O grande hack do BizApp: riscos cibernéticos em seus aplicativos de negócios diários

Leia algumas manchetes sobre segurança cibernética e você notará uma tendência: elas envolvem cada vez mais aplicativos de negócios.

Por exemplo, a ferramenta de e-mail Mailchimp diz que invasores invadiram as contas de seus clientes por meio de uma “ferramenta interna”. Software de automação de marketing HubSpot foi infiltrado. Carteira de senha corporativa Okta foi comprometido. Ferramenta de gerenciamento de projetos Jira fez uma atualização que acidentalmente expôs informações privadas de clientes como Google e NASA.

Esta é uma das mais novas frentes da segurança cibernética: suas ferramentas internas.

É lógico que agentes mal-intencionados se intrometam aqui em seguida, ou que os funcionários deixem acidentalmente as portas abertas. A organização média agora tem 843 aplicativos SaaS e depende cada vez mais deles para executar as suas operações principais. Fiquei curioso para saber o que os administradores podem fazer para manter esses aplicativos seguros, então entrevistei um antigo colega, Misha Seltzer, CTO e cofundador da Atmosec, que trabalha nesta área.

Por que os aplicativos empresariais são particularmente vulneráveis

Os usuários de aplicativos de negócios tendem a não pensar em segurança e conformidade. Em parte porque esse não é o trabalho deles, diz Misha. Eles já estão bastante ocupados. E, em parte, é porque essas equipes tentam adquirir seus sistemas fora do alcance da TI.

Enquanto isso, os próprios aplicativos são projetados para serem fáceis de iniciar e integrar. Você pode lançar muitos deles sem cartão de crédito. E os usuários muitas vezes podem integrar este software com alguns de seus sistemas de registro mais vitais, como CRM, ERP, sistema de suporte e gerenciamento de capital humano (HCM) com apenas um clique.

Isso se aplica à maioria dos aplicativos oferecidos nas lojas de aplicativos dos principais fornecedores. Misha ressalta que os usuários do Salesforce podem “conectar” um aplicativo do Salesforce AppExchange sem realmente instalá-lo. Isso significa que não há escrutínio, ele pode acessar os dados do cliente e suas atividades são registradas no perfil do usuário, dificultando o rastreamento.

Então, essa é a primeira questão. É muito fácil conectar aplicativos novos e potencialmente inseguros aos seus aplicativos principais. A segunda questão é que a maioria desses sistemas não foi projetada para que os administradores observem o que acontece dentro deles.

Por exemplo:

• Salesforce oferece muitas ferramentas DevOps maravilhosas, mas nenhuma maneira nativa de rastrear aplicativos integrados, estender chaves de API ou comparar organizações para detectar alterações suspeitas.
• NetSuite O changelog não fornece detalhes sobre quem mudou o quê - apenas que algo mudou, dificultando a auditoria.
• de Jira O changelog é igualmente esparso e o Jira costuma ser integrado ao Zendesk, PagerDuty e Slack, que contêm dados confidenciais.

Isso torna difícil saber o que está configurado, quais aplicativos têm acesso a quais dados e quem esteve nos seus sistemas.

O que você pode fazer sobre isso

A melhor defesa é uma defesa automática, diz Misha, então converse com sua equipe de segurança cibernética sobre como eles podem incluir o monitoramento de seus aplicativos de negócios em seus planos existentes. Mas para obter conhecimento e cobertura completos, eles também precisarão de insights mais profundos sobre o que está acontecendo dentro e entre esses aplicativos do que aqueles que essas ferramentas fornecem nativamente. Você precisará construir ou comprar ferramentas que possam ajudá-lo:

• Identifique seus riscos: Você precisará visualizar tudo o que está configurado em cada aplicativo, salvar instantâneos a tempo e compará-los. Se uma ferramenta puder dizer a diferença entre a configuração de ontem e a de hoje, você poderá ver quem fez o quê — e detectar invasões ou o potencial de invasões.
• Sondar, monitorar e analisar vulnerabilidades: Você precisa definir alertas para alterações nas configurações mais confidenciais. Eles precisarão ir além das ferramentas tradicionais de gerenciamento de postura de segurança SaaS (SSPM), que tendem a monitorar apenas um aplicativo por vez ou a fornecer apenas recomendações de rotina. Se algo se conectar ao Salesforce ou ao Zendesk e alterar um fluxo de trabalho importante, você precisa saber.
• Desenvolva um plano de resposta: Adote uma ferramenta semelhante ao Git que permite “versão” seus aplicativos de negócios para armazenar estados anteriores aos quais você pode reverter. Isso não corrigirá todas as intrusões e poderá causar a perda de metadados, mas é uma primeira linha eficaz de correção.
• Mantenha a higiene da segurança do seu SaaS: Delegue alguém da equipe para manter suas organizações atualizadas, desativando usuários e integrações desnecessárias e garantindo que as configurações de segurança que foram desativadas sejam ativadas novamente - por exemplo, se alguém desabilitar a criptografia ou TLS para configurar um webhook, verifique se foi reativado.

Se você conseguir juntar tudo isso, poderá começar a identificar áreas em que atores mal-intencionados podem entrar – como por meio dos webhooks do Slack, como aponta Misha.

Seu papel na segurança do sistema empresarial

Não cabe apenas aos administradores proteger esses sistemas, mas você pode desempenhar um papel importante no bloqueio de algumas das portas abertas óbvias. E quanto melhor você conseguir ver esses sistemas – uma tarefa que eles nem sempre são criados nativamente para permitir – melhor você saberá se alguém invadiu um aplicativo de negócios.