Inventário criptográfico é ponto de partida errado: empresas precisam medir uso, não presença

Inventário criptográfico é uma lista de objetos que existem em disco ou em memória, não uma lista de objetos que protegem algo ativamente. A distinção, defendida pelo CEO da ISARA Corporation, muda como empresas devem avaliar sua postura criptográfica rumo à era pós-quântica.

• Inventário mede presença; risco vive no uso ativo de criptografia

• Quatro fontes de peso morto inflam dashboards e criam falsa completude

  Leia também AWS lança Workload Credentials Provider para automação de segredos e certificados arrow_forward

• O ambiente muda diariamente, tornando snapshots obsoletos em horas

• A pergunta certa é qual criptografia protege qual tráfego agora

• Compradores devem testar fornecedores com perguntas sobre handshakes recentes

O que realmente existe em um inventário criptográfico típico

Ao percorrer o inventário de qualquer grande empresa, o padrão é o mesmo: a maior parte do que está lá é dormente. Aplicações antigas que ninguém desinstalou, certificados arquivados que nunca foram removidos do trust store e chaves privadas de serviços desativados há dois anos ainda ocupam espaço em disco.

Bibliotecas compartilhadas OpenSSL vinculadas a binários chamam apenas primitivas de RSA, ECDH, AES e SHA-2, mesmo quando a biblioteca implementa dezenas de algoritmos criptográficos. O inventário lista tudo o que a biblioteca disponibiliza, mas a maioria dessas primitivas nunca executa.

Esse excesso importa porque a contagem engana. Uma equipe de segurança diante de um dashboard com 12.000 certificados e 47 implementações do mesmo algoritmo se sente sobrecarregada. O número sugere um problema enorme. E o problema é enorme, mas não por causa dos 12.000 objetos.

A questão está no subconjunto muito menor que negocia sessões, assina tokens, estabelece chaves de sessão e criptografa dados em trânsito agora, hoje, com parâmetros fracos ou protocolos obsoletos.

Quatro fontes de peso morto criptográfico

O material dormente em um ambiente típico se divide em quatro categorias. Primeiro, aplicações obsoletas mas não removidas: o binário continua em disco e as primitivas criptográficas compiladas nele aparecem em qualquer varredura. Nada as invoca.

• Aplicações obsoletas mas não removidas: o aplicativo foi aposentado, mas os binários permanecem. As primitivas criptográficas compiladas neles ainda registram no inventário.

• Certificados arquivados: o certificado novo substituiu o antigo, que nunca saiu do certificate store ou dos arquivos de configuração. Em casos raros, pode ser reativado.

• Chaves privadas órfãs: a chave foi gerada para um serviço que não existe mais ou foi rotacionada e a predecessora nunca foi excluída.

• DLLs OpenSSL com primitivas não usadas: a aplicação vincula a biblioteca e chama um subconjunto pequeno de funções. Scanners sinalizam cada primitiva disponível.

O problema dinâmico que o inventário não resolve

Existe uma segunda questão que quebra o inventário como conceito: o que está em uso muda todos os dias. Um novo microsserviço faz deploy com configuração TLS padrão. Uma atualização de biblioteca altera qual primitiva é chamada por padrão. Um certificado novo substitui o antigo e começa a negociar com parâmetros diferentes.

Uma aplicação anteriormente aposentada é reativada para um projeto de migração. Um fornecedor lança um patch que habilita um cipher suite diferente. A criptografia que protegia a rede às 9h não é a mesma que a protege às 17h do dia anterior.

Inventário é um snapshot. O que ele tenta medir é um filme em movimento. Quando a planilha é finalizada, quando a consultoria entrega o relatório e quando o dashboard exibe a contagem, o ambiente subjacente já mudou.

O entregável estático descreve um estado que não existe mais. Por isso, a pergunta certa não é quantos objetos existem, e sim qual criptografia está protegendo qual tráfego, quais sessões e quais dados neste momento, e se algo disso está quebrado.

Do inventário para a postura contínua do que está em uso

A mudança relevante não é do inventário manual para o automatizado. É do inventário para o uso, da contagem para a observação e da presença para o comportamento. Isso exige observar a rede continuamente, medir o que está sendo negociado e adotar uma plataforma que se atualize conforme o ambiente muda.

Inventário diz à equipe de segurança o que ela tem. Uso diz o que está acontecendo. Apenas uma dessas respostas determina se uma porta para violação está aberta.

O que isso significa para compradores de plataformas

Se o primeiro entregável de um fornecedor é um inventário, pergunte o que muda quando um novo serviço entra em produção. Pergunte como o inventário reflete a configuração criptográfica de um handshake TLS que aconteceu há dez minutos. Pergunte quais itens do inventário estão ativamente em uso agora e quais são peso morto.

As respostas separam as plataformas que observam das que contam. A categoria de postura criptográfica será definida pelas plataformas que resolveram o uso. O inventário foi uma hipótese inicial, não o destino.

A pergunta final para times de segurança

Você não tem um problema de inventário criptográfico. Você tem um problema de visibilidade criptográfica. Os dois parecem similares à distância, mas produzem plataformas muito diferentes, e resultados de segurança muito diferentes, quando você se aproxima.

Arraste para o lado para ver toda a tabela.

Na avaliação do Mercado de TI, o argumento de Yamada desloca o foco do esforço inicial: em vez de mapear tudo o que existe, times devem priorizar instrumentar o que executa. É uma mudança de mentalidade com impacto direto em orçamento, priorização e na escolha de ferramentas.

Leia também:

• Cibersegurança A Autorização Não Apenas A Identidade E A Chave Para Proteger A Infraestrutura Critica

• Zero Trust Na Era Da Ia A Maturidade Real Das Empresas Ainda E Rara Em

• Microsoft Oferece Plano Gratuito De Carreira Para Analista De Dados Com Certificação

Fonte: Forbes Technology Council