Sutilezas da segurança – entrevista com Cássio Alcântara da Websense

Ainda bem que existem cerca uma dúzia de empresas que se dedicam profunda e seriamente ao tema segurança. Dentro deste bem-vindo grupo encontra-se a Websense, empresa fundada em 1994 e sediada em San Diego, California que já atua no Brasil há alguns anos. Tive a oportunidade de conversar com Câssio Alcântara, gerente regional de vendas Brasil e nesta ocasião ele contou muito da empresa e das como deveríamos nos prevenir contra as inúmeras ameaças existentes. Foi uma conversa bem longa que me permitiu transcrever esta entrevista que apesar do tamanho ficou muito rica em casos, exemplos, dicas, etc.

figura01 – Cássio Alcântara – gerente regional de vendas Brasil da Websense

Xandó : Cássio é um prazer poder conversar com você! Gostaria de saber sobre a origem da empresa, seus primeiros produtos, serviços, etc.

Cássio : Nós já temos muitos anos no mercado (quase 20). No começo nós éramos integradores, instalávamos firewall e antivírus. E nesta ocasião nós percebemos uma demanda crescente por “classificação de conteúdo”. Havia muito conteúdo pornográfico aparecendo e as empresas não queriam que seus funcionários tivessem acesso a este tipo de conteúdo. Na ocasião nós desenvolvemos um produto que tinha apenas uma categoria, pornografia e nós fazíamos apenas o bloqueio de acesso. Com o crescimento da Internet foram surgindo necessidades de ampliar as categorias como e-commerce, Internet banking, etc. Atualmente nós temos 97 categorias para classificar conteúdo. Até o momento que a Internet tinha apenas conteúdo estático nós fazíamos esta classificação em nosso laboratório e enviámos periodicamente para nossos clientes esta base de dados (atualizações incrementais). Era mais simples porque a URL que o cliente enxergava era a mesma que nós também enxergávamos.

Xandó : Mas a Internet se tornou dinâmica, como foi atuar nesse contexto?

Cássio : Complicou porque aquilo que o cliente vê não é mais o que nós vemos em nosso laboratório. E com a chegada da Web 2.0 também chegaram as redes sociais. Nós vemos a rede social como uma Internet dentro da Internet. E hoje passamos por algo semelhante ao início da Internet quando ao entrarmos nas empresas podíamos constatar que algumas pessoas tinham acesso à Web e outras não e hoje a discussão é “abro acesso para redes sociais ou não abro?” e “se abro para quem?”. Isso porque a imensa maioria das ferramentas existentes permanecem sendo filtros de URL e assim a opção é conferir acesso para alguém ou não e se abre o acesso abre completamente. Se você olhar a rede social como a Internet dentro da Internet lá dentro você vai ter páginas com uma imensa diversidade de conteúdo, páginas adultas, publicidade, violência, assuntos diversos inapropriados. Assim se certa ferramenta olha para a URL e apenas usa sua classificação, rede social, e bloqueia ou libera, ao liberar abre acesso a toda a diversidade de informações do tamanho de uma Internet. Assim não está sendo controlado o conteúdo. Nós temos como liberar o facebook, mas bloquear jogos, bem como uma pessoa pode ler publicações dos outros, mas não pode curtir nem comentar enquanto outra pode comentar. Temos grande granularidade na monitoração e controle.


Xandó : Isso me parece um problema bem, grande e não imagino como resolver! A Websense atacou e resolveu este problema?

Cássio : Nós pegamos toda essa inteligência e colocamos dentro de uma “caixa” (um dispositivo), entregamos na porta do usuário (sua rede) e ele vira o Proxy da rede. Assim consigo fazer uma análise em tempo real a cada acesso na rede da empresa. Por exemplo eu faço um acesso a rede social, o sistema verifica se o Cássio pode acessar. Como pode ele é liberado para continuar. Mas neste exato momento o conteúdo dessa página da rede social é de teor adulto. Novamente o sistema é acessado para saber se o Cássio pode acessar conteúdo adulto.

Xandó : Então você consegue se valer daquela sua classificação de conteúdo, as tais 97 categorias que antes filtravam URLs para filtrar acessos dentro do contexto da rede social. É isso?

Cássio : Isso mesmo, como o conteúdo é dinâmico a categorização e análise é feita sobre cada página acessada independentemente da URL. Soluções tradicionais impõem barreiras de contenção como antivírus, firewall, etc. Independentemente do usuário que está acessando estas barreiras são fixas, estáticas. Barreiras fixas não funcionam mais para as empresas porque os interesse e necessidades são muito diversos. O marketing precisa ter uma visão e proteção, o financeiro outra, o chão de fábrica outra e assim por diante. Cada área (ou pessoas) precisam de barreiras com tamanhos variáveis enquanto no caso da barreira fixa alguns terão mais restrições do que deveriam e outras menos que podem afetar desde a produtividade de certa área (por limitar demais acessos) e principalmente aspectos de segurança. Isso tudo atuando em grupos de usuários ou até em alguns casos individualmente.

Xandó : Mas e do outro lado, os eventuais ataques que vem de fora para dentro, como lidar com isso?

