Acelerando a cibersegurança

Na apresentação “Acelerando a cibersegurança” foram dadas a conhecer as potencialidades de operações rápidas e automatizadas com recurso a API’s, neste caso em tecnologias Check Point, disponíveis há bastante tempo e sem qualquer custo adicional, mas surpreendentemente desconhecidas da grande maioria de administradores de cibersegurança.

E a surpresa começa logo no facto de, desde sempre, ser conhecido um fenómeno de desperdício de valiosíssimos recursos, por desconhecimento da sua existência, mesmo em ativos operados por técnicos altamente especializados.

O desafio

Qual a utilidade de operações controladas por API (Application Programming Interface) na gestão da cibersegurança? Volume, repetição e previsibilidade são palavras-chave para o desafio, onde encontraremos tarefas como: executar operações em lote no ambiente; implementar de forma transparente uma nova gateway, sistema virtual ou uma VLAN; implementar novos pacotes de software em todo um extenso ambiente ou mesmo executar uma cadeia de instruções (script) sem necessidade de elevar privilégios.

Serão todas elas indispensáveis e úteis? À luz do esforço das operações, provavelmente não. Mas, face à velocidade de resposta requerida na prevenção de ciberameaças? Absolutamente indispensáveis e um verdadeiro game changer!

Como tudo começou

Os mais desatentos poderão pensar que se fala das mais recentes inovações. Mas não! Incrivelmente falamos de APIs em soluções Check Point, algumas disponíveis há oito anos, como as relativas à gestão (desde a versão R80, março 2016) ou das gateways (desde a versão R80.10, março 2017).

Mais recentemente, na versão R81.20, surgiria também uma outra abordagem denominada “GAiA API Proxy”, na versão R81.20, que introduziria um conjunto de 20 diferentes módulos para CloudGuard (3), Quantum (8), Harmony (4) e Infinity (5), cobrindo a prevenção de ameaças, IoT, aprovisionamento zero-touch, identity awareness, cloud, email e colaboração, mobile, XDR e XPR, eventos e threat hunting, entre muitos outros.

Como usar

Se numa fase inicial será possível utilizar linha de comando (CLI tools), web services (REST API) ou Postman (Collection), fará sentido evoluir depois para outros níveis de automação e orquestração, recorrendo a plataformas como a Ansible ou o Terraform, compondo ou reutilizando playbooks, entre outras opções.

Nenhuma destas opções implica o desenvolvimento a partir do zero, existindo já no caso do Ansible qualquer coisa como 266 módulos pré-desenvolvidos para a gestão e 77 módulos para as gateways, proporcionando:

Redução do tempo de análise de incidentes, ao coletarem dados de ameaças a partir de várias fontes sem intervenção humana;
Automatização da resposta a incidentes, com transparente acionamento de políticas de mitigação em firewalls de nova geração;
Automatização de tarefas de rotina, reduzindo o tempo de execução de tarefas de manutenção em infraestruturas alargadas e distribuídas;
Melhoria da velocidade e da agilidade, com o rápido aprovisionamento de firewalls físicas ou virtuais de nova geração;
Confiança nas configurações, aplicando as políticas de cibersegurança pretendidas, de forma simples e consistente.

O mundo real

Do mundo real podem ser trazidos alguns exemplos, como a criação de comunidades de VPN e a sua operacionalização, a adição de utilizadores sem necessidade de escalar privilégios ou a alteração de rotas. Tarefas que podem e devem ser simplificadas, aceleradas e, consequentemente, automatizadas.

Conselhos práticos

As expectativas são base fundamental no sucesso ou insucesso de qualquer iniciativa. Convém deixar claro o que se pode ou não esperar destas ferramentas:

As API de Management e GAiA são bastante completas. Muitas das outras apenas estão agora a debutar;
Ansible e Terraform são ferramentas muito práticas. Lembre-se que não tem de ser um programador!
Ansible Vault deve ser usada para proteção da password da conta de utilizador de serviço, em vez de texto em claro nos scripts;
Os playbooks Ansible não apagam nada. Simplesmente sobrescrevem os que se deve manter ou permanecem silenciosos;
Gestão de sessões: não se esqueça de publicar! A SmartConsole pode ajudar a publicar ou descartar as sessões que possam estar presas;
Acerca do VSX: adicionar, remover ou reconfigurar nós num cluster, são processos simples. Para adicionar um novo “Virtual System” use um Ansible Playbook que se ligue por SSH e corra o “vsx_provisioning tool”;
Operações com admins devem usar sessões dentro do domínio do “System Data” para que possam ser executadas.

Por fim, importa relembrar que de novas iniciativas nascem novas fragilidades, sendo por isso fundamental assegurar que os próprios acessos às API são convenientemente securitizados.

Em conclusão

Mesmo antes de chegar a democratização das ferramentas de nova geração, que trarão inegavelmente um potencial único e disruptivo, há já seguramente um longo caminho a percorrer para aproveitamento da capacidade, das ferramentas instaladas e nunca aplicadas.

Que este artigo seja o “gatilho” para que muitas das potencialidades destas ferramentas de cibersegurança sejam finalmente utilizadas! A Securnet é Check Point Elite Partner e foi a primeira empresa nacional a fazer uma apresentação num CPX! Contacte a Securnet, veja os exemplos referidos em ação e tire o melhor partido de toda a capacidade instalada na sua organização!

Conteúdo co-produzido pela MediaNext e pela Securnet