Um olhar sobre a segurança dos ambientes corporativos mostra que os administradores de rede continuam cometendo muitos erros fáceis de serem evitados.

Em 2008, A empresa Verizon analisou 90 brechas de segurança responsáveis por 285 milhões de registros de dados comprometidos, graças a roubo de informações. O que é mais surpreendente é que as brechas ocorreram porque as empresas esqueceram de tomar todos os passos para garantir a segurança dos sistemas, ou seja, os responsáveis pelas redes não conseguem fazer o básico.

Para tentar evitar ao máximo cometer os mesmos erros comuns, a Verizon ajudou a reportagem a elaborar uma lista com os 10 erros mais elementares e como evitá-los. Confira:

1 – Falta de mudança nas senhas de todos os dispositivos de rede
Chega a ser inacreditável a frequência com a qual as corporações acabam deixando senhas-padrão em alguns dos equipamentos de rede. Líderes de tecnologia às vezes nem tomam conhecimento disso, mas o fato é que muitos funcionários não prestam atenção a este elemento básico.

Para evitar o problema, a empresa precisa varrer cada dispositivo da rede que possua endereço IP, não somente os sistemas críticos de internet, e alterar as senhas-padrão. De acordo com estudo da Verizon, mais da metade de dados corporativos que sofreram problemas por falta de segurança no ano passado foram vítimas de senhas deste tipo.

2 – Compartilhamento de senhas entre dispositivos de rede múltiplos
Os departamentos de tecnologia da informação têm o péssimo hábito de usar a mesma senha para diversos dispositivos. Com isso, muitas pessoas tomam conhecimento da senha, que deixa de ser segura quando isso acontece - por mais complicada que seja. É só imaginar que, caso uma senha seja descoberta por um hacker, todo o sistema estará em suas mãos.

Para evitar esse problema é necessário um processo – de preferência automático – que garanta que as senhas não sejam compartilhadas e, além disso, sejam trocadas regularmente.

3 – Falhas no tratamento do código SQL
Uma das formas mais comuns de hackear sistemas, representando 79% dos ataques, é a inserção de códigos SQL em formulários web para atingir os bancos de dados escritos nessa linguagem. Resolver isso é muito simples, embora 90 a cada 100 servidores corporativos estejam vulneráveis aos ataques, segundo a Verizon. Basta aplicar firewalls que “filtram” as entradas em formulários e restringir o acesso de dispositivos não essenciais aos servidores. Assim, a companhia previne que um hacker ganhe acesso total ao sistema por meio de um erro de codificação SQL.

4 – Problemas na configuração da lista de controle de acesso
Segmentar a rede utilizando listas de controle de acesso é a forma mais simples de garantir que o sistema se comunique somente com outros sistemas necessários e seguros. Se você permite que seus parceiros de negócios acessos dois servidores na sua rede por meio do VPN, por exemplo, você deve usar listas de controle de acesso para garantir que somente esses dois servidores sejam acessados.

No entanto, a falta de um uso adequado dessas listas é responsável por uma boa parcela de ataques a redes corporativas. Caso o hacker consiga entrar na rede de seu parceiro e os seus servidores não tiverem a proteção adequada, todos os dados de seus negócios também ficarão disponíveis.

5 – Uso de acesso remoto e softwares de gerenciamento sem segurança
Programas de acesso remoto e pacotes de software de gerenciamento como PCAnywhere, Virtual Network Computing (VNC) e Secure Shell (SSH) são caminhos para a entrada de hackers no seu sistema. Frequentemente, esses softwares podem carecer de medidas básicas de segurança, como boas senhas.

A forma mais simples de encontrar o problema é fazer uma varredura externa em todo o seu endereço IP para procurar tráfego desses tipos de softwares. Uma vez encontrado, o profissional deve tomar medidas extras de segurança, como tokens ou certificados que se somem às senhas.

6 – Falta de testes em aplicações não-críticas para buscar vulnerabilidades básicas
A maioria das vulnerabilidades está nas aplicações web, que, por isso, concentram a maior parte das atenções dos administradores de rede. O problema é que os erros permanecem em sistemas não-críticos, que acabam permanecendo cheios de falhas.

No entanto, para garantir uma estrutura segura, os testes devem ser realizados em todas as aplicações, abrangendo pelo menos as vulnerabilidades básicas. É bom lembrar que hackers não elegem necessariamente as aplicações mais críticas, mas escolhem os ataques na ordem do que é mais fácil.

7 – Falta de proteção contra malwares
De acordo com a Verizon, malwares instalados em servidores são responsáveis por cerca de 38% de todas as brechas de segurança. A maioria deles é instalada por ataques remotos e utilizados para sequestrar dados. O problema é que os softwares para varrer este tipo de ameaça roda somente nos servidores críticos. O ideal é vasculhar toda a estrutura da corporação.

8 – Falha em configurar os roteadores para proibir tráfego externo
Uma das formas populares de malware envolve a instalação de um backdoor ou command shell em um servidor. Uma das formas de evitar que o hacker tire vantagem de uma aplicação como essa é usar a lista de controle de acesso. Dessa forma, o administrador pode prevenir os servidores de enviarem tráfego que não deveria ser enviado. Um exemplo é um servidor de e-mail: ele deve enviar somente tráfego de e-mail.

Outra opção é configurar os roteadores para o modo de bloqueio de saída de dados, permitindo que você configure as exceções e tenha certeza de que nada indevido está vazando. Essa é uma configuração trivial, mas que é adotada somente por 2% das companhias, segundo a Verizon.

9 – Falta de conhecimento sobre onde dados críticos estão armazenados
A maioria das empresas acredita saber a localização dos dados críticos, como cartões de créditos, CPFs e outras informações pessoais de clientes, adotando nesses servidores os níveis de segurança mais altos. No entanto, esses mesmos dados podem estar em um arquivo de backup, em outro departamento.

Normalmente são os servidores secundários que deixam vazar informações altamente confidenciais. Uma forma fácil de evitar esse problema é instalar programas farejadores na rede para encontrar dados críticos expostos e desenvolver uma política para definir para onde eles vão.

10 – Falta de atenção aos padrões de segurança da indústria de pagamentos
A indústria financeira tem uma série de regras que, bem seguidas, podem garantir padrões de segurança necessários para dados de pagamentos. Se as companhias seguirem à risca essas regras, conseguirão reduzir significativamente as chances de terem grandes prejuízos.

Fonte: http://computerworld.uol.com.br/seguranca/2009/07/10/10-erros-elementares-de-seguranca-que-ainda-sao-cometidos/