Cássio : Antigamente os ataques também eram fixos. Um cenário era criado e este chegava a um imenso número de pessoas e alguns caiam. Hoje os ataques são direcionados. A pessoa recebe algo sobre um assunto que esperaria receber, mas é uma ameaça hoje conhecida como “spear phishing”. Outro dia eu recebi um e-mail avisando que o sistema SEM PARAR (cobrança eletrônica de pedágio e estacionamentos) tinha começado a multar as pessoas e eu tinha sido multado e se quisesse ver a multa deveria clicar no link do e-mail. Outro exemplo, e-mails enviados supostamente em nome do LINKEDIN (rede social para networking profissional) com supostos links para convites ou mensagens de pessoas. Também farsa que aponta para link malicioso. Analisando friamente isso é um tráfego normal para um firewall, para um antivírus, etc. Só que você precisa ter uma ferramenta que olha para aquele link e analisá-lo em tempo real.

Xandó : Mas este tipo de ameaça não seria detectada na hora de chegada do e-mail com o link malicioso?

Cássio : Não. Alguns ataques fazem estes e-mails chegarem às caixas postais no domingo de tarde ou de noite. Neste momento o link apontado ainda não contém ameaça. Ele passa pelo firewall ou mesmo por algum sistema de AntiSpam ou de proteção do servidor de e-mails da empresa. Mas na madrugada da 2ª feira a ameaça é inserida naquela URL e todas as pessoas que clicarem, se não tiverem um sistema de proteção em tempo real correm o risco de serem infectadas ou invadidas.

Xandó : Impressionante a sutileza e sofisticação deste tipo de ataque!! Mas quem faz esta proteção? O appliance ou algum software cliente instalado nos computadores da empresa?

Cássio : Nosso appliance faz, de forma centralizada porque todos os acessos passam por ele. Nós classificamos todo e qualquer acesso que seja feito de dentro para fora da rede. Se você analisar com cuidado verá que um antivírus segura apenas entre 30% e 50% de todas as ameaças que estão na Internet. Os outros 50% são o que nós chamamos de “ameaça do dia zero” que são ameaças baseadas em algo já conhecido que que já exista vacina. É algo como um script diferente rodando dentro de uma página que para o antivírus e o firewall é tráfego normal, mas nossa ferramenta vai olhar, analisa o comportamento da página e a partir disso descobre que aquilo é um ataque.

Xandó : Mas isso tira o mérito e a necessidade das outras soluções como firewall e antivírus?

Cássio : Não. Imagine que firewall, antivírus, antimalware são como vários portões que você põe na sua casa e têm sua importância. Mas essas ameaças modernas são como se alguém pegasse um envelope, conta uma história “bonitinha” e pede dados pessoais e até número de cartão de crédito, passa por baixo de todos os seus portões, alguém lá do outro lado olha aquilo, cai nessa história, preenche os dados e devolve por debaixo da porta. E assim a informação foi embora para ser usada pelo atacante. Inclusive nossa ferramenta incorpora também recursos de DLP (Data Loss Prevention – prevenção contra perda de dados) que é para evitar o sétimo estágio de um ataque que é o vazamento da informação.

Xandó : Juntando o cenário todo, imaginemos que o usuário clicou naquele link do e-mail do Linkedin que foi recebido “limpo”, mas em algum momento se tornou malicioso. Nesta hora esta solução vai procurar aquela URL em um banco de dados existente ou vai fazer uma análise em tempo real?

Cássio : Ele faz as duas coisas. Ao olhar o banco de dados se encontrar referência à ameaça já bloqueia ali mesmo. Caso contrário ele parte para análise em tempo real usando mais de 10 mil analíticos presentes tanto no aspecto de classificação como segurança. Isso é algo tão importante para a segurança que em algum tempo não fará mais sentido usar cache porque o conteúdo muda tanto! Essa inteligência também se encontra em nossa solução de AntiSpam que aproveita este recurso de análise de Web para avaliar os links dos e-mails.

Xandó : Mas usuários devidamente conscientizados não deveriam ser capazes de evitar estes tipos de ameaças?

Cássio : Não existe usuário suficientemente preparado para lidar com os tais “spear phishing” por serem ataques direcionados e o usuário esperar receber e-mails sobre aquele assunto. Um exemplo interessante, a pessoa se hospedou em certo hotel e recebe tempos depois uma propaganda deste hotel. Algum tráfego daquela pessoa se comunicando com foi interceptado, fizeram um e- mail de spam direcionado para ele (ou um grupo de pessoas com o mesmo tráfego). Como ele pode desconfiar que aquilo é um phishing e não abrir??

