificações. Vamos abordar um pouco sobre mais a frente.
Grey Hat: E finalmente, os Gray Hat Hackers, que são uma mistura entre as atividades dos black hats e dos white hats. Se utiliza dos mesmos conhecimentos e ferramentas comumente utilizadas para testes de vulnerabilidades, sem a permissão ou conhecimento dos donos, o que torna a atividade ilegal.
Geralmente quando é encontrado alguma vulnerabilidade de risco este tipo de hacker entra em contato com a companhia ou dono, pede alguma quantia pela descoberta ou vende o serviço para corrigir a vulnerabilidade, e caso o dono não aceite, fica a cargo da pessoa que realizou a atividade se ele divulga o "exploit" na rede online para que todos vejam ou não.
Um exemplo dessas atividades são os BugBounties, que procuram bugs em determinadas aplicações, usualmente aplicações web, e reportam o bug para as empresas que são detentoras da aplicação. Esperando receber uma certa recompensa pela descoberta.
Agora que sabemos os principais personagens dessa trama, conseguimos entender que existe uma certa "guerra cibernética", onde os White Hats Hackers buscam incessantemente tratar das vulnerabilidades e ameaças que os Black hats são capazes de fazer, ainda mais nesse mundo da Indústria 4.0 onde boa parte das nossas atividades e aparelhos estão conectadas, a tecnologia da informação continua a evoluir e se disseminar cada vez mais, gerando mais possibilidades de se criar e mitigar potenciais riscos.
E para entender um pouco mais como os personagens surgiram, vamos falar um pouco sobre os Pilares da Segurança da informação, CIA (Confidentiality, Integrity, Availability) ou CID (Confidencialidade, Integridade, Disponibilidade).
A construção de um modelo que possa abranger os principais objetivos para garantir de fato a segurança da informação, têm sua significância. Infinitos fatores podem determinar a segurança dos diversos sistemas de informação, mas entender os que são de fato essenciais para tal segurança, podem garantir um monitoramento e análise melhorados, tendo em vista que, as informações que tiverem relação com tais pilares são o foco para a otimização dos processos relacionados.
A tríade CID, é um modelo que mostra estes objetivos de forma clara e concisa.
Confidencialidade:
Manter a confidencialidade é fundamental para assegurar que informações importantes e sensíveis não acabem sendo acessadas por pessoas ou usuários que não possuem um acesso autorizado a tais informações. Este princípio enfatiza a utilização de informações criptografadas, autenticação por dois fatores, e outras medidas que protejam as informações sensíveis de uma empresa ou negócio. Uma brecha nesse ponto seria um prejuízo inestimável.
Integridade:
A integridade da informação se refere a certeza de que o conteúdo não foi alterado durante ou após o envio dos dados. Garantir que a informação esteja inacessível em determinados níveis de acesso, e que a mesma se mantenha imutável durante o armazenamento ou upload, é garantir a integridade dos dados. Afastando toda e qualquer mudança intencional que visem interferir no conteúdo postado.
Disponibilidade:
Tornar as informações disponíveis na hora que forem necessitadas, com os devidos níveis de acesso configurados, as informações se mantém disponíveis para os usuários que podem acessá-las. Alguns entraves ou ataques relacionados com a disponibilidade das informações podem deixar tais dados indisponíveis, por isso é relevante ter componentes de segurança que garantam que os dados estejam disponíveis. Caso o fluxo de dados seja um dos principais componentes de funcionamento de uma empresa, indisponibilizar esse fluxo torna-se prejudicial.
Agora sabendo que tais pilares enumeram certos pontos relevantes, imagine caso redes de distribuição de energia, sistemas hospitalares, sistemas de financiamento, bancários, de segurança, federais, etc. Caso uma falha ocorra com um dos três pilares nesses serviços essenciais da sociedade, um caos social momentâneo poderia ser fruto dessas falhas. Sem contar com as empresas que gerenciam uma grande rede de credenciamento e pagamentos, e diversos outros exemplos.
