Um homem disfarçado, com documentação falsa e medicamentos na mão para fingir um ataque no caso de ser quase descoberto. O remédio tem como efeitos colaterais a saída de espuma da boca.

O golpe foi preparado durante semanas. Depois de ter telefonado antecipadamente, com falsos pretextos, para garantir que os funcionários o esperam, sobe pelo caminho da entrada e se prepara emocionalmente para entrar em um Data Center de alta segurança cheio de dados e aplicações críticas… Mas há uma porta de saída de incêndios aberta?

Embora pareçam simples, os controles de acesso que protegem as instalações de um Data Center - e as pessoas que passam por ele - podem ser facilmente comprometidos se uma empresa for negligente. Isso significa que a segurança de um Data Center é tão boa quanto prometem as empresas? Não, afirma Andrew Barratt, principal consultor de operações contra adversários da empresa de segurança Coalfire.

"Provavelmente poderia contar com uma mão quantos Data Centers estão bem planejados (na questão da segurança). É esquecido porque se toma por certo que é algo básico. Todos acham que tudo funciona. E então eles não pensam sobre as ameaças do mundo real a esses controles físicos", disse Barratt.

Segurança exige planejamento

Barratt enfatiza que para configurar bem a segurança física, as empresas devem pensar corretamente os desenhos e modelar adequadamente as ameaças. “Do contrário, os controles de segurança podem ser apenas um teatro, pois parecem que cumprem com a sua função, quando na realidade são facilmente enganados, seja pelos ataques ou pelas próprias pessoas que trabalham na área de segurança”.

"Alguns Data Centers mais novos têm medidas que parecem atraentes do ponto de vista da segurança, mas logo é possível ver as pessoas fumando ao outro lado da escada de incêndios, ou seja, poderia ter entrado com uma caixa de cigarros”, afirma Barratt. Ele enfatiza que os níveis de segurança mais baixos - nos que é mais provável que funcionem truques simples de usar jalecos de alta visibilidade - estão nas instalações dos Data Centers corporativos que prestam serviço a uma empresa e suas filiais.

"É comum uma defesa periférica, com muitos controles de acesso básicos, ou que seja possível ver portas em que alguém pode espirrar e cair para entrar em um edifício. Inclusive, vi alguns locais que os próprios funcionários de segurança deixavam alguém passar se ele parecia ter problemas com o cartão de entrada”, garante Barratt.

"Na minha experiência, os que elaboraram realmente bem os controles de segurança são aqueles desenhados normalmente por ex-militares. Foram pensados de uma perspectiva militar para uso em locais com infraestruturas nacionais críticas. No geral, as pessoas que se dedicam melhor a isso profissionalmente são as que têm intenção que o governo, os militares ou as infraestruturas críticas sejam hospedados nelas"

Um exemplo de bom desenho poderia estar no estacionamento. Deveria haver uma área para verificar os veículos dos visitantes antes de eles chegarem ao estacionamento final, para que possam ser recusados sem criar engarrafamentos. Outra medida seria as portas: deveria ser impossível que alguém seguisse a pessoa que vai na frente dele. Entretanto, isso traz gastos, e normalmente as empresas preferem economizar por razões comerciais.

Barratt sugere que, em vez de "soluções ruins" que criam uma falsa sensação de segurança, as empresas deveriam simplesmente aceitar os riscos. "As vezes é melhor não tomar esse tipo de medidas e saber que existe um risco para que assim os funcionários de segurança prestem mais atenção", afirma.

Rishab Verma, da equipe de provas de penetração da Defense.com/Bulletproof, diz que muitas vezes as portas de saída de incêndio são negligenciadas. Essas portas são um excelente ponto de entrada e de saída. “Em ocasiões, as pessoas utilizam, talvez para comer e poder sair rapidamente, e simplesmente deixam a porta aberta. Não existe uma boa segurança nem um bom controle de acesso para as portas de saída de incêndio, elas só deveriam ser usadas como uma exceção para abandonar o edifício”.

