Total Security - totalsecurity.com.br
Entradas USB trazem risco de roubo de dados
As mesmas portas USB que servem para ligar câmeras digitais, teclados e mouses podem ser usadas para roubar dados e representam um sério risco de segurança para as empresas brasileiras, segundo consulta a especialistas de segurança entrevistados pela reportagem do Estado.
A maioria delas, com exceção de poucas companhias de vanguarda na área financeira, não faz qualquer tipo de monitoramento ou bloqueio destas conexões. "Com um iPod e um ambiente desprotegido, dá para copiar todo o backup de um servidor em questão de minutos", alerta José Antunes gerente de engenharia da empresa de segurança McAfee.
Se isso serve de consolo, as organizações brasileiras estão em pé de igualdade com a base aérea de Bagram, no Afeganistão, como flagrou o repórter Paul Watson. Em reportagem publicada no jornal Los Angeles Times, ele descreve como encontrou pen drives à venda em bazar próximo à base aérea, contendo informações de agentes norte-americanos em ação no país.
Segundo o relato, os pequenos chaveiros de memória haviam sido roubados na própria base e estavam à venda por cerca de US$ 40, praticamente o preço do hardware, sem levar em conta o valor da informação contida nos dispositivos.
Nos EUA, o relato causou furor e uma série de matérias com o foco: como proteger as organizações dos riscos associados às portas USB contidas nos micros das empresas e prevenir o roubo de informações.
Capacidade
O roubo de dados por meio de agentes internos não é novidade para o mundo empresarial. Quando o disquete de 3,5 polegadas era a mídia mais comum para transporte de dados, já havia soluções que barravam seu funcionamento impedindo um usuário de copiar dados sigilosos.
É bem verdade, que os 1,44 MB de então nem se comparam ao estrago que 1 GB de capacidade de um pen drive (os chaveiros de memória) ou aos 60 GB que um tocador digital como o iPod pode apresentar. Só para se ter uma idéia, um chaveiro com 1 GB de capacidade custa menos de R$ 200 no Brasil
Segundo Antunes, a maioria das empresas não toma medidas restritivas quanto às portas USB por puro desconhecimento. "Os gerentes de tecnologia estão mais acostumados aos problemas com vírus e ataques de hackers", explica.
"O grande problema da segurança no ambiente corporativo é que, como no caso dos vírus, hackers e outras falhas, o problema das portas USB só é resolvido a reboque, de forma reativa", alerta Carlos Affonso, diretor da filial de São Paulo da consultoria de segurança Módulo.
Uma saída para as companhias que querem proteger dados sensíveis é criar restrições quanto ao uso destas entradas nas máquinas. "Uma alternativa para as empresas é alterar as propriedades das portas USB nos micros, para que os usuários só possam copiar arquivos para os micros, mas sejam proibidos de copiar qualquer coisa do PC para outro dispositivo", diz Gustavo Montesdioca, gerente de contas técnicas da Trend Micro.
Entrada de vírus
O roubo de dados não é, claro, o único problema associado às portas USB. Conforme os pen drives e discos removíveis são usados em vários micros no ambiente externo, podem ser também uma porta de entrada para programas espiões e vírus.
"É por conta disso que a simples barreira do Windows, de travar a gravação de dados pode não ser suficiente para garantir a integridade das redes empresariais. Pode ser necessário usar uma camada adicional de software, só para monitorar o que a pessoa faz nas portas USB dos micros", diz Antunes.
Também existe a opção de bloquear totalmente as portas USB, mas isso implicaria em também abrir mão do benefício de poder conectar a grande variedade de acessórios que usam a conexão.
"Uma coisa é certa, o controle das portas USB nas organizações é inevitável em grandes corporações, especialmente aquelas em que a informação é um ativo mais sensível, como no setor financeiro ou de projetos", afirma Antunes. Segundo ele, já existem soluções de software que geram um registro do uso das portas USB, possibilitando monitorar o acesso a dados sigilosos e outras informações de valor.
Mas isso também só adianta se a empresa empreender algum tipo de controle. "Não adianta nada registrar as atividades se a empresa não fizer algum tipo de auditoria", comenta Affonso. Mas ele acrescenta que é melhor ter esse trabalho a arriscar deixar desprotegidos os acervos digitais das companhias.
