Em dezembro de 2017, o CGI.br e o NIC.br lançaram o programa Para Fazermos uma Internet mais Segura, voltado aos quase 6 mil sistemas autônomos do país. Segundo o NIC.br, cerca de um terço deles permitia amplificação de tráfego, e ataques de 300 Gbps já eram tratados como o novo normal.
Em 2017, a segurança da infraestrutura da internet brasileira virou programa coordenado. Em 4 de dezembro, durante o 11º IX (PTT) Fórum, o CGI.br, por meio do NIC.br, lançou o programa "Para Fazermos uma Internet mais Segura", com o objetivo de reduzir o tráfego malicioso no Brasil e melhorar a segurança dos equipamentos de rede. O público eram os quase 6 mil sistemas autônomos (AS) do país, as redes de provedores, empresas e instituições que trocam rotas na internet. Segundo o NIC.br, cerca de um terço dos AS brasileiros permitia amplificação de tráfego a partir de redes e dispositivos mal configurados.
O lançamento veio depois de dois anos de alta nos ataques de negação de serviço registrados pelo CERT.br.
Por que o programa foi criado?
Os números apresentados no lançamento mostravam a escala do problema:
| Indicador | Dado citado pelo NIC.br |
|---|---|
| Notificações de DoS recebidas pelo CERT.br em 2016 | 60.432, alta de 138% sobre 2015 |
| Tamanho dos ataques | 300 Gbps tratados como "novo normal", com relatos de até 1 Tbps |
| AS brasileiros que permitiam amplificação | Cerca de um terço |
| Sistemas autônomos no Brasil | Quase 6 mil |
| Novos AS no Brasil em 2017 | Mais de mil, crescimento acima de 20% |
Em 2017, segundo as estatísticas do CERT.br, as notificações de DoS chegaram a 220.188, quase quatro vezes o total de 2016, com pico em julho ligado a botnets de dispositivos de internet das coisas.
Quais práticas o programa defendia?
O lançamento reuniu NIC.br, CERT.br, Internet Society (ISOC), Abranet e SindiTelebrasil. Andrei Robachevsky, da ISOC, apresentou as ações do MANRS (Mutually Agreed Norms for Routing Security), conjunto de normas para segurança do roteamento:
- Filtragem: filtrar os prefixos anunciados por clientes via BGP.
- Antispoofing: impedir que tráfego com endereço IP falsificado saia da própria rede.
- Coordenação: manter atualizados os dados de contato em fontes públicas, como o Whois.
- Validação global: publicar as políticas de roteamento em bases públicas.
Robachevsky lembrou que o BGP, protocolo de roteamento entre redes, depende de confiança e que as ameaças incluem sequestro de prefixos, vazamento de rotas e falsificação de IP. Ele resumiu: do ponto de vista do roteamento, cuidar só da segurança da própria rede não a torna necessariamente mais segura.
O que o CERT.br recomendou?
Cristine Hoepers, gerente do CERT.br, listou recomendações práticas:
- Adotar verificação em duas etapas.
- Proteger modems e roteadores domésticos, evitando serviços abertos e senhas padrão.
- Detectar de forma proativa ataques que saem da própria rede.
O CERT.br observou que as varreduras em Telnet (porta 23) pareciam mirar dispositivos IoT e equipamentos domésticos. Frederico Neves, do NIC.br, afirmou que o programa estava começando e que os resultados levariam tempo; as contribuições dos representantes dos AS seriam usadas para definir as diretrizes.
Por que isso importa para empresas que não são provedoras?
Empresas que têm rede própria, data center ou blocos de endereços IP também podem operar sistemas autônomos. Mesmo as que não operam dependem de provedores e de hospedagem que seguem, ou não, essas práticas. Um ambiente com dispositivos mal configurados pode ser usado para atacar terceiros, com efeitos de reputação e de disponibilidade.
O que isso significa hoje para quem contrata infraestrutura e segurança?
Ao contratar provedor de conexão, data center ou empresa de cibersegurança, vale perguntar se o fornecedor adota práticas como filtragem de rotas e antispoofing, como monitora tráfego de saída anômalo e qual é o plano de resposta a ataques de negação de serviço. Para a rede interna, a recomendação de 2017 continua simples e atual: trocar senhas padrão, fechar serviços desnecessários e usar autenticação em dois fatores.
Fontes
Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo.
Perguntas frequentes
O que foi o programa Para Fazermos uma Internet mais Segura?
Foi um programa lançado em 4 de dezembro de 2017 pelo CGI.br, por meio do NIC.br, para reduzir o tráfego malicioso no Brasil e melhorar a segurança de equipamentos de rede, com foco nos quase 6 mil sistemas autônomos do país.
O que é o MANRS?
É o Mutually Agreed Norms for Routing Security, um conjunto de normas para segurança do roteamento apresentado no lançamento pela Internet Society. Ele inclui filtragem de prefixos, antispoofing, coordenação por dados de contato atualizados e validação global das políticas de roteamento.
Por que a amplificação de tráfego é um problema?
Serviços mal configurados podem ser usados para multiplicar o volume de tráfego enviado a uma vítima em ataques de negação de serviço. Segundo o NIC.br, cerca de um terço dos sistemas autônomos brasileiros permitia esse tipo de abuso em 2017.