Cibersegurança para desenvolvedores e aspirantes

Com ataques cibernéticos ocorrendo em um ritmo cada vez mais elaborado e rápido, a proteção mais eficaz contra eles parece ser um desenvolvimento rico em medidas de cibersegurança.

Ou seja… Os desenvolvedores devem desempenhar um papel ainda mais relevante e cauteloso ao longo da elaboração de um produto virtual, certo? Mas como garantir a segurança ao longo do processo de desenvolvimento?

Este artigo se propõe a explorar a crescente importância da cibersegurança, concentrando-se em como desenvolvedores e aqueles que aspiram a seguir essa carreira podem desempenhar um papel crucial na proteção de suas criações tecnológicas.

Fundamentos da Cibersegurança

Imagem: Unsplash

Afinal de contas, o que é cibersegurança? A definição usada com mais frequência é da Agência de Segurança Cibernética e de Infraestrutura (CISA):

"Segurança cibernética é a arte de proteger redes, dispositivos e dados contra acesso não autorizado ou uso criminoso e a prática de garantir a confidencialidade, a integridade e a disponibilidade das informações."

Isto compreende entender o quanto de informações pessoais é disponibilizada facilmente em computadores, smartphones, redes sociais ou serviços online, como serviços bancários.

A segurança cibernética é a prática de compreender os pontos fracos destes dispositivos, serviços e das pessoas que os utilizam e, em seguida, tomar medidas protetivas.

Globalmente, temos visto ataques cibernéticos que expõem dados confidenciais em vários setores. Em 2022, golpistas vazaram quase 1 bilhão de dados no Brasil. Investigações mostram que criminosos têm acesso até a dados do sistema Córtex, do Ministério da Justiça.

Especialistas apontam que o gerenciamento de riscos cibernéticos não acompanhou o ritmo da proliferação das transformações digitais e analíticas. Os hackers estão usando inteligências artificiais, aprendizado de máquina e outras tecnologias para lançar ataques cada vez mais sofisticados.

De acordo com um relatório da IBM, o custo médio de uma violação de dados em 2020 foi de US$ 3,86 milhões. Isso inclui os custos associados à perda de dados, danos à reputação, honorários advocatícios e outras despesas.

As empresas normalmente precisam responder às punições advindas de legislação destinada à proteção de dados. No Brasil, por exemplo, o já complexo cenário da cibersegurança ganha mais uma nuance: a Lei Geral de Proteção de Dados (13.709/2018).

LGPD e regulamentações de privacidade

Imagem: Unsplash

Popularmente chamada de LGPD, esta lei tem como principal objetivo proteger os direitos fundamentais de liberdade e de privacidade, padronizando regulamentos e práticas para promover a proteção aos dados pessoais de todo cidadão que esteja no Brasil, conforme os parâmetros internacionais existentes.

A LGPD define o que são dados pessoais e explica que alguns deles estão sujeitos a cuidados ainda mais específicos, como os dados pessoais sensíveis e dados pessoais sobre crianças e adolescentes.

Além disso, a lei estabelece que não importa se a sede de uma organização ou o centro de dados dela estão localizados no Brasil ou no exterior: se há o processamento de informações sobre pessoas, brasileiras ou não, que estão no território nacional, a LGPD deve ser observada.

As falhas de segurança podem gerar multas de até 2% do faturamento anual da organização no Brasil – limitado a R$ 50 milhões por infração.

No entanto, mesmo os regulamentos e as medidas tradicionais de segurança cibernética não são suficientes. Os invasores encontram constantemente novas maneiras de explorar usuários e empresas inconscientes.

Um dos tipos mais perigosos de ataques cibernéticos é a zero-day exploit, que vem crescendo em uso nos últimos anos. Nesses casos, os hackers procuram por vulnerabilidades de software ou hardware e ganham acesso a dados confidenciais.

