De acordo com o Google, mais de setenta e cinco por cento das solicitações aos seus servidores são criptografadas e a Mozilla relata que mais de 55 por cento das páginas carregadas por seu navegador são criptografadas. De qualquer maneira, a maior parte do tráfego da Internet é criptografada.

A criptografia do tráfego da Internet tem aumentado consistentemente, especialmente porque os provedores de streaming de vídeo ativaram a criptografia. As violações de dados estão em um ponto mais alto, a espionagem da Internet por governos e criminosos é generalizada e a falha em proteger informações confidenciais pode causar danos irreparáveis.

Os líderes de segurança cibernética trabalharam muito para proteger os dispositivos móveis e o acesso à nuvem. Agora insira vestíveis, sensores ambientais, câmeras de vigilância, balizas de localização e o resto da internet das coisas (IoT). Desde o início da IoT, os pesquisadores de segurança soaram o alarme, mas o desfile de eventos de segurança embaraçosos continua, incluindo o botnet Mirai em outubro passado.

Para descriptografar ou não descriptografar, essa é a questão

Conforme os sites e aplicativos criptografam mais tráfego para preservar a privacidade dos dados, a reação de alguma parte da comunidade infosec é tentar descriptografar o tráfego vinculado à Internet para inspecioná-lo em busca de malware de entrada, comando e controle de saída ou vazamento de dados. Mas a crescente proliferação de diferentes tipos de protocolos de criptografia está tornando a descriptografia generalizada cada vez mais difícil.

Muitas organizações ainda tentam encerrar e descriptografar o tráfego HTTPS vinculado à Internet usando proxies de encaminhamento para “man-in-the-middle” as conexões. Mas o uso de criptografia forte - incluindo chaves mais longas, criptografia baseada em hardware e biometria - aumenta o desafio de descriptografar o tráfego de uma maneira que não afete a experiência do usuário, adicionando atrasos ou exigindo grande investimento na capacidade de descriptografia.

Enquanto isso, vários dos principais serviços online e muitos aplicativos móveis usam a fixação de certificados para evitar ataques man-in-the-middle. A fixação de certificado codifica certificados raiz específicos no aplicativo em vez de confiar na lista interna (e extensível) de certificados raiz confiáveis ​​do dispositivo. As tentativas dos invasores de se inserirem entre o cliente e o servidor são frustradas, mas também o são os proxies de encaminhamento das organizações.

Separadamente, há um argumento antigo de membros das comunidades de aplicação da lei de que os “mocinhos” deveriam receber alguma forma de uma porta dos fundos de criptografia que lhes permitiria quebrar a criptografia por meio do uso de uma chave mestra. No entanto, adicionar capacidade de chave mestra a um algoritmo de criptografia enfraquece-o inerentemente e torna mais fácil encontrar e quebrar chaves. E devido ao fracasso histórico dos governos em proteger os dados - incluindo chaves importantes - há grande ceticismo sobre por quanto tempo qualquer chave mestra de nível governamental permaneceria secreta.

Enquanto isso, os invasores usam a presença de muito tráfego criptografado benigno para se misturar e ofuscar suas comunicações com a Internet.

A inteligência artificial pode ler nas entrelinhas

Os avanços na inteligência artificial (IA) estão alimentando a próxima geração de produtos de detecção de ameaças. O uso de tecnologias subjacentes de IA, como aprendizado de máquina, ciência de dados e aprendizado profundo para identificar e interromper ameaças, reduz automaticamente a necessidade de medidas cada vez mais ineficazes, como inspeção profunda de pacotes, sandbox e análise de conteúdo para identificar ameaças ocultas.

Aplicativos e processos diferentes têm padrões de comunicação exclusivos, e o tráfego do invasor costuma ser muito diferente do tráfego do usuário, independentemente de ser criptografado ou não. O tempo e a duração das comunicações, os tamanhos dos pacotes e as lacunas entre os pacotes são reveladores. Em vez de abrir a tampa e examinar o fluxo criptografado, a matemática sofisticada é usada para encontrar sinais que indicam uma ameaça.

Embora as assinaturas possam apenas desligar a configuração da troca criptografada, o aprendizado profundo pode ser usado para treinar uma rede neural com base na série temporal da comunicação e pode então calcular a probabilidade de qualquer comunicação ser um canal de comando e controle.

A inteligência artificial também dá a um sistema de detecção de ameaças o cérebro para aprender e colocar suas descobertas em contexto, para que possa identificar as ameaças que representam o maior risco para organizações individuais.

Tempo para aprender

Alcançar esse nível de inteligência artificial requer aprendizado de máquina supervisionado e não supervisionado.

Com o aprendizado de máquina supervisionado, os cientistas de dados analisam grandes volumes de amostras de tráfego de rede previamente categorizadas para identificar recursos distintos que são comuns aos comportamentos do invasor.

Uma plataforma de detecção de ameaças pode, por exemplo, reconhecer comunicações de comando e controle que estão puxando instruções da infraestrutura de comando e controle nunca vista antes - mesmo se o endereço IP e o domínio forem confiáveis ​​e tiverem uma grande reputação.

O aprendizado de máquina não supervisionado se concentra em descobrir outliers em dados não rotulados e também pode derivar uma linha de base para julgar o tráfego futuro. Devido à sua natureza barulhenta - ele mostrará o que é diferente e não o que é ruim - ele deve ser usado com cautela em áreas consideradas de alto valor para os invasores.

Detecção de ameaças com um cérebro

Com a ciência de dados e o aprendizado de máquina no centro da detecção de ameaças de última geração, as organizações podem detectar e interromper ameaças que nunca foram vistas antes - mesmo se o tráfego estiver criptografado.

As organizações não precisam mais escolher entre manter seus dados privados com criptografia e enfraquecer suas defesas, permitindo que os invasores se escondam em seu tráfego benigno.

O Avance Network é uma comunidade fácil de usar que fornece segurança de primeira e não requer muito conhecimento técnico. Com uma conta, você pode proteger sua comunicação e seus dispositivos. O Avance Network não mantém registros de seus dados; portanto, você pode ter certeza de que tudo o que sai do seu dispositivo chega ao outro lado sem inspeção.