Desconecte a internet

• Houve um incidente em que uma empresa de segurança "virtual" chamada "ClownStrike" paralisou a maior parte da base instalada do Windows com uma atualização de conteúdo insuficientemente testada
• Haverá muita gente para culpar numa situação como essa, mas muitos acabam repetindo a afirmação de que "esses sistemas não deveriam estar conectados à internet"

Considerações práticas sobre não se conectar à internet

• Os computadores empresariais modernos funcionam quase inteiramente como dispositivos de comunicação
• Sem interconexão atravessando fronteiras organizacionais e geográficas, é difícil gerar valor
• Sistemas como reserva e agendamento de companhias aéreas são, em essência, sistemas de comunicação, portanto não conseguem funcionar sem rede

A importância da conexão de rede para manutenção e operação

• Mesmo sistemas que não exigem comunicação em tempo real se beneficiam muito da conexão de rede para manutenção, monitoramento e adaptação a mudanças nos requisitos de negócio

Os vários significados de não estar conectado à internet

• Há várias formas de não estar conectado à internet, então é difícil ter uma discussão séria sem uma definição clara
• Existem diversos cenários, desde um único dispositivo sem conexão de rede até soluções cross-domain certificadas pela NSA
• Há várias formas de conectividade restrita, como WAN privada, tunelamento criptografado e AWS Private VPC

A inconveniência de operar sistemas sem conexão com a internet

• Quase todos os ambientes de software são projetados partindo do pressuposto de conexão com a internet, então tudo fica mais difícil em ambientes offline
• Atualizações de OS, gerenciadores de pacotes, certificados TLS, licenciamento em nuvem e muitos outros pontos geram trabalho e custo adicionais
• Também há muitos casos em que o tempo e o custo aumentam significativamente por causa de interações complexas com fornecedores de software corporativo

Não existem tantos ambientes offline assim

• Formas fortes de ambiente offline se limitam a defesa, agências de inteligência e alguns bancos
• Esses setores costumam ser conhecidos por consumir tempo e dinheiro em excesso
• Mesmo formas mais brandas só aparecem em setores altamente regulados ou em algumas empresas que dão prioridade à segurança

Propostas de melhoria

• Aplicar políticas de rede o mais restritivas possível (nuvens como a AWS facilitam isso)
• Desenvolver software pensando em ambientes offline (minimizar conexões externas, preparar alternativas para endpoints etc.)
• Reavaliar TLS e outras suposições implícitas, como uso do repositório de confiança do sistema e resolução de dependências no momento da distribuição
• O Docker é um exemplo paradoxal de como tornar mais difícil a gestão de ambientes offline

Opinião do GN⁺

• O caso CrowdStrike é um problema que não tem relação com estar ou não conectado à internet. Atualizações de segurança continuam sendo indispensáveis mesmo em ambientes offline
• Porém, na prática, atualizações offline tendem a atrasar, e isso às vezes acaba até ajudando a segurança
• O isolamento de rede é conceitualmente atraente, mas muito difícil de implementar na prática. No futuro, a indústria de software precisará se preparar melhor para isso
• Ao mesmo tempo, é preciso reconhecer as limitações fundamentais do ambiente de TI moderno, que pressupõe conexão com a internet, e priorizar melhorias viáveis, como reforçar políticas de rede
• Em áreas que exigem segurança extrema, como infraestrutura crítica e defesa, pode valer a pena considerar a separação física da rede mesmo com toda a dificuldade envolvida

[GN⁺]

Comentários do Hacker News

• Como alguém que trabalha com segurança/sistemas/operações, a maioria das pessoas faz mal o seu trabalho, e o setor inteiro está configurado para dar suporte a isso

  • Ao implantar sinalização digital, o acesso à rede deveria ser permitido apenas para o endereço IP do servidor, e só deveriam ser aceitas atualizações assinadas e conexões com pinagem de certificado
  • Dispositivos IoT têm segurança fraca, com muitas senhas padrão e portas abertas
  • A maioria das empresas não faz bem o seu trabalho, e seguir as "melhores práticas" ou as orientações do fornecedor não significa fazer o trabalho direito

• Na Suécia, existe uma rede privada chamada Sjunet, isolada da internet, usada por prestadores de serviços de saúde

  • O Sjunet pode ser visto como um ambiente com air gap em toda a indústria, melhorando a segurança com pouco custo

• Como engenheiro de controle, máquinas que usam cabos Ethernet não deveriam estar conectadas à internet

  • Em fábricas, sistemas PLC e HMI usam Ethernet, mas não ficam expostos à internet
  • Máquinas antigas, como soldadores por resistência, não precisam de sistemas de segurança modernos

• Não concordo com a afirmação de que sistemas não deveriam ser isolados por air gap

  • Não se deveriam usar práticas de desenvolvimento centradas na internet
  • É errado uma máquina de MRI buscar dependências JS no NPM

• Ao operar uma rede privada, é provável que os serviços internos não tenham certificados TLS de uma CA popular

  • Pode-se perder muito tempo por causa de problemas com o trust store do JRE

• Depois de usar um quiosque do McDonald's, a pessoa testou equipamentos de outros lugares também

  • Um quiosque de praça de alimentação tinha acesso completo à internet, e era possível baixar software malicioso
  • O quiosque de estacionamento não tinha hardening
  • Um display interativo de uma marca de cerveja não causava grande dano, mas deixava a mensagem "beba água"

• A principal conclusão não é que sistemas não deveriam estar conectados à internet

  • Sistemas não deveriam permitir fluxos de rede de saída
  • Em muitos produtos de software corporativo, é possível desativar atualizações automáticas
  • Atualizações podem ser liberadas gradualmente para minimizar problemas

• Hamnet é parcialmente roteável pela internet e usa espectro de rádio amador

  • O uso comercial é proibido

• Sistemas de reserva de companhias aéreas precisam estar conectados à rede, mas muitos equipamentos não precisam estar online

  • Há muitos dispositivos conectados à internet, como geladeiras, chaleiras e portas de garagem
  • Toda medida de segurança faz o usuário sentir inconveniência

• Certo software perdeu popularidade e não causa mais danos

  • Mas ainda existem muitas caixas-pretas e softwares proprietários, com pouca capacidade de recuperação de desastres