Os ataques ocorrem antes que os produtos possam ser atualizados, o que torna extremamente difícil a defesa contra eles. Por serem indetectáveis, até mesmo por antivírus, as zero-day exploits representam uma enorme ameaça para as organizações.

A defesa contra estes ataques está na boa higiene cibernética, isto é, um desenvolvimento consciente e preventivo, atualizações de segurança e verificação proativa de vulnerabilidades.

Há várias práticas recomendadas que os desenvolvedores de software podem seguir para gerenciar os riscos de segurança e proteger seus sistemas de software contra ameaças.

Mas para compreendê-las, é necessário conhecer e entender como funcionam os tipos de ataques cibernéticos mais comuns.

Tipos de ataques cibernéticos

Imagem: Unsplash

A empresa de tecnologia relacionada a cibersegurança Cisco descreve um ataque cibernético como:

"Uma tentativa maliciosa e deliberada de um indivíduo ou organização de violar o sistema de informações de outro indivíduo ou organização. Normalmente, o invasor busca algum tipo de benefício ao interromper a rede da vítima."

Além da já citada zero-day exploit, a lista de ataques cibernéticos mais comuns inclui:

• Malware
• Phishing
• Man-in-the-middle (MitM)
• Denial-of-service (DDoS)
• Injeção de SQL

A variedade de ataques apresenta desafios únicos que requerem abordagens específicas para a proteção eficaz.

Portanto, a compreensão profunda dessas ameaças não apenas capacita os profissionais da tecnologia a identificá-las e respondê-las de maneira eficiente, mas também promove uma mentalidade proativa na criação de sistemas robustos e resistentes a vulnerabilidades.

Vamos definir o funcionamento de cada um dos principais ciberataques e discutir brevemente sua identificação e remoção a seguir.

Detecção e análise de ameaças

Imagem: Unsplash

O malware é possivelmente o ataque cibernético mais conhecido, mas existe em diversas formas. Este termo é usado para descrever softwares mal-intencionados, incluindo spyware, ransomware, phishing, vírus e worms.

A invasão via malware ocorre por meio de uma vulnerabilidade, geralmente apresentada quando o usuário clica em um link perigoso ou em um anexo de e-mail que instala um software de risco.

Uma vez dentro do sistema, o malware pode:

• Bloquear o acesso aos principais componentes da rede (ransomware);
• Instalar malware ou software prejudicial adicional (vírus, cavalos de troia);
• Obter informações secretamente, transmitindo dados do disco rígido (spyware);
• Interromper determinados componentes e torna o sistema inoperante (vírus, cavalos de troia);
• Roubar nomes de usuários, senhas, detalhes de cartão de crédito e informações bancárias (phishing, worms).

O malware nem sempre é detectável com facilidade. É importante ficar atento ao aumento de anúncios pop-up, redirecionamentos do navegador da web, postagens suspeitas redes sociais e mensagens sobre contas comprometidas ou a segurança do dispositivo.

Mudanças no desempenho de um dispositivo, como execução muito mais lenta, também podem ser indicativo de preocupação.

A proteção contra um malware e também sua remoção pode ser feita por meio de antivírus. Basta instalar um software como Avira ou Avast e executar uma verificação no dispositivo.

Se o antivírus detectar um programa mal-intencionado, ele listará o tipo e fornecerá recomendações para remoção. Após a remoção, é importante manter o antivírus atualizado e em execução para evitar ataques futuros.

Os ataques man-in-the-middle (MitM), também conhecidos como ataques de espionagem, ocorrem quando os invasores se inserem em uma transação entre duas partes. Quando os invasores interrompem o tráfego, eles podem filtrar e roubar dados.

Existem dois pontos de entrada comuns para ataques MitM:

• Em uma rede Wi-Fi pública não segura, os invasores podem se inserir entre o dispositivo de um visitante e a rede. Sem saber, o visitante passa todas as informações para o invasor.
• Uma vez que um malware tenha violado um dispositivo, o invasor pode instalar um software para processar todas as informações da vítima.