Xandó : Vou te contar uma história que tem a ver com isso que você está me falando. Há 2 anos eu recebi uma carta (papel) do Citibank. Eu tenho uma conta neste banco, conta que está parada, mas tenho a conta. A tal carta solicitava que um procedimento de recadastramento e confirmação dos dados fosse feito. Mas era algo complicado e chato, eu teria que preencher um formulário de próprio punho, etc. Deixei a carta de lado em uma gaveta para olhar isso depois. Uma semana mais tarde eu recebi um e-mail dizendo “como nossos clientes relataram dificuldades no procedimento de reconfirmação dos dados nós criamos uma formulário que pode ser preenchido online e assim simplificar o processo”. Havia uma URL para ser clicada, e-mail com toda identidade visual do Citibank respeitada (bem como fora a carta). Eu já ia clicando para resolver o assunto da forma mais simples, mas como tinha um assunto ligado a cartão de crédito para resolver liguei para o banco e perguntei do tal recadastramento. ERA FALSO!!  Alguém deve ter se apropriado da relação clientes (ou parte deles) e teve o trabalho de mandar a carta antes, que seria o “legitimador” do e-mail. Eu jamais teria acreditado de imediato no e-mail, mas com a carta antes... Olhe o que é um ataque direcionado!! Como pode ser sofisticado!!

Cássio : Este é o problema, a sofisticação ficou muito grande!! Você não pode contar com que o usuário descubra isso sozinho. Nossa ferramenta entra exatamente nesta zona nebulosa entre ser realidade ou não alguma informação que o usuário está recebendo e evitar que ele seja direcionado a locais potencialmente muito perigosos. Mesmo um usuário bem consciente, que passe o mouse por sobre a URL e veja que o endereço é estranho ou composto apenas por um endereço IP (um dos elementos que denuncia – mas não o único), ao fazer este acesso por um smartphone ou tablet, não terá este recurso e portanto é mais facilmente iludido.
 

Xandó : Mas recursos de mobilidade são intrinsecamente menos seguros?

Cássio : Eu acho que as pessoas usam recursos de mobilidade de forma errada. Saem clicando em tudo. Eu uso mobilidade para ganhar tempo quando estou perdendo tempo: em um taxi, esperando um avião no aeroporto, em uma sala de espera de um médico... As pessoas usam o smartphone o dia todo, o tempo todo. Entram no elevador de suas casas já saem olhando os e-mails e clicando. Eu não uso este recurso para tirar o meu tempo de descanso e sim para ganhar tempo. E o que é pior, sem o nível de segurança que você teria em um computador dentro da empresa. Apesar de poucas pessoas analisarem links passando o mouse por cima isso ainda é melhor que dispositivos móveis.

Xandó : aquele tipo de ataque que visava apenas entrar e tomar conta, isso não existe mais, certo? O foco é obter ganho financeiro roubando informações ou dinheiro mesmo...

Cássio : Com certeza!! Mas em pequena escala existem ataques muito diferentes. Recentemente um fulano invadiu um sistema de câmeras de segurança e assustava crianças falando palavrões. Ou o outro que conseguiu hackear alguns dos telões da Times Square em Nova Iorque. Também o caso do Japão onde criaram uma tampa de privada automatizada e alguns indivíduos descobriram um jeito de hackear a tal tampa e infernizar as pessoas. É importante contar estes casos porque o usuário comum fica pensando “porque alguém iria querer invadir a minha máquina, o que tem lá de importante?”. Eu pergunto, o que tem uma privada de importante? A resposta é simples, porque eles podem, tentam e por diversão ou para se mostrar, pelo prazer de fazer. E conseguem.

Xandó : E o outro lado, dos ganhos financeiros?

Cássio : É assustador. Realmente o que se intenciona são os ganhos financeiros. Alguns montam redes Botnet (redes de computadores escravizados pelos hackers) que são vendidas para realizar ataques. Quando uma máquina é invadida e é colocado um keylogger (programa que captura tudo que é digitado e envia para o atacante) o que se deseja é capturar senhas de bancos e informações que possam render ganhos financeiros. Eles não querem mais se mostrar e sim entrar nos computadores e ficar lá quietinhos à espreita. Hoje isso é uma “profissão”!!

Xandó : eu sei que existem aqueles que desenvolvem o malware, outros especializado em mandar o spam, outros que vendem informação capturada, os laranjas que recebem o dinheiro... É uma indústria criada para isso!

Cássio : Este lado evoluiu muito. Mas os recursos de segurança são quase os mesmos nos últimos dez anos. As pessoas acham que estão seguros com firewall e antivírus, mas não estão. Somente ataques de força bruta são contidos por estas medidas. Mas hoje em dia a invasão é na inteligência. Veja o seu próprio exemplo, ele te mandou uma carta e depois um e-mail para te convencer a entrar na história dele.

Xandó : O que mais as pessoas deveriam dar atenção? Há outros tipos de fragilidades pouco consideradas?

