Latest / Entre Chaves / A IA não entende intenção maliciosa de forma eficaz?

Transcript

A IA não entende intenção maliciosa de forma eficaz? · Entre Chaves

• 0:02
  Então, por isso que é tão importante olhar para as falhas
• 0:05
  de cadeia de suprimentos, o caso para mim mais fatídico disso é
• 0:10
  da biblioteca XE útil de um agente malicioso, né?
• 0:14
  Codinome gia tem, né? Gia tem, passou a contribuir no
• 0:17
  projeto, né? É OXE útil, é uma é biblioteca
• 0:20
  de utilidades, de descompressão, compressão e algumas outras
• 0:23
  coisas muito utilizada No No Linux, né?
• 0:25
  Se eu não me engano, quase todas as distribuição do Linux possuem
• 0:29
  essa biblioteca. E aí uma pessoa passou a
• 0:31
  contribuir, né? Sendo numa biblioteca open
• 0:33
  source, uma pessoa começou a contribuir, ficou 2 anos
• 0:36
  contribuindo, ganhou. Confiança da comunidade, né?
• 0:39
  Fez realmente contribuições relevantes pra pra.
• 0:41
  Biblioteca? Exatamente.
• 0:43
  E Do Nada essa pessoa. Do Nada não, né?
• 0:45
  Tudo planejado, essa pessoa subiu, né?
• 0:47
  Um trecho malicioso de código ali, num blog, escondido.
• 0:50
  E ninguém. Percebeu até que um engenheiro
• 0:54
  da Microsoft estava divulgando alguma coisa assim no computador
• 0:57
  dele, fazendo um benchmark. Ele percebeu uma diferença de
• 1:00
  alguns milissegundos assim na execução de uma função.
• 1:03
  Ele ficou estranho, estranho isso aqui.
• 1:05
  E aí ele foi investigar e descobriu esse trecho de código
• 1:08
  malicioso aí nessa biblioteca, né?
• 1:11
  E. Impediu aí que isso se tornasse
• 1:14
  um problema maior, né? Muito.
• 1:16
  Maior que incrível a gente pensar que por causa de um
• 1:19
  engenheiro da Microsoft que percebeu uma diferença de
• 1:21
  milissegundos na chamada. A gente teve a descoberta de um
• 1:26
  problema tão crítico, né? E tão profundo quanto esse.
• 1:29
  Isso nos. Leva a pensar, né?
• 1:30
  O que onde mais tem coisas parecidas, onde não?
• 1:33
  Tivemos. Pensem nisso exatamente agora,
• 1:35
  né? O quanto as bibliotecas talvez
• 1:37
  não estejam com problemas nesse momento e que a gente só vai
• 1:40
  descobrir no futuro, né? Beleza, mas e aí?
• 1:43
  Temos bons exemplos, temos maus exemplos, mas e eu, como deve?
• 1:47
  Que que eu faço? Para esse tem 3.
• 1:49
  Tem várias coisas que a gente deve fazer para se defender
• 1:52
  contra esse tipo de ataque, né? Primeiro, manter sempre as
• 1:56
  bibliotecas do seu software na última versão, né?
• 1:59
  As bibliotecas que você utiliza é bem atualizadas e utilizar um
• 2:03
  tipo de ferramenta que a gente utiliza diariamente aqui né, no
• 2:05
  nosso time de segurança que é o sca, né?
• 2:08
  Que é vai verificar justamente a composição do seu software ali
• 2:12
  todas as bibliotecas que ele utiliza, os framux é e ele vai
• 2:15
  ir lá na base da nvd né? Que é a base onde armazena todas
• 2:18
  as as cvs né que são cadastradas.
• 2:21
  E vai verificar se existe alguma CV ativa para aquela biblioteca.
• 2:24
  Então, só para deixar claro isso, CVE é uma vulnerabilidade
• 2:26
  já conhecida e catalogada, né? Exatamente você tendo esse esse
• 2:30
  relatório, né? Ali, com todas as
• 2:32
  vulnerabilidades, você você vê quais bibliotecas precisam ser
• 2:35
  atualizadas ou não, né? É importante ter esse essa
• 2:38
  verificação constante, né? É melhor ainda é você colocar
• 2:41
  esse tipo de verificação no seu pipeline.
• 2:44
  Né? E quebrar ele caso tenha alguma
• 2:45
  biblioteca com uma vulnerabilidade crítica, por
• 2:47
  exemplo. E.
• 2:48
  Aí volta para outro tópico que a gente já falou que é o shift UF
• 2:50
  security, né? Mais uma vez os tópicos começam
• 2:