Os ataques MitM podem ser evitados ou detectados por dois meios: autenticação e detecção de violação. A autenticação oferece algum grau de certeza de que uma determinada mensagem veio de uma fonte legítima. A detecção apenas mostra evidências de que uma mensagem pode ter sido alterada.

Já o ataque DDoS, cuja sigla significa “negação de serviço distribuído”, inunda sistemas, servidores ou redes com tráfego para esgotar os recursos e a largura de banda. Como resultado, o sistema não consegue atender a solicitações legítimas.

Os invasores também podem usar vários dispositivos comprometidos para lançar esse ataque. Os produtos que mais sofrem com estes ataques são aqueles que dependem do fornecimento de serviços online, como sites de compras e cassinos virtuais.

As respostas defensivas aos ataques DDoS normalmente envolvem o uso de uma combinação de ferramentas de detecção de ataques, classificação de tráfego e resposta, visando bloquear o tráfego identificado como ilegítimo e permitir o tráfego identificado como legítimo.

Por fim, uma injeção de SQL (Structured Query Language, linguagem de consulta estruturada) ocorre quando um invasor insere um código mal-intencionado em um servidor que usa SQL e o força a revelar informações que normalmente não revelaria.

Para tal, bastaria o envio de um código malicioso em uma caixa de pesquisa de um site vulnerável.

As principais defesas contra a injeção de SQL incluem a validação dos dados fornecidos pelo usuário, na forma de lista branca ou lista negra, e a construção de instruções SQL de modo que os dados fornecidos pelo usuário não possam influenciar a lógica da programação original.

Mas há especialistas que acreditam que nenhum gasto com defesas tecnológicas pode proteger sistemas críticos ou ajudar empresas e indivíduos a acompanharem o ritmo dos hackers.

Com isso, surgem as práticas de ethical hacking e defesa ativa, que estão um passo além das táticas comuns de cibersegurança.

Ethical hacking e defesa ativa

Imagem: Unsplash

A defesa ativa, também conhecida como defesa cibernética ativa, tem diversas definições. A Organização do Tratado do Atlântico Norte (OTAN) a define como:

"Uma medida proativa para detectar ou obter informações sobre uma intrusão cibernética, um ataque cibernético ou uma operação cibernética iminente ou para determinar a origem de uma operação que envolva o lançamento de uma contraoperação preventiva ou cibernética contra a fonte."

Um exemplo de defesa cibernética ativa é um sistema que monitora intrusões, detecta uma e responde bloqueando outras conexões de rede da fonte e alertando o administrador do sistema.

Outro exemplo é tomar medidas para identificar e desativar um botnet usado para realizar ataques distribuídos de negação de serviço (DDoS). São os verbos “responde” e “encerra” que tornam essas instâncias de defesa ativa.

Um exemplo de defesa passiva, por outro lado, é um sistema de criptografia que torna as comunicações ou os dados armazenados inúteis para espiões e ladrões.

Enquanto isso, a prática de ethical hacking – ou hacking ético – introduz pessoas com habilidades similares às de hackers maliciosos, mas que utilizam seus conhecimentos para identificar fraquezas e proteger sistemas, ao invés de explorá-los.

Os testes de penetração ou pentests são a forma de trabalho mais comum dos hackers éticos. Eles buscam pensar como invasores em potencial e atacam seus próprios sistemas. Com isso, os pontos fracos da aplicação vêm à tona e podem ser trabalhados preventivamente.

Ethical hackers e profissionais dedicados à defesa ativa geralmente possuem habilidades e conhecimentos diferentes e especializados, se os compararmos com um desenvolvedor. Mesmo assim, alguns conceitos e táticas de prevenção são fundamentais para quem trabalha ou quer ingressar no mercado dev.