Cássio : tempos atrás eu estava em um hotel, logo após um evento que fizemos. Conversando com uma pessoa da nossa assessoria de comunicação eu disse que ia mostrar algo para ela. Liguei o bluetooth do meu celular. Descobri que mulher tem mania de usar nome e sobrenome para identificar seu telefone. Em segundos eu achei os nomes completos de 4 mulheres em volta de mim. Pesquisei no Linkedin e achei seus dados logo na segunda tentativa. Vi a foto dela e logo já sabia quem era daquelas a minha volta. Vi que ela tinha estudado na FAAP trabalhava na empresa X. Procurei se ela tinha perfil no facebook. Não só tinha como estava com os dados abertos. Ela tinha feito o checkin informando que ela se encontrava em um treinamento exatamente naquele hotel. Imagine se eu chego para ela e falo “fulana tudo bem com você? Você se lembra de mim? Nós estudamos na FAAP juntos! E você está trabalhando na empresa X, não é? Eu até liguei para lá e me falaram que você iria estar aqui na hora do almoço!”. Ela com certeza vai achar que realmente eu a conheço. Só ligando o bluetooth dentro as sala, veja o estrago que eu poderia ter feito com este punhado de informações facilmente colhidas! Este é um tipo de ataque que nenhuma ferramenta consegue bloquear, pois depende apenas e tão somente da pessoa não se expor em demasia.

Xandó : Mas como minimizar estes riscos? Há alguma forma de controle ou monitoração de dispositivos móveis?

Cássio : Este é um cenário muito delicado. Não apenas smartphones, mas computadores portáteis podem ser retirados da rede da empresa e levados para outros lugares em princípio fora de nosso controle. Por isso nossa solução hoje é híbrida, parte no dispositivo que fica na empresa e parte na nuvem. Assim enquanto ele estiver dentro da rede da empresa ele está sendo protegido pelas políticas do gateway. Ao sair da empresa e o gateway não é encontrado o computador aponta para o sistema de proteção na nuvem e existe na nuvem a mesma política de segurança interna.

Xandó : Nós estamos tendo esta conversa aqui no Starbucks. Ao me conectar ao WiFi daqui o gateway usado pela conexão será aquele do provedor usado pelo Starbucks. Como a proteção entra em ação?

Cássio : O gateway será o do provedor daqui, mas o Proxy não. Nossa solução de baseia nisso. O Proxy é configurado (somente pelo administrador da máquina) para usar nossa solução na rede. Mas além disso um agente é instalado na máquina que ao perceber que não há conexão com o gateway interno ele muda o Proxy para o endereço na nuvem. Este por sua vez, repito, é um espelho de todo o conjunto de configurações e políticas da empresa. Salva uma política na rede ela é imediatamente espelhada na nuvem.

Xandó : isso vale para smartphones e tablets também?

Cássio : no caso de iPhone e iPad nós também podemos dar o mesmo tratamento. Dentro da empresa eles navegam pelo gateway corporativo e fora de empresa a navegação passa obrigatoriamente pelo serviço na nuvem, conferindo a mesma segurança para estes dispositivos.

Xandó : Isso viabiliza o BYID (Bring Your Own Device – traga o seu próprio dispositivo) na organização?

Cássio : veja que coisa, existe um paradoxo neste ponto. Todos falam em BYOD, “tragam o seu próprio dispositivo”, traga seu telefone para mim. Em seguida uma ferramenta de MDM (Mobile Device Management) é instalada no aparelho que trava seu telefone todo. Você diz para o usuário “traga seu telefone aqui que eu vou travá-lo”. Não faz sentido. Nossa ferramenta tem algumas funcionalidades de MDM como exigir uso de senha, controlar uso de câmera e coisas do tipo, mas a função principal é filtrar o acesso deste usuário pela utilização do gateway na nuvem. E podemos definir o perfil do usuário como, sempre filtrar conteúdo e garantir a segurança, mas fora do horário de trabalho e nos finais de semana ele não tem o filtro de conteúdo, apenas as medidas de segurança. Dessa forma, qualquer acesso do aparelho não será associado como uso profissional fora dos horários definidos.

Xandó : você falou em iPhone ou iPad no qual um agente foi instalado no aparelho...

Cássio : trata-se de um agente que fecha uma VPN com nosso serviço na nuvem e por esta VPN na nuvem eu tenho todo o controle. Durante todo o tempo que ele está tutelado pelo sistema suas conexões passam por esta VPN para garantir filtro de conteúdo e proteção. Não interessa onde o usuário está nem o dispositivo que ele esteja usando, conhecendo o dispositivo e ele estando autenticado eu o filtro em todos os níveis seja em um computador dentro da rede, fora da rede ou recurso de mobilidade. Hoje este é o grande problema. Se a pessoa sai da empresa com seu computador ou smartphone ele perde a proteção, mas nós a estendemos para fora do ambiente corporativo com a solução híbrida gateway mais nuvem. Algumas soluções se fundamentam em fechar VPNs com os gateways das empresas. Isso acaba por alocar uma quantidade muito grande de recursos, exige firewalls muito potentes para viabilizar centenas (ou mais) de acessos externos e ainda usam os recursos de filtros internos e o link de Internet na empresa. Isso tudo é muito complexo e consome recursos demais e mesmo que está na rede pode sofrer consequências de lentidão decorrente disso.

Xandó : mas quem fecha VPN com a empresa e quem navega pelo Proxy?

Cássio : quem está dentro da empresa navega via Proxy e quem está fora fecha VPN com o nosso serviço na nuvem e jamais com a empresa. Assim a necessidade recursos dentro da empresa é muito menor comparado com o outro cenário. Para isso nós temos 15 Datacenters no mundo. Onde quer que a pessoa esteja ela será direcionada ao Datacenter mais próximo (menor latência).

