Um dos mantras da segurança da informação é manter seus sistemas atualizados e atualizados. À medida que os fornecedores aprendem sobre novas vulnerabilidades em seus produtos, seja de pesquisadores terceirizados ou de suas próprias descobertas, eles criam hotfixes, patches, service packs e atualizações de segurança para reparar as falhas.
O Santo Graal para programas maliciosos e criadores de vírus é a “exploração do dia zero”. Uma exploração de dia zero é quando a exploração da vulnerabilidade é criada antes ou no mesmo dia em que a vulnerabilidade é aprendida pelo fornecedor. Ao criar um vírus ou worm que aproveita uma vulnerabilidade da qual o fornecedor ainda não está ciente e para o qual não há atualmente uma correção disponível, o invasor pode causar o máximo de estragos.
Algumas vulnerabilidades são apelidadas de vulnerabilidades de exploração do dia zero pela mídia, mas a questão é zero dia por qual calendário? Muitas vezes, o fornecedor e os principais provedores de tecnologia estão cientes de uma vulnerabilidade semanas ou meses antes de uma exploração ser criada ou antes de a vulnerabilidade ser divulgada publicamente.
Um exemplo gritante disso foi a vulnerabilidade SNMP (Simple Network Management Protocol) anunciada em fevereiro de 2002. Os estudantes da Universidade de Oulu na Finlândia descobriram as falhas no verão de 2001 enquanto trabalhavam no projeto PROTOS, um conjunto de testes projetado para testar o SNMPv1. (versão 1).
O SNMP é um protocolo simples para dispositivos conversarem entre si. Ele é usado para comunicação de dispositivo para dispositivo e para monitoramento e configuração remotos de dispositivos de rede por administradores. O SNMP está presente em hardware de rede (roteadores, switches, hubs, etc.), impressoras, copiadoras, aparelhos de fax, equipamentos médicos computadorizados de última geração e em quase todos os sistemas operacionais.
Depois de descobrir que eles poderiam travar ou desabilitar dispositivos usando seu conjunto de testes PROTOS, os estudantes da Universidade Oulu notificaram discretamente os poderes e a palavra foi enviada aos fornecedores. Todos sentaram-se nessa informação e a mantiveram em segredo até que, de alguma forma, vazou para o mundo que o próprio pacote de testes PROTOS, disponível livre e publicamente, poderia ser usado como código de exploração para derrubar dispositivos SNMP. Só então os fornecedores e o mundo se esforçaram para criar e lançar patches para resolver a situação.
O mundo entrou em pânico e foi tratado como uma exploração de dia zero, quando, na verdade, passaram mais de seis meses desde o momento em que a vulnerabilidade foi originalmente descoberta. Da mesma forma, a Microsoft encontra novos furos ou é alertada sobre novos furos em seus produtos regularmente. Alguns deles são uma questão de interpretação e a Microsoft pode ou não concordar que na verdade é uma falha ou vulnerabilidade. Mas, mesmo para muitos dos que eles concordam, há vulnerabilidades que podem levar semanas ou meses até que a Microsoft lance uma atualização de segurança ou um service pack que solucione o problema.
Uma organização de segurança (Soluções PivX) costumava manter uma lista em execução das vulnerabilidades do Microsoft Internet Explorer que a Microsoft tinha conhecimento, mas que ainda não tinha corrigido. Existem outros sites na web freqüentados por hackers que mantêm listas de vulnerabilidades conhecidas e onde hackers e desenvolvedores de códigos maliciosos trocam informações também.
Isso não quer dizer que a exploração de dia zero não exista. Infelizmente, também acontece com muita frequência que a primeira vez que os fornecedores ou o mundo são informados de um furo é quando fazem uma investigação forense para descobrir como um sistema foi invadido ou ao analisar um vírus que já está se espalhando na natureza para Descubra como funciona.
Se os fornecedores sabiam da vulnerabilidade há um ano ou descobriram isso hoje de manhã, se o código de exploração existe quando a vulnerabilidade é tornada pública, é um exploit de dia-zero em seu calendário.
A melhor coisa que você pode fazer para se proteger contra explorações de dia zero é seguir boas políticas de segurança em primeiro lugar. Ao instalar e manter seu software antivírus atualizado, o bloqueio de anexos de arquivos a e-mails que possam ser prejudiciais e manter seu sistema protegido contra as vulnerabilidades que você já conhece pode proteger seu sistema ou rede contra 99% do que está disponível .
Uma das melhores medidas para proteger contra ameaças atualmente desconhecidas é empregar um firewall de hardware ou software (ou ambos). Você também pode habilitar a verificação heurística (uma tecnologia usada para tentar bloquear vírus ou worms que ainda não são conhecidos) em seu software antivírus. Ao bloquear tráfego desnecessário em primeiro lugar com um firewall de hardware, bloqueando o acesso a recursos e serviços do sistema com um firewall de software ou usando seu software antivírus para ajudar a detectar comportamentos anômalos, você pode se proteger melhor contra a temida exploração de dia zero.