Prevenção e Proteção

Imagem: Unsplash

Agora que compreendemos a diversidade das ameaças cibernéticas e as principais técnicas especializadas desenvolvidas para lidar com elas, é hora de examinarmos ferramentas essenciais para prevenção e proteção no dia a dia do desenvolvimento de software.

Firewall

Um dos pilares da cibersegurança, o firewall é um guardião digital que atua como uma barreira entre sua rede e o mundo exterior. Ele monitora e controla o tráfego de entrada e saída, decidindo o que é permitido e o que é bloqueado.

Esta primeira linha de defesa é vital para proteger sistemas contra ameaças, impedindo que ataques maliciosos alcancem seu destino. Aprender o funcionamento de um firewall e sua configuração adequada é essencial para manter suas aplicações e dados seguros.

VPN

Em um mundo interconectado, a VPN desempenha um papel crítico na proteção da privacidade e na segurança dos dados. Ela cria um túnel criptografado entre o dispositivo e um servidor remoto, mascarando seu endereço IP e protegendo seus dados contra olhares curiosos.

No entanto, é importante compreender os riscos associados ao uso de VPNs gratuitas, muitas vezes suspeitas de práticas de coleta de dados ou até mesmo de servirem como vetores de ameaças. Escolher uma VPN confiável e entender como configurá-la é fundamental para garantir a segurança online.

Criptografia

A criptografia é a ciência por trás da segurança dos dados, essencial para proteger informações confidenciais. Ela envolve a conversão de dados em um formato ilegível e, em seguida, a reversão desse processo por meio de uma chave.

Existem dois tipos principais de criptografia: simétrica, onde a mesma chave é usada para criptografar e descriptografar dados, e assimétrica, que envolve um par de chaves pública e privada.

A criptografia ponta a ponta é um conceito vital que garante que apenas o remetente e o destinatário tenham acesso aos dados, mesmo se atravessarem redes não confiáveis.

Em outras palavras, a criptografia desempenha um papel fundamental na segurança da informação, assegurando a confidencialidade, integridade e autenticidade dos dados, além de gerenciar chaves de forma segura. Tudo isso contribui para um ambiente de desenvolvimento mais seguro.

Conclusão

Imagem: Unsplash

Ao chegarmos ao fim desta exploração abrangente da cibersegurança no mundo do desenvolvimento de software, é crucial recapitular os principais pontos abordados ao longo deste artigo.

Primeiramente, destacamos a crescente importância da cibersegurança no cenário tecnológico contemporâneo. À medida que as ameaças à integridade de dados, sistemas e aplicações se tornam mais elaboradas e perigosas, a segurança cibernética cresce em complexidade e em importância.

Examinamos os diferentes tipos de ameaças cibernéticas que podem comprometer a segurança dos sistemas, do malware até a zero-day exploit. Entendemos que, para nos defendermos de forma eficaz, é essencial compreender a natureza variada dessas ameaças.

Além disso, mergulhamos nas táticas especializadas e ferramentas prevenção e proteção, como ethical hacking, defesa ativa, firewalls, VPNs, criptografia e testes de penetração. A aplicação consciente desses recursos pode reforçar significativamente a segurança de nossas criações tecnológicas.

No entanto, mais do que apenas entender os conceitos de cibersegurança, é imperativo que os desenvolvedores e futuros desenvolvedores assumam um compromisso pessoal com a segurança cibernética.

Incentivamos a todos que estão envolvidos na criação de software a adotar práticas seguras desde o início do processo de desenvolvimento. Isso não apenas protegerá suas aplicações e dados, mas também contribuirá para um ambiente digital mais seguro e confiável para todos.

A cibersegurança é uma jornada constante, uma busca para se manter um passo à frente das ameaças em constante evolução. Ao nos comprometermos com a segurança desde o primeiro código escrito, estamos moldando um futuro tecnológico mais resiliente e confiável.

Portanto, sigamos adiante com a missão de proteger nossos sistemas e fortalecer a base da tecnologia que impulsiona nosso mundo.