Xandó : A solução interna é obrigatoriamente um hardware fornecido pela empresa ou pode ser um appliance virtual entregue já pronto?

Cássio : fornecemos o equipamento já pronto e configurado. Mas temos vários clientes que rodam nossa solução em ambientes como VMware e outros sistemas de virtualização. Não temos hoje o fornecimento do appliance virtual. O cliente pode comprar nosso software e instalar no seu hardware físico ou virtual desde que atenda às especificações. O uso em ambientes virtualizados é interessante porque é muito simples restaurar um backup do ambiente no caso de algum problema, escalar para um hardware mais potente, etc.

Xandó : existe algum caso de cliente aqui no Brasil que você possa comentar?

Cássio : aqui no Brasil temos autorização de divulgar o caso do grupo JBS que tem 10 mil usuários dentro de sua própria rede e vários escritórios pelo mundo. Estes usam o produto via nuvem. Dessa forma todo o gerenciamento é centralizado, não há necessidade de infraestrutura nos locais.

Xandó : o fato de todo o tráfego ser tutelado pelo gateway da empresa ou pelo sistema na nuvem introduz algum tipo de latência ou alguma lentidão que seja percebida pelo usuário?

Cássio : aqui no Brasil havia este problema porque nós não tínhamos Datacenter aqui e por isso todo o serviço de análise de URLs e acesso na nuvem tinha que ser processado em algum Datacenter em outro local no mundo. Infelizmente o nosso backbone de saída para outros locais do mundo não é muito bom. Nós trouxemos um Datacenter para o Brasil exatamente para que todo o tráfego pudesse ser filtrado todo por aqui.

Xandó : quer dizer que antes disso, uma vez que estamos aqui na região do Morumbi, para acessar o site da Rede Globo, assumindo que o Datacenter deles ficasse aqui na região da Berrini, o acesso a este site seria feito pelo seu Datacenter nos Estados Unidos, indo e voltando para alcançar 5 ou 6 quarteirões?

Cássio : Era assim, mas não mais. Aproximadamente há 3 anos o acesso é feito pelo nosso DataCenter aqui no Brasil localizado no Rio de Janeiro e isso permite que navegar em conteúdo do Brasil seja consideravelmente mais rápido que antes. Nós temos muitos clientes só na nuvem e também a solução híbrida (local mais nuvem). Mas cada caso é um caso e nós temos que orientar o cliente. A solução na nuvem é muito boa, mas pode não ser a melhor opção apontar uma empresa com 10 mil usuários toda para a nuvem, por isso a solução interna é também é muito importante. Mesmo nestas grandes empresas temos a solução de nuvem como backup ou contingência, no caso de indisponibilidade do serviço provido pelo nosso appliance a nuvem continua a suprir a necessidade. O objetivo é sempre proporcionar o melhor nível de filtragem possível não importando quem realiza a função nem qual dispositivo está sendo usado.

Xandó : Há pouco você falou em proteção para iPhone e iPad. E outras plataformas como o Android que tem um imenso mercado?

Cássio : estamos para lançar a cobertura também para Android. Mas a grande sacada disso tudo é que nós classificamos em nossos laboratórios 99.99999% (5 noves após o ponto decimal) e no appliance 99% com um falso positivo a cada 400 mil análises. Assim o nível de falso positivo é muito baixo. E um de  nossos diferenciais é que conseguimos classificar Youtube. Não o vídeo em si, mas tudo em torno dele como as tags, título, comentários do vídeo e dessa forma temos como atribuir uma categoria que se de acordo com a política do usuário pode ser visualizado ou não.

Xandó : isso tudo é muito complicado, pois a ferramenta tem que entender vários idiomas como português, inglês, etc.

Cássio : com certeza temos que interpretar e analisar do chinês ao português, todos os idiomas mais usados na Internet. Uma característica importante de nosso desenvolvimento de produto é que inicialmente as diversas empresas de segurança compravam listas negras de alguém enquanto nós mesmos desenvolvemos os nossos algoritmos para análise em tempo real. Quando a Web se tornou dinâmica nós já fazíamos isso em nossos laboratórios. E hoje em dia 80% dos ataques são em sites de boa reputação que em algum momento ficam comprometidos. E como sites surgem toda hora na Internet quem não trabalha com classificação em tempo real teria que manter listas imensas com muitos Terabytes e mesmo assim a maioria dos sites estariam na categoria “não classificados”. Isso sem falar do conteúdo dinâmico. Se por não ter sido previamente classificado adequadamente eu bloqueasse o acesso eu estaria limitando o acesso a praticamente 60% da Internet hoje em dia.

Xandó : e dentro da empresa que no final administra quem pode ver qual tipo de conteúdo?

Cássio : Eu posso criar uma política padrão da empresa, isso feito na implantação junto com a equipe de TI. Essa ninguém mexe. Em seguida a área de Marketing pode escolher quais categorias seus funcionários podem acessar. Nós fazemos isso para criar a cogestão, gestão compartilhada. TI não tem o monopólio da escolha sobre o que o usuário vê. Quem pode ver o que as pessoas podem ver são as áreas, mais RH, Legal e TI junto e não TI sozinha. Dependendo do que ela pode ver pode haver riscos legais, riscos de segurança e dependendo do que ela não vê pode haver prejuízo na rotina de trabalho.

