Defesa em profundidade para um computador

A defesa de rede é normalmente ensinada para organizações: um centro de operações de segurança a vigiar o tráfego de toda uma empresa. As ideias subjacentes aplicam-se igualmente bem a um único Mac, reduzidas à escala de uma pessoa a fazer a vigilância. Esta lição estabelece os conceitos sobre os quais o resto do curso se constrói.

Defesa em profundidade: nenhuma camada isolada é de confiança

A defesa em profundidade significa organizar várias proteções independentes para que uma falha isolada não deixe a máquina exposta. Num só Mac, as camadas são estas: o próprio sistema operativo (atualizado, com serviços desnecessários desligados, abordado no curso de reforço do macOS deste site), um firewall a controlar que ligações são permitidas de entrada e de saída, as contas e privilégios de que um programa precisaria para causar dano real, e finalmente a sua própria atenção ao que parece invulgar. Nenhuma delas é suficiente por si só. Um Mac desatualizado mas bem protegido por firewall ainda pode ser comprometido através de uma app vulnerável; um Mac totalmente atualizado mas sem firewall nenhum ainda pode vazar dados para o que quer que uma app decida enviar.

A matriz D3FEND do MITRE, construída em conjunto com a Direção de Cibersegurança da NSA, organiza precisamente este tipo de pensamento em camadas em categorias nomeadas de técnicas defensivas: reforçar um sistema, detetar atividade suspeita, isolar o que está comprometido, e eventualmente expulsar um atacante e restaurar o funcionamento normal. Foi escrita para grandes organizações a comparar ferramentas e técnicas, mas as categorias mapeiam-se claramente para um único Mac: o curso de reforço do macOS deste site aborda o reforço, este curso aborda a deteção e o isolamento, e nada disto depende de possuir uma grande equipa de segurança para ser útil a uma escala mais pequena.

Minimizar a exposição: a superfície de ataque, do lado da rede

A ideia complementar à defesa em profundidade é minimizar a exposição: reduzir o que é alcançável, e o que consegue alcançar para fora, à partida. O curso de reforço do macOS aborda isto a partir de dentro da máquina, fechando serviços e portas; a defesa de rede aborda a mesma ideia a partir do próprio tráfego, decidindo que ligações deveriam sequer existir. Um serviço que nunca é ativado não pode ser atacado pela rede; uma ligação que nunca é permitida não consegue exfiltrar dados, entregar uma carga maliciosa, ou receber instruções de um atacante.

Privilégio mínimo, aplicado ao tráfego de rede

O privilégio mínimo é normalmente descrito em termos de contas: dar a um utilizador ou processo apenas o acesso de que precisa, nada mais. A mesma lógica aplica-se às ligações de rede. Uma app de meteorologia não tem nenhuma razão legítima para falar com um domínio num país onde os seus servidores não estão; um editor de texto não tem nenhuma razão legítima para fazer ligações de rede de todo. O tráfego que não corresponde ao que uma app deveria estar a fazer vale a pena questionar, da mesma forma que uma conta a tentar fazer algo fora do seu papel valeria.

Negação por defeito, e o que custa

Uma abordagem de negação por defeito bloqueia tudo exceto o que foi explicitamente permitido; a permissão por defeito bloqueia apenas o que foi explicitamente identificado como mau. A negação por defeito é a postura mais forte em princípio, já que não depende de já conhecer uma ameaça, mas tem um custo real e inevitável: algo de que realmente precisava também será ocasionalmente bloqueado, e tem de o notar e corrigir você mesmo. Um cliente de e-mail que de repente não consegue verificar novas mensagens, ou um controlador de impressora que não encontra a impressora, é normalmente a negação por defeito a fazer exatamente aquilo para que foi configurada, num momento que é irritante em vez de útil.

Esta contrapartida é o motivo pelo qual os firewalls de negação por defeito tendem a perguntar, em vez de decidir silenciosamente, da primeira vez que uma app tenta ligar-se: quem usa a máquina é muitas vezes o único que consegue dizer se uma determinada ligação é esperada. A próxima lição aborda as ferramentas específicas no macOS que lhe permitem aplicar a negação por defeito em diferentes níveis, de uma única app a toda a pilha de rede.