Fonte:www.estadao.com.br
A maioria delas, com exceção de poucas companhias de vanguarda na área financeira, não faz qualquer tipo de monitoramento ou bloqueio destas conexões. "Com um iPod e um ambiente desprotegido, dá para copiar todo o backup de um servidor em questão de minutos", alerta José Antunes gerente de engenharia da empresa de segurança McAfee.
Se isso serve de consolo, as organizações brasileiras estão em pé de igualdade com a base aérea de Bagram, no Afeganistão, como flagrou o repórter Paul Watson. Em reportagem publicada no jornal Los Angeles Times, ele descreve como encontrou pen drives à venda em bazar próximo à base aérea, contendo informações de agentes norte-americanos em ação no país.
Segundo o relato, os pequenos chaveiros de memória haviam sido roubados na própria base e estavam à venda por cerca de US$ 40, praticamente o preço do hardware, sem levar em conta o valor da informação contida nos dispositivos.
Nos EUA, o relato causou furor e uma série de matérias com o foco: como proteger as organizações dos riscos associados às portas USB contidas nos micros das empresas e prevenir o roubo de informações.
Capacidade
O roubo de dados por meio de agentes internos não é novidade para o mundo empresarial. Quando o disquete de 3,5 polegadas era a mídia mais comum para transporte de dados, já havia soluções que barravam seu funcionamento impedindo um usuário de copiar dados sigilosos.
É bem verdade, que os 1,44 MB de então nem se comparam ao estrago que 1 GB de capacidade de um pen drive (os chaveiros de memória) ou aos 60 GB que um tocador digital como o iPod pode apresentar. Só para se ter uma idéia, um chaveiro com 1 GB de capacidade custa menos de R$ 200 no Brasil
Segundo Antunes, a maioria das empresas não toma medidas restritivas quanto às portas USB por puro desconhecimento. "Os gerentes de tecnologia estão mais acostumados aos problemas com vírus e ataques de hackers", explica.
"O grande problema da segurança no ambiente corporativo é que, como no caso dos vírus, hackers e outras falhas, o problema das portas USB só é resolvido a reboque, de forma reativa", alerta Carlos Affonso, diretor da filial de São Paulo da consultoria de segurança Módulo.
Uma saída para as companhias que querem proteger dados sensíveis é criar restrições quanto ao uso destas entradas nas máquinas. "Uma alternativa para as empresas é alterar as propriedades das portas USB nos micros, para que os usuários só possam copiar arquivos para os micros, mas sejam proibidos de copiar qualquer coisa do PC para outro dispositivo", diz Gustavo Montesdioca, gerente de contas técnicas da Trend Micro.
Entrada de vírus
O roubo de dados não é, claro, o único problema associado às portas USB. Conforme os pen drives e discos removíveis são usados em vários micros no ambiente externo, podem ser também uma porta de entrada para programas espiões e vírus.
"É por conta disso que a simples barreira do Windows, de travar a gravação de dados pode não ser suficiente para garantir a integridade das redes empresariais. Pode ser necessário usar uma camada adicional de software, só para monitorar o que a pessoa faz nas portas USB dos micros", diz Antunes.
Também existe a opção de bloquear totalmente as portas USB, mas isso implicaria em também abrir mão do benefício de poder conectar a grande variedade de acessórios que usam a conexão.
"Uma coisa é certa, o controle das portas USB nas organizações é inevitável em grandes corporações, especialmente aquelas em que a informação é um ativo mais sensível, como no setor financeiro ou de projetos", afirma Antunes. Segundo ele, já existem soluções de software que geram um registro do uso das portas USB, possibilitando monitorar o acesso a dados sigilosos e outras informações de valor.
Mas isso também só adianta se a empresa empreender algum tipo de controle. "Não adianta nada registrar as atividades se a empresa não fizer algum tipo de auditoria", comenta Affonso. Mas ele acrescenta que é melhor ter esse trabalho a arriscar deixar desprotegidos os acervos digitais das companhias.
Fonte:www.estadao.com.br
URL Fonte: https://totalsecurity.com.br/noticia/1456/visualizar/
Comentários