Xandó : isso se aplica também às redes sociais?

Cássio : claro e com um agravante. Tem empresas que declaram “aqui rede social é fechada” e eu insisto que é aberta! Com o advento do smartphone (não gerenciado) a pessoa se quiser usar rede social vai se afastar do seu posto de trabalho e usar seu telefone. Com um agravante. No smartphone ela demora até 6 vezes mais para realizar as ações nas redes sociais em comparação com os computadores. Apenas fechar acesso total às redes sócias e achar que isso ajuda a produtividade é um grande engano pois a pessoa vai para outro local e gasta muito mais tempo nas mesmas atividades. As empresas não têm apenas mais a rodinha do cigarro, mas também a rodinha do facebook. Com a desculpa de fumar ele vai fazer as duas coisas e pior, em vez de fumar um ele fuma dois para dar tempo para terminar a interação social dele nas redes. O assunto é tão sério que em algumas empresas existe um escaninho na entrada da sala de reunião onde está escrito “smartphones e tablets aqui”, não podem entrar.

Xandó : algumas semanas atrás foi aniversário do meu filho adolescente e convidamos cerca de 10 ou 12 pessoas para comemorarmos em uma pizzaria. Certo momento todos estavam com os smartphones nas mãos e eu falei brincando, todos os celulares no centro da mesa, quem pegar o aparelho antes do final paga a conta. Formou-se uma pilha de celulares no centro da mesa, interessante de se ver.

Cássio : mas você sabe o que eles estavam fazendo? Possivelmente compartilhando a festa com outras pessoas. É diferente a forma de pensar. Na nossa geração ao nos sentarmos à mesa com alguém é para dividir com elas aquele momento. A geração atual por sua vez conversa com as pessoas da mesa, tecla com um amigo, conta da festa, falam de outro assunto e possivelmente também falam com alguém que está à mesa, ao seu lado ou na outra extremidade de mesa. E no ambiente da empresa, como você controla uma situação dessas?? Eu como administrador de segurança prefiro dar autorização para ele usar com moderação   no tempo certo este recurso e controlando o que ele faz, sabendo o que ele tecla e o que ele pode fazer do que deixar aberto.
 

Xandó : não entendo de leis, mas li que recentemente foi formada jurisprudência a respeito de conferir o direito da empresa a monitorar comunicações, e-mails, etc. dentro da empresa.

Cássio : não acho que ela pode, ela deve fazer isso! Ela tem que ter as ferramentas que garantam a segurança de acesso e segurança de informação. E-mail ainda existem discussões a respeito, mas acesso Web não há dúvidas de que a empresa pode saber tudo que o funcionário acessa. Uma das coisas que nós conseguimos fazer é restringir ou limitar acesso de comunicação instantânea (Skype, MSN, etc.) inclusive bloqueando a possibilidade de enviar ou receber arquivos. Um de nossos clientes, um banco, usavam o Messenger que supostamente era para falar com clientes, mas eu percebo que ficam falando com amigos o dia todo. Vamos instalar a ferramenta e eu vou determinar um horário de utilização, uma hora antes do início do expediente e uma hora depois do término. Nunca mais ninguém chegou atrasado.
 

Xandó : interessante esta abordagem! Algum outro caso parecido?

Cássio : outro caso interessante é de outra empresa que se discutiu de abria ou não abria redes sociais. Foi decidido que abriria na hora do almoço. Mas porquê? O refeitório não era muito grande e as pessoas tinham o hábito de terminarem o almoço e permaneciam no refeitório conversando, diminuindo a capacidade do refeitório. Com a rede social aberta neste horário as pessoas almoçavam e voltavam para seus lugares para poder aproveitar o tempo e colocar em dia suas redes sociais. Até este tipo de situação acaba sendo considerada no uso de uma ferramenta dessas. Segurança é o mais importante, mas não é apenas isso.
 

Xandó : voltando para aquele assunto do e-mail, imagine que uma empresa tem escaninhos com estoques ilimitados de envelopes e selos. Se o funcionário começar a usar abusivamente os recursos da empresa para suas cartas pessoais, isso não é correto, não acha?

Cássio : a nossa solução de DLP integrada no gateway permite levantar um “incidente” que descreve qual o tipo de vazamento de informação e que informação está vazando sem mostrar o e-mail. Aponta quem mandou o e-mail, quando, para quem e o que era crítico sendo enviado e este tipo de evidência o juiz aceita como prova.
 

Xandó : Este assunto é muito extenso, muito tipo de vazamento ou mal uso de informações pode acontecer.

