Num artigo publicado na SC Media, Paul Wagenseil, estratega de conteúdo personalizado para a CyberRisk Alliance e anteriormente editor especializado no mercado de segurança para várias publicações, defende o uso do engano como mecanismo defensivo que permite ganhar tempo para organizar uma resposta coerente e limitar o avanço do adversário em operações de cibersegurança.

Wagenseil, que começa por explicar brevemente as operações dos aliados durante a Segunda Guerra Mundial para induzir as forças do Eixo a acreditar no local exato onde ocorreria o Dia D, recorre às explicações de Lorraine Bellon, responsável pelo Marketing de Produtos de Segurança da Fastly, que, por sua vez, cita os honeypots, supostos serviços vulneráveis cuja função é, precisamente, atrair intrusos para desviar a atenção dos recursos realmente importantes ou analisar o comportamento dos cibercriminosos.

No entanto, os atacantes aprenderam a detetá-los quando não veem conexões reais com outros sistemas ou descobrem que o suposto servidor físico é, na verdade, uma máquina virtual e, por isso, deixaram de ser tão úteis como antigamente.

Já em 2021, a vice-presidente de Produtos de Segurança da Fastly, Kelly Shortridge, e o diretor da Two Sigma, Ryan Petrich, classificaram os honeypots como obsoletos e pouco convincentes, e propuseram a criação do que batizaram de «ambientes de engano», consistentes em réplicas isoladas que simulam aplicações completas para atrair, confundir e vigiar o adversário.

Uma grande companhia aérea cliente da Fastly (cujo nome não foi divulgado) implementou essa abordagem, criando uma versão fictícia de sua aplicação web para clientes repleta de vulnerabilidades simuladas e dados falsos, com o objetivo de observar as técnicas de ataque enquanto os criminosos acreditam estar a avançar nos seus sistemas reais.

Bellon acrescenta que um ambiente como esse dentro da plataforma de desenvolvimento confunde ainda mais os atacantes e, se um deles conseguir aceder, não saberá se está num sistema real ou se foi descoberto, de modo que quanto mais tempo permanecer confiante, mais informações úteis os defensores poderão recolher.

Do ponto de vista ético, Bellon argumenta que enganar não prejudica ninguém, ao contrário do controverso hack back (que poderíamos traduzir livremente como contra-ataque de hacking), e que se torna uma tática legítima de proteção, comparando-a com insetos que imitam galhos ou com câmaras de segurança falsas que dissuadem ladrões.

No entanto, reconhece que os atacantes podem acabar por ignorar estes engodos estáticos, pelo que o setor é obrigado a evoluir continuamente as suas técnicas de engano.

A própria Fastly ainda não integra um ambiente de engano completo como o descrito por Shortridge, mas aplica a estratégia de ocultar ou distorcer as informações de que os agressores precisam para avançar. Alguns componentes da sua proteção contra DDoS e da gestão de bots já atuam nesse sentido.

A última novidade é uma «ação de engano» opcional no seu firewall de aplicações web. Quando é detetada uma tentativa de controlo de contas, o sistema intercepta o pedido de início de sessão, envia dados irrelevantes para o servidor de origem e devolve ao atacante uma mensagem de credenciais inválidas.

O objetivo: frustrá-lo até que desista e, de passagem, capturar os seus movimentos. Para o administrador, a funcionalidade resume-se a ativar um interruptor dentro das regras habituais do WAF. A Fastly automatiza estas contramedidas porque a intervenção humana é lenta face a ataques que evoluem em segundos.

Os seus responsáveis admitem que pode haver falsos positivos, mas a velocidade das defesas automáticas supera em muito a capacidade de reação manual a ameaças como os DDoS.

Em paralelo, a empresa continua a trabalhar noutras formas de confundir, atrasar ou cansar o adversário, seja através de tempos de espera artificiais ou enviando conteúdo lixo para os bots que rastreiam informações para modelos de IA.

Para Bellon, o engano está destinado a ocupar um papel cada vez mais relevante na segurança das aplicações, especialmente à medida que os atacantes aceleram o seu ritmo de adaptação. As organizações que souberem introduzir esses iscos dinâmicos terão segundos — ou minutos — adicionais valiosos para proteger os seus ativos reais.