Incidente da CrowdStrike oferece aos adversários um roteiro para expor as vulnerabilidades dos EUA

O que aconteceu com a resiliência digital?

• Causa do desastre digital

  • O colapso digital que afetou aeroportos, hospitais e emissoras de TV na sexta-feira foi causado por um bug em uma atualização de software
  • Não foi obra de forças hostis, mas um incidente que expôs a vulnerabilidade dos Estados Unidos

• Por que a recuperação é difícil

  • O governo Biden vinha simulando cenários de ataque de hackers russos e chineses
  • Mas este incidente foi causado por um simples erro humano
  • Em sistemas de rede complexos, um pequeno erro pode provocar grandes problemas

• Reação dos guerreiros cibernéticos

  • Houve alívio pelo fato de o incidente não ter sido um ataque em nível estatal
  • Malwares como o Volt Typhoon, da China, são difíceis de encontrar e ainda mais difíceis de remover
  • O incidente voltou a expor os limites da resiliência cibernética

• Cooperação entre governo e setor privado

  • Nos últimos anos, os Estados Unidos começaram a tratar seriamente os problemas de cibersegurança
  • Órgãos do governo como FBI, NSA e CISA cooperam com empresas privadas para compartilhar vulnerabilidades e alertar sobre hackers
  • O presidente Biden criou um Conselho de Revisão de Segurança Cibernética para analisar grandes incidentes

Resumo do GN⁺

• Este incidente foi um colapso digital causado por um simples erro em uma atualização de software
• Ele expôs a vulnerabilidade de sistemas de rede complexos e mostrou os limites da resiliência cibernética
• A cooperação entre governo e setor privado é importante, e é necessário um sistema para revisar grandes incidentes
• Um produto ou projeto com funções semelhantes inclui softwares de cibersegurança como a CrowdStrike

[GN⁺]

Comentários no Hacker News

• Há quem diga que, se um sistema operacional precisa de patches de segurança frequentes, ele não deveria ser usado em infraestrutura

  • Por exemplo, já viram fotos de monitores de aeroporto mostrando BSOD
  • Segurança não é um recurso que se adiciona depois; precisa ser incorporada desde o início
  • Existe toda uma indústria tentando adicionar segurança ao Windows, mas isso ainda não é efetivo

• Foram levantadas dúvidas sobre resiliência digital

  • Há convicção de que está sendo elaborado um roteiro das vulnerabilidades dos EUA
  • O problema é não reforçar as vulnerabilidades por causa de custo e conveniência
  • Quando a Microsoft lançou o Windows 95, enfatizou a facilidade de uso sem considerar segurança
  • Depois, por causa de problemas de segurança, a liberdade dos usuários foi restringida, o que gerou resistência

• Há quem diga que a CrowdStrike acabou forçando um teste de recuperação de desastres e resiliência na civilização ocidental

  • Um único funcionário mal-intencionado poderia inutilizar todos os computadores
  • Defende-se que os sistemas técnicos sejam mais resilientes a um erro ou invasão de um único fornecedor
  • Mecanismos de recuperação automática poderiam ser implementados

• Há um segredo conhecido há décadas

  • Os principais fornecedores de SOs e navegadores distribuem patches continuamente
  • A cadeia de suprimentos de software é grande demais para ser auditada
  • Softwares de "segurança" ampliam a superfície de ataque

• Há quem diga que, para empresas não americanas, é arriscado usar os serviços da CrowdStrike

  • O FBI poderia usar mandados secretos para obrigar a CrowdStrike a injetar uma DLL

• Há quem diga que, se houver uma guerra, tudo vai parar de funcionar em 8 horas

  • Seria preciso voltar ao dinheiro em espécie e ao trabalho em papel, mas isso seria doloroso e lento

• Houve uma interrupção massiva de computadores no mundo todo em empresas que usam máquinas Windows com CrowdStrike instalado

  • Fica a dúvida se esse incidente deixará alguma lição

• Há quem diga que é necessária diversidade na infraestrutura de computação

  • Se mais máquinas críticas usassem outros SOs, o impacto seria limitado

• Há quem discorde da opinião de Kent Walker, do Google, de que a IA ajudará a identificar vulnerabilidades e aplicar patches