Afirma que a falta de um registro pode dificultar o controle do pessoal. O registro das pessoas deve ser automático, tanto na entrada como na saída, e o seu não cumprimento - no caso de alguém ser parado na saída, por exemplo - deve ser sinalizado.

O fator humano deve ser o centro da atenção

Uma das principais formas de acesso de um especialista em provas de infiltração em um Data Center é por meio das pessoas; enganando ao pessoal da recepção e da segurança para que possa entrar diretamente, ou criando situações para distraí-los o tempo suficiente enquanto outra pessoa entra.

"Perdi a conta das vezes que coloquei um terno e entrei em um edifício porque as pessoas pensam que sou importante (pelo uso do terno)”, disse Barratt. "Os truques antigos fazem sucesso e também são difíceis de defender".

Os guardas de segurança também podem ser um ponto fraco na defesa. Estes funcionários, geralmente com baixos salários e com funções subcontratadas, podem estar dispostos a ajudar pelo medo de perder o trabalho.

"O que realmente é exigido é um grau de hostilidade, em um ambiente onde as pessoas têm uma mentalidade de atendimento ao cliente. O grande ponto de mudança, no que diz respeito à segurança física, é fazer sentir que eles realmente fazem parte do negócio e cumprem um papel valioso”, disse Barratt.

"É necessário que o diretor geral diga 'você pode me deter e eu não vou te demitir'. Inclusive, é provável que o diretor geral tenha que dar o exemplo de vez em quando. É preciso liderança e uma boa gestão e, na realidade, ótimas habilidades sociais e de coordenação de equipes para que os funcionários não pensem que devem se submeter a alguém que jogue a carta 'sou mais importante que você'".

As equipes de segurança física são mais eficientes quando sentem que fazem parte da empresa de um modo geral. Se os guardas recebem um salário baixo e se preocupam em ser demitidos, é provável que fiquem em alerta ou não se sintam no poder de desafiar as pessoas que poderiam ser seus superiores.

Barratt destaca que trabalhou com um CISO que estava preocupado com o trabalho dos seguranças das suas instalações."Em várias provas de segurança, os guardas de segurança eram na realidade a parte mais débil porque estavam socialmente condicionados a ser úteis para as pessoas; tentavam fazer o que fosse para fazer com que elas se sentissem bem”, disse.

O que esse CISO fez foi reduzir metade da sua equipe de segurança física e triplicar seus salários. Depois, dividiu a equipe em dois grupos e os obrigou a operar em táticas de estilo militar permanentemente, uns contra os outros. Possuíam tabelas de classificação e ofereciam recompensas às equipes que tinham sucesso.

"Era uma jogada realmente fascinante porque as pessoas eram as mesmas, mas formavam uma equipe que estava sempre em alerta máximo porque sabiam que os demais estavam sempre tentando simular um alinhamento. Esse nível de alerta mudou rapidamente sua equipe de segurança quase da noite para o dia, ao ponto de que ninguém confiava em ninguém".

Os controles de acesso físico, como os cartões (de acesso), a biometria, os circuitos fechados de televisão podem tornar mais difícil a entrada em uma instalação. Entretanto, muitos sistemas com cartões de entrada podem ser enganados. Há dispositivos que podem escanear os cartões em locais próximos e fazer sua clonagem. A criptografia em alguns cartões mais antigos pode ser quebrada e permitir que os golpistas criem perfis completamente novos para eles. Os erros dos funcionários também podem tornar mais vulneráveis os controles fixos de acesso. A equipe deve manter ocultos e seguros elementos como os cartões de entrada.

"Dependendo da notoriedade do alvo, os usuários frequentemente colocam fotos dos seus cartões de entrada nas redes sociais", diz Nicky Whiting, diretor de consultoria da Defense.com, "A partir disso, é fácil criar seu próprio cartão com um design semelhante e imprimi-lo em algum plástico”.

