Defesa em profundidade para um único computador

A defesa de rede costuma ser ensinada para organizações: um centro de operações de segurança observando o tráfego de uma empresa inteira. As ideias por trás disso se aplicam igualmente bem a um único Mac, reduzidas à escala de uma pessoa fazendo a observação. Esta aula estabelece os conceitos sobre os quais o resto do curso se constrói.

Defesa em profundidade: nenhuma camada isolada é confiável sozinha

Defesa em profundidade significa organizar várias proteções independentes, de modo que a falha de uma não deixe a máquina exposta. Em um único Mac, as camadas são assim: o próprio sistema operacional (atualizado, com serviços desnecessários desativados, abordado no curso de fortalecimento do macOS deste site), um firewall controlando quais conexões são permitidas de entrada e de saída, as contas e privilégios de que um software precisaria para causar dano real, e, por fim, sua própria atenção ao que parece incomum. Nenhuma delas é suficiente sozinha. Um Mac desatualizado, mas bem protegido por firewall, ainda pode ser comprometido por um aplicativo vulnerável; um Mac totalmente atualizado, mas sem nenhum firewall, ainda pode vazar dados por qualquer coisa que um aplicativo decida enviar.

A matriz D3FEND do MITRE, construída em conjunto com a Diretoria de Segurança Cibernética da NSA, organiza exatamente esse tipo de pensamento em camadas em categorias nomeadas de técnicas defensivas: fortalecer um sistema, detectar atividade suspeita, isolar o que está comprometido e, eventualmente, expulsar um atacante e restaurar a operação normal. Ela foi escrita para grandes organizações comparando ferramentas e técnicas, mas as categorias se aplicam perfeitamente a um único Mac: o curso de fortalecimento do macOS deste site cobre o fortalecimento, este curso cobre a detecção e o isolamento, e nada disso depende de ter uma grande equipe de segurança para ser útil em uma escala menor.

Minimizar a exposição: a superfície de ataque, pelo lado da rede

A ideia complementar à defesa em profundidade é minimizar a exposição: reduzir o que é alcançável, e o que consegue alcançar para fora, desde o início. O curso de fortalecimento do macOS cobre isso de dentro da máquina, fechando serviços e portas; a defesa de rede cobre a mesma ideia a partir do próprio tráfego, decidindo quais conexões deveriam sequer existir. Um serviço que nunca é ativado não pode ser atacado pela rede; uma conexão que nunca é permitida não consegue exfiltrar dados, entregar uma carga maliciosa, nem receber instruções de um atacante.

Privilégio mínimo, aplicado ao tráfego de rede

O privilégio mínimo costuma ser descrito em termos de contas: dar a um usuário ou processo só o acesso de que precisa, nada mais. A mesma lógica se aplica a conexões de rede. Um aplicativo de previsão do tempo não tem motivo legítimo para falar com um domínio em um país onde seus servidores não estão; um editor de texto não tem motivo legítimo para fazer conexões de rede de forma alguma. Tráfego que não corresponde ao que um aplicativo deveria estar fazendo vale a pena questionar, da mesma forma que se questionaria uma conta tentando fazer algo fora do seu papel.

Negar por padrão, e o que isso custa

Uma abordagem de negar por padrão bloqueia tudo, exceto o que foi explicitamente permitido; a de permitir por padrão bloqueia só o que foi explicitamente identificado como ruim. Negar por padrão é, em princípio, a postura mais forte, já que não depende de já conhecer uma ameaça, mas tem um custo real e inevitável: algo de que você realmente precisava também será bloqueado ocasionalmente, e você mesmo precisa perceber e corrigir isso. Um cliente de e-mail que de repente não consegue verificar novas mensagens, ou um driver de impressora que não encontra a impressora, geralmente é o negar por padrão fazendo exatamente o que foi configurado para fazer, em um momento que é irritante em vez de útil.

Essa troca é o motivo pelo qual firewalls de negar por padrão costumam perguntar, em vez de decidir silenciosamente, na primeira vez que um aplicativo tenta se conectar: quem está usando a máquina costuma ser o único que consegue dizer se uma determinada conexão era esperada. A próxima aula cobre as ferramentas específicas do macOS que permitem aplicar o negar por padrão em diferentes níveis, de um único aplicativo até toda a pilha de rede.