Fontes:

Golpistas vazaram quase 1 bilhão de dados no Brasil em 2022. Quadrilhas montam painéis para vender na internet. Disponível em: <https://oglobo.globo.com/economia/defesa-do-consumidor/noticia/2023/06/dossies-com-dados-publicos-e-privados-municiam-golpes-eletronicos.ghtml>. Acesso em: 10 set. 2023.

Software security: Giving developers a leading role | McKinsey. Disponível em: <https://www.mckinsey.com/industries/technology-media-and-telecommunications/our-insights/giving-developers-a-leading-role-in-cybersecurity>. Acesso em: 10 set. 2023.

DRENIK, G. Why The Future Of Cybersecurity Rests In Developers’ Hands. Disponível em: <https://www.forbes.com/sites/garydrenik/2022/03/09/why-the-future-of-cybersecurity-rests-in-developers-hands/?sh=24a43e8c7457>. Acesso em: 10 set. 2023.

The importance of cybersecurity in today’s digital world. Disponível em: <https://www.nwtc.edu/blog/2021/05/The-importance-of-cybersecurity-in-today-s-digital>. Acesso em: 10 set. 2023.

MCKINSEY & COMPANY. Cybersecurity trends: Looking over the horizon | McKinsey. Disponível em: <https://www.mckinsey.com/capabilities/risk-and-resilience/our-insights/cybersecurity/cybersecurity-trends-looking-over-the-horizon>.

The Role of Cybersecurity in Software Development: How to design secure software systems that protect against cyber threats? Disponível em: <https://www.linkedin.com/pulse/role-cybersecurity-software-development-how-design-secure-gombert/>. Acesso em: 10 set. 2023.

The Future of Cybersecurity: The Rise of Zero-Day Exploits. Disponível em: <https://www.cybersecurityhq.io/blog/the-future-of-cybersecurity-the-rise-of-zero-day-exploits>. Acesso em: 10 set. 2023.

CISCO. Cyber Attack - What Are Common Cyberthreats? Disponível em: <https://www.cisco.com/c/en/us/products/security/common-cyberattacks.html#~types-of-cyber-attacks>.

O que é malware? | Segurança da Microsoft. Disponível em: <https://www.microsoft.com/pt-br/security/business/security-101/what-is-malware>.

WIKIPEDIA CONTRIBUTORS. Denial of Service attack. Disponível em: <https://en.wikipedia.org/wiki/Denial-of-service_attack>.

WIKIPEDIA CONTRIBUTORS. Man-in-the-middle attack. Disponível em: <https://en.wikipedia.org/wiki/Man-in-the-middle_attack>.

Understanding SQL Injection. Disponível em: <https://sec.cloudapps.cisco.com/security/center/resources/sql_injection.html#6>. Acesso em: 10 set. 2023.

O que é a LGPD? — Lei Geral de Proteção de Dados. Disponível em: <https://www.mpf.mp.br/servicos/lgpd/o-que-e-a-lgpd>.

BERINATO, S. Active Defense and “Hacking Back”: A Primer. Disponível em: <https://hbr.org/2018/05/active-defense-and-hacking-back-a-primer>.

VANTIX, E. Pentest: O que é, para que serve, tipos e como aplicar. Disponível em: <https://vantix.com.br/blog/ciberseguranca/pentest/>. Acesso em: 10 set. 2023.

O que é um firewall? Definição e explicação. Disponível em: <https://www.kaspersky.com.br/resource-center/definitions/firewall>.

Utilizar VPN grátis é realmente seguro? Disponível em: <https://www.tecmundo.com.br/internet/263037-utilizar-vpn-gratis-realmente-seguro.htm>. Acesso em: 10 set. 2023.

O que é criptografia e quais os tipos? Disponível em: <https://tecnoblog.net/responde/o-que-e-criptografia-e-quais-os-tipos/>.