Cássio : veja outro exemplo interessante. Eu tenho um cartão de crédito corporativo que só pode ser usado para deslocamentos, alimentação e estadias. Se eu entro na página da FastShop e vou comprar uma geladeira. Informo o número do cartão (da empresa). Nossa ferramenta vai perceber que aquele é um número de cartão, checa em seu banco de dados e percebe que é do Cássio. Em seguida a página que está sendo usada é confrontada, no caso a categoria é de compra de eletroeletrônicos. Neste instante o acesso é bloqueado porque eu não posso comprar eletroeletrônicos. Agora imagine que eu estou comprando uma passagem aérea em determinado site. A operação é legal, mas o referido site é ou está malicioso? É checada a veracidade do site (se a URL é correta) e se não há ameaça no site. Este nível de controle todo não existe antivírus que faça e nem mesmo firewall. Existe aqui a integração de inteligência de várias ferramentas. Nós somos especialistas em inteligência de Web e nós integramos isso com e-mail, DLP e mobilidade.
 

Xandó : qual os principais perfis de clientes aqui no Brasil e fora do Brasil?

Cássio : temos clientes em todos os mercados. Desde empresas com 10 usuários até 100 mil usuários. Não existe um perfil exclusivo. Atendemos grandes bancos, governo, clientes pequenos, laboratórios, bancos de investimento, corretoras, concessionária de veículos... Adequamos a solução ao nível de controle que é necessário para aquela operação.
 

Xandó : como as empresas do segmento financeiro lidam com esta parte do produto que opera na nuvem? Nós sabemos que este tipo de negócio é relutante a uso de nuvem para transitar ou conter suas informações.

Cássio : você tem razão, as empresas deste segmento ainda não estão usando a solução híbrida que conta com a inteligência também na nuvem. É um paradigma a ser quebrado por estas empresas. Mas eu te faço uma pergunta. Quando eu mando um e-mail ele vai por onde? Nem você, nem eu e nem os bancos fazem a menor ideia. O e-mail pode passar por 4 hops (ponto de desvio de tráfego na Internet) ou 15 hops e e-mails podem carregar informações confidenciais. É curiosa esta resistência do uso da nossa solução em nuvem para este segmento porque apenas o que passa lá é o tráfego. Por mais recursos que tenhamos em nossa infraestrutura e por mais seguro que seja eles ainda pensam apenas confiam no que eles mesmo fazem, na infra de redundância dele porque se algo ficar indisponível isso pode significar milhões de reais de prejuízo a cada minuto. Além disso estas empresas trabalham de forma bastante centralizada e por isso ainda não faz sentido para eles descentralizar alguns processos. Um grupo como o JBS que têm muitos escritórios de tamanhos pequenos e médios e uma grande sede, a solução na nuvem faz sentido imediatamente.
 

Xandó : isso tudo que estamos falando diz respeito possivelmente a sua solução mais elaborada, mas que outros tipos de produtos a Websense tem para acomodar empresas de portes distintos?

Cássio : nós temos uma linha de produtos que ainda é o filtro estático de conteúdo, adequado para empresas que têm políticas de acesso bem fechadas e restritivas, com filtros definidos pelo usuários (pelas categorias) e nosso laboratório envia para os dispositivos atualizações de listas de URLs perigosas ou maliciosas. Ele dá um bom nível de segurança porque a empresa por princípio não quer abrir muito a Internet. Porém neste tipo de produto se você abrir rede social tudo será acessível. Mas é eficaz para restrição de acessos e também ajuda a conter uso de banda de Internet (pelas restrições a sites ou categorias não desejadas). E temos um ponto muito forte que são os relatórios que podem ser extraídos a partir do uso e bloqueios. Se a empresa quiser e precisar mesmo abrir toda a Internet, mas com controle mais sensível ela vai precisar da solução que faz análise em tempo real, mesmo nas páginas dinâmicas. Essa solução é um Proxy especializado. E nessa situação eu tenho um Proxy que é só interno e outro que é interno e nuvem, a versão híbrida.
 

Xandó : o importante é a sensação de segurança estar no nível da expectativa da empresa usuária. É isso?

Cássio : sim, mas a sensação de segurança é a partir de certo ponto subjetiva. Você se considera seguro aqui neste café que estamos conversando? Um carro não pode ficar desgovernado e entrar por esta porta de vidro na nossa frente? Não existe aqui detector de metais na entrada, um maluco não poderia entrar aqui e sair atirando? Segurança é uma sensação. E você pode se sentir seguro por não ter as ferramentas adequadas e os parâmetros  para dizer que você está inseguro...
 

Xandó : é a sensação de segurança pela ignorância?

Cássio : Isso. Ou você tem uma boa quantidade de ferramentas que te dão todos os indicadores que te mostram que está seguro de verdade. As grandes empresas têm estes indicadores. As empresas de médio e pequeno porte têm a sensação dessa segurança. Estes vão perguntar “porque alguém invadiria a minha rede?”.
 

Xandó : vai invadir porquê? Vai invadir porque ele está na Internet. Tem gente que sai caçando IPs na Internet buscando alguma porta ou vulnerabilidade para depois ver se vale a pena ou não, mas nessa hora o estrago está feito. Isso se não foi um ataque direcionado.