Eric Florence, consultor de segurança cibernética da SecurityTech, conta ao DCD que uma pequena instalação onde ele trabalhou anteriormente realizou testes de infiltração regulares, e que um incidente envolveu um ataque no qual ele roubou um cartão de segurança de um funcionário.

Keatron Evans, pesquisador sênior de segurança do Instituto Infosec, diz que lembrar constantemente ao pessoal das ameaças potenciais à segurança é a melhor maneira de garantir que os procedimentos sejam seguidos corretamente.

"A regularidade com que você os lembra dessas coisas é importante", diz ele. "Quando você faz uma boa campanha de conscientização de segurança, durante um mês, a taxa de sucesso dos funcionários que bloqueiam os ataques aumenta enormemente. Mas você pára de fazer isso e cinco ou seis meses depois, você está quase de volta ao ponto de partida".

Evans aponta para a importância de controlar quem tem acesso, em primeiro lugar, para evitar que cartões de acesso e informações importantes caiam em mãos erradas.

"As empresas deveriam fazer um melhor trabalho de triagem e verificação de antecedentes porque há casos de pessoas que entraram furtivamente em lugares através desse mecanismo. Não apenas funcionários técnicos, mas pessoas como zeladores, pessoal de limpeza; qualquer um que tenha acesso físico às instalações". Às vezes as empresas cometem erros ainda mais básicos que tornam os controles existentes ineficazes.

Gillian Vanhauwaert, da equipe de testes de penetração à prova de balas do Defense.com/ Bulletproof, observa que em uma instalação havia um sinal indicando que havia reuniões todas as quartas-feiras a uma determinada hora. Durante essa reunião, uma caixa de papel foi colocada na porta para que as pessoas entrassem e saíssem. "Ele anunciava como entrar, então eu só tinha que esperar até aquele momento e entrar", diz ele.

Truques do ofício: Como entrar em um centro de dados

Truques confidenciais

Em primeiro lugar, os testadores de acesso tentarão fazer com que o pessoal da instalação os deixe entrar. Seguir alguém por uma porta ou portão é uma técnica comum, assim como usar uma jaqueta de alta visibilidade e fingir ser um trabalhador da construção civil.

Phil Robinson, principal consultor de segurança e fundador da Prism Infosec, disse ao DCD que uma vez ele estava realizando uma avaliação física de uma organização que tinha dois locais: o edifício principal do escritório e um Data Center. O Data Center parecia razoavelmente seguro, então ele obteve acesso ao escritório usando um passe falso e um seguimento. Após encontrar um escritório vazio, ele encontrou uma estação de trabalho com o nome de um membro sênior da equipe na tela de login.

"Usei o telefone do escritório para ligar para a recepção e pedi a extensão do Data Center. Recebi o número e liguei para o Data Center - que claramente veio de um IDD interno e imitou o sotaque regional local - anunciei-me como a pessoa que usava o escritório e disse que havia um problema urgente de TI e que precisaria de acesso ao suporte de TI para resolver o problema".

O guarda na recepção me deu um número de acesso que eu poderia usar e me pediu para esperar uma hora. Fui ao Data Center e fui verificado em 5 minutos, sem o controle da minha identificação. Eles me acompanharam até o rack e eu consegui conectar o meu laptop e comecei a fazer negócios diretamente da rede local do Data Center".

Outro exemplo remonta às práticas de pesquisa, e garante que os visitantes no local - mesmo que sejam esperados - não sejam deixados sozinhos por muito tempo, se é que são deixados em paz.

"Vimos um emprego anunciado e havia alguém conosco que tinha um perfil que condizia com aquela posição e tinha as credenciais certas", diz Vanhauwaert do Defense.com. "Pedimos que ele se candidatasse e ele apareceu para uma entrevista. Em seguida, nós informamos essa pessoa dizendo "quando lhe perguntarem se você quer café, você diz que quer um tipo especial de café que provavelmente levará algum tempo para ser feito, e enquanto eles o deixam em paz você tenta encontrar qualquer tipo de porta e simplesmente conectar este (dispositivo)".

"Você pode agir como um novo funcionário, entrar com uma carta dizendo que você é um novo funcionário, seu cartão ainda não foi entregue e você só tem que entrar", acrescenta Verma da Defense.com, "Então você desafia a recepcionista dizendo que tem uma reunião às 10 horas como se você estivesse realmente assustado porque é seu primeiro dia e você tem que entrar".

Outro exemplo do truque de Verma é sobre a vez em que ele se fez passar por um inspetor de saúde e segurança do conselho.

"Enviei um e-mail agindo como se eu fosse do conselho, dizendo 'precisamos fazer verificações de saúde e segurança, olhar suas portas de saída de incêndio, etc. Por favor, me informe sobre a sua disponibilidade para ver o edifício". Recebemos uma resposta dizendo que eles estavam mais do que dispostos a fazer isso e nos deram sua disponibilidade, e então os chamávamos de volta para discutir o que fazer".

Neste exemplo, a Verma fez uma visita ao prédio da prefeitura, mas o funcionário mostrou-se relutante em oferecer uma visita ao centro de dados. Um estudo de caso recente da NetSPI, uma empresa de testes de acesso baseada em Minneapolis, detalhou como a empresa foi encarregada de entrar em uma instalação de propriedade de uma empresa de colocation com um guarda de segurança e dois funcionários.

"Começamos a olhar para a lista de fornecedores e percebemos que eles estavam usando uma marca nacional conhecida de controle de pragas", disse Dalin McClellan, consultor sênior de segurança da NetSPI. "Um dos consultores com quem trabalhamos tinha acabado de ter essa mesma empresa para trabalhar internamente e eles tinham todos os e-mails de confirmação. Pegamos esses e-mails e os modificamos e então enviamos um e-mail falso que parecia ter vindo de um dos funcionários do Data Center e o enviamos para o outro funcionário".

O outro funcionário não percebeu que o e-mail era falso e deu luz verde para a visita. Uma van foi alugada e preenchida com escadas e outros equipamentos. O segurança, que esperava um visitante, permitiu a entrada dos golpistas antes que o funcionário do Colocation os deixasse entrar no prédio. "Tentamos entrar nas 'gaiolas' do cliente, mas o funcionário disse que não. Entretanto, ele nos deixou entrar nos tetos para verificar a presença de pragas, onde teria sido fácil instalar microfones, câmeras de vídeo ou emendar um dispositivo nos fios.

Entrar com acessórios e uniformes

Se o charme e a confiança não funcionarem, seja criativo. "O acessório favorito de um colega para entrar nos edifícios era uma barriga falsa grávida", diz o Vanhauwaert do Defense.com.

"Ela ficaria muito 'grávida' nas etapas posteriores, se agitando, lutando com uma porta e segurando um monte de caixas, e as pessoas simplesmente abrem qualquer porta para você naquela etapa".

O consultor sênior da Coalfire, Justin Wynn, ressalta que as muletas funcionam de forma semelhante a uma barriga falsa de gravidez: "Estes tipos de adereços são o equivalente a chaves. São multiplicadores de força quando alguém vai sozinho".

O CEO e fundador da CyberOpz, Peter Clay, concorda que sua melhor arma para obter acesso físico é um maço de cigarros: "Descubra onde os fumantes vão e fique lá o máximo de tempo possível. "Depois de compartilhar um cigarro você não é um estranho sem rosto, mas um novo amigo compartilhando o hábito proibido, e seus novos amigos são muito mais propensos a abrir portas, deixá-lo entrar no ambiente e compartilhar mais informações úteis do que eles fariam com um 'estranho'".

"A segunda opção é o 'Alka Seltzer man'. Uma pessoa se aproxima dos guardas e enfia duas pastilhas Alka Seltzer em sua boca simulando uma apreensão. Quando os guardas reagem à apreensão, entra um segundo ou terceiro cúmplice. Já dentro, a vítima 'apreendida' se recupera, diz que não precisa de cuidados médicos e sai do local".

Evans, do Instituto Infosec, diz que em um teste recente em um banco e um Data Center, a equipe notou que parecia haver trabalhos de reforma - inclusive dentro do Data Center - com a entrada e a saída regular de trabalhadores da construção civil.

"Tiramos algumas fotos e fomos buscar alguns coletes verdes, imprimimos o logotipo, colocamos em um capacete branco e pudemos literalmente entrar no banco e no Data Center. Conseguimos entrar ali e conectar as coisas sem nenhum problema".

Falhas de construção

Se as pessoas em um Data Center não puderem ser enganadas para permitir o acesso, às vezes falhas no projeto do edifício oferecem uma forma de entrada para os testadores de acesso.

Em uma recente série de tweets, o testador de acesso Andrew Tierney, conhecido como CyberGibbons, revelou como ele uma vez entrou em um Data Center através dos corredores de engenharia de encanamento atrás dos banheiros.

"Eu precisava de acesso do lado menos seguro de um sub-piso para o lado mais seguro", disse ele. "Ao estudar o edifício, pude ver o que chamei de corredor de xixi ao longo da parte de trás dos banheiros".

Tierney observou que em edifícios com cisternas escondidas, as salas podem ser projetadas com painéis que se dobram para baixo ou com um pequeno corredor ao longo da parte de trás para facilitar o acesso dos encanadores. No teste em questão, o edifício tinha sido construído usando o "método do corredor". Neste caso, o corredor do vaso sanitário evitou os alçapões dos cilindros, e foi descoberto nos documentos de planejamento, que eram de acesso público.

"Depois de acessar a parte digamos insegura, eu entrei nos banheiros. Através do cubículo acessível, havia uma porta oculta que levava ao corredor de xixi. Eu o abri e caminhei sem me preocupar", disse ele. "Depois de me certificar realmente de que não havia mais ninguém no outro cubículo acessível, saí e entrei nos banheiros do lado seguro, no Data Center".

Jacob Ansari, defensor da segurança e analista de tendências cibernéticas emergentes para o avaliador de conformidade de segurança Schellman, tem uma história semelhante: "Há muitos anos, quando eu era um pouco mais magro, alguns colegas e eu entramos em uma área que estava em construção e onde o cadeado do cartão de acesso não estava funcionando corretamente".

"Ele compartilhou o mesmo piso elevado do Data Center, então encontramos um puxador de azulejos, levantamos um dos azulejos e rastejamos sob o piso elevado para o espaço do Data Center. Há uma foto nossa coberta de poeira por rastejar sob o piso elevado, e é um dos meus momentos favoritos da minha carreira".

Atacar o Data Center com drones

O preço e a facilidade crescente com que os drones podem ser comprados e voados apresentam novas oportunidades para que os potenciais agentes possam realizar manobras de reconhecimento em propriedades.

"Utilizamos a tecnologia drone e, em uma ocasião, encontramos uma porta de acesso ao teto que estava aberta com um tijolo no topo de um prédio de um Data Center. É claro que conseguimos que algumas pessoas subissem o prédio e entrassem diretamente do telhado do Data Center", explica Evans do Instituto Infosec.

"Se você tem um prédio de cinco andares, o topo deve ser mais protegido do que o chão, portanto as pessoas tendem a não colocar tanta segurança no telhado”.

No entanto, tanto Evans quanto Barratt, da Coalfire, apontam que uma resposta pode lidar rapidamente com qualquer UAV. "Um dos meus hobbies é atirar em pombos de barro, então acho que um calibre 12 cuidaria da maioria dos drones rapidamente; é barato e é relativamente fácil treinar pessoas", brinca Barratt. "Mas você provavelmente não quer ver pessoas andando com espingardas de caça só porque - por acaso - pode haver um drone na área".