Por Carlos Sanchiz (*)

Os profissionais de cibersegurança veem alguns atores de ameaças ou terceiros como o inimigo. No entanto, é importante desafiar esta mentalidade; uma empresa escuda-se melhor de terceiros com intenções maliciosas se conhecer melhor como estes pensam e operam. É por este motivo que empresas de todo o mundo recorrem a hackers para testar a sua infraestrutura de segurança e desenvolver práticas mais fortes e robustas.

Antes de integrar o ‘hacker test’ na política de segurança, é importante compreender os diferentes tipos de hackers que existem. Cada grupo tem motivações diferentes e é preciso saber quais das suas capacidades podem ser usadas em benefício da empresa.

Hacker de Chapéu Negro ou Black Hat

Os hackers de chapéu negro são cibercriminosos motivados por ganhos pessoais ou financeiros. Tanto podem ser amadores adolescentes como indivíduos ou equipas experientes. Contudo, nos últimos anos, vários hackers black hat redirecionaram os seus esforços para a defesa das organizações. Kevin Mitnick, conhecido como ‘Condor’, tinha só 16 anos quando acedeu a um computador do Departamento de Defesa dos Estados Unidos. Após este e inúmeros outros ataques, Mitnick foi condenado a cinco anos e meio na prisão. Mas após a sua libertação, criou a empresa Mitnick Security Consulting, que executa testes de intrusão para clientes.

Trabalhar com um hacker de chapéu preto é controverso. Alguns especialistas, incluindo David Warburton, evangelista sénior de ameaças da F5 Networks, acreditam que contratar antigos hackers é fundamental para as empresas se manterem na vanguarda do cenário de ameaças. No entanto, outros preocupam-se em com o facto de se permitir que o grupo aceda a sistemas corporativos e dados de clientes. Estes últimos devem, contudo, considerar outras abordagens no trabalho com hackers.

Hacker de Chapéu Branco ou White Hat

Geralmente denominados hackers éticos, os hackers de chapéu branco são contratados por companhias que procuram identificar as vulnerabilidades nas defesas de segurança. Apesar de utilizarem as mesmas táticas que os hackers black hat, este grupo tem a permissão das empresas para executarem as intrusões. Enquanto usam os seus conhecimentos para encontrar vulnerabilidades na defesa, trabalham em conjunto com equipas de segurança para corrigir problemas antes que outros os descubram.

Muitas das grandes empresas mundiais, entre elas a General Motors ou a Starbucks, usam hackers white hat para identificar falhas e proactivamente incrementar a postura de segurança. Este estilo de hacking oferece um caminho interessante e lucrativo para estas pessoas, detentoras de elevadas capacidades técnicas. Atribuir importância ao papel dos hackers de chapéu branco é um incentivo para estes indivíduos talentosos prosseguirem um caminho positivo, em vez de se tornarem hackers maliciosos.

Nutrir talentos

Existem muitos programas em curso para encontrar, incentivar e apoiar a próxima geração de hackers de chapéu branco. Um exemplo, suportado pela AWS, é o r00tz Asylum, uma conferência dedicada a ensinar jovens a tornarem-se white hats. Os participantes aprendem como atuam os hackers e como os profissionais de cibersegurança se podem defender. O objetivo é encorajar indivíduos com elevados conhecimentos técnicos a utilizá-los em proveito da sua carreira profissional. Ao dotar de conhecimentos e capacidades estes aspirantes a profissionais de cibersegurança, é possível construir segurança na infraestrutura desde o início. O suporte da AWS ao r00tz é a oportunidade de retribuir às próximas gerações, colocando jovens interessados em segurança num ambiente seguro de aprendizagem e com acesso a mentores.

Construir bases sólidas

Para os responsáveis pela confiança do cliente e proteção de dados, é essencial uma abordagem de segurança de ponta a ponta. Trabalhar com hackers éticos é uma maneira poderosa de visualizar a postura de segurança, da perspetiva de um cibercriminoso, identificando e solucionando vulnerabilidades. No entanto, também é importante lembrar que a segurança precisa de ser incorporada em toda a infraestrutura da organização. É aqui que a parceria com uma plataforma de nuvem pode ser benéfica, uma vez que as mais avançadas são desenhadas para satisfazer as necessidades das companhias mais sensíveis ao risco. As plataformas de cloud também oferecem serviços de segurança automáticos, que podem gerir proactivamente avaliações de segurança, deteção de ameaças e gestão de políticas. Ao fazê-lo, estas plataformas assumem grande parte do trabalho pesado dos profissionais de segurança, incluindo os hackers éticos.

(*) Manager, Arquiteto de Soluções, Amazon Web Services Iberia