Cássio : para você ter uma ideia, na minha casa eu tenho 3 redes WiFi. Uma de 5 Ghz que eu uso apenas para conectar o meu MAC e de minha esposa. Outra rede de 2.4 Ghz para nossos tablets e meu notebook que é Windows e tenho uma rede para convidados que mesmo assim tem senha forte. Todas as 3 redes têm filtro de conteúdo, cada uma delas têm diferentes níveis de acesso que eu mesmo controlo. Todas as semanas eu analiso os logs e encontro ataques ao roteador e várias tentativas de conexão na minhas redes. Porque alguém tentaria invadir a rede WiFi da minha casa? Vários PORTSCAN, várias tentativas de ataque DDOS (negação de serviço), meus vizinhos tentando entrar na minha rede. E tem quem me pergunte “porque este nível todo de segurança?”. Eu tenho estes indicadores de que falei e por isso sei o quanto isso é importante mesmo na rede de minha casa. Imagine nas empresas. E na casa do meu pai a NET instalou o serviço com o roteador WiFi. Qual a senha do roteador? Quem pode acessar? Tem Firewall ali? Qual a segurança desta instalação? Até tem senha, mas quem criou a senha foi quem instalou... Será que é uma senha padrão? Não sei dizer.
 

Xandó : o que você está falando é como se eu na minha casa instalasse uma série de trancas a mais. Sem as trancas pessoas podem passar ali e eu nem fico sabendo, mas com elas eu posso saber se alguém forçou aqui ou ali e ter consciência destes perigos.

Cássio : E os ataques se repetem na minha rede, direto, toda semana.
 

Xandó : Vários anos atrás eu passei por uma situação muito complicada. Uma empresa para qual eu prestava serviços e que criava soluções para Internet começou a ter seus sites invadidos e pichados (ataque conhecido como defacement). Foi terrível, passei semanas tentando descobrir como tinham entrado e roubado as informações e ao mesmo tempo negociando com o atacante (que deixara um número de ICQ nas telas). Eu até escrevi esta história no texto “Invasão, Destruição e Extorsão”. No final descobri que ele entrara no computador do responsável da empresa e roubara um planilha com todos os dados de acesso, IPs, logins e senhas. Uma brecha no computador da tal pessoa permitiu que um incauto achasse a brecha e usasse a seu favor. Fora um ataque fortuito, não direcionado. Ele atacou e fez o que fez apenas porque havia uma brecha... O fulano se sentia seguro, foi invadido deu no que deu. Acabei fechando tudo, mas foi um trabalhão.

Cássio : toda vez que eu chego em uma cidade eu pergunto “é seguro andar por aqui?”. Se a pessoa diz que sim eu posso me aventurar a caminhar nas redondezas. Agora imagine que chegue um europeu aqui em São Paulo e ele sai a esmo pelas ruas da cidade... Ele por analogia aos locais que ele mora e conhece vai se sentir muito seguro e confortável, mas ele nem desconfia dos perigos que ele está passando. A sensação de segurança é muito perigosa porque ele não tem noção da ameaça. Quando a pessoa recebe de seu provedor um endereço IP ela sai navegando e se expondo sem ter noção do que pode ter de perigos. Eu tenho apenas uma rede social que é o Linkedin. Não compartilho fotos de viagens e nada que eu não saiba a segurança daquele ambiente e quem estará vendo aquilo. Meu Linkedin não tem foto. Quem quiser me contratar só precisa conhecer meu currículo, minha experiência! Eu sou uma pessoa muito reservada neste aspecto. E sou prevenido. Tenho 8 caminhos diferentes para ir e voltar de casa para o trabalho. Não repito nenhuma password em site ou serviço algum e todas têm no mínimo 16 caracteres! Não são palavras, são frases. E na minha casa todas as câmeras (webcam) têm uma fita adesiva tampando. Se apesar de todo cuidado que eu tenho, se entrar um malware que ativa a webcam, não estarei exposto. PC, notebook, tablet e mesmo meu telefone têm a câmera tampada ou sempre virados para baixo.  

Xandó : isso tudo parece loucura e eu te entendo, pois você é profissional de segurança, mas pensando bem é mesmo necessário!

Cássio : minha esposa acha que eu sou maníaco!! Minha rede de casa é mais intrincada e mais protegida que muitas empresas!! Minhas senhas super complexas. Sabe onde é o lugar mais fácil para pegar senhas das pessoas? Em lojas que vendem tablets. As pessoas testam e entram com seus e-mails e apenas fecham o browser. Ao chamar novamente, por exemplo, o Gmail já aparecem os e-mails da última pessoa que usou (ela não fez logoff). Nessa hora não só você vê tudo sobre a pessoa como pode mudar a senha dela... E jamais use WiFi sem senha, pois estes são facilmente monitorados e pessoas podem capturar dados, e-mails e senhas com grande facilidade. Eu só uso o meu próprio modem 3G e ainda fecho VPN com a empresa e obviamente estou protegido pela nossa ferramenta da Websense que falamos sobre ela.
 

Xandó : Fantástica essa nossa conversa!! Eu agradeço muito pela oportunidade e por tantas informações, casos, detalhes sobre produtos, dicas de segurança e também pelo ótimo café!! Até uma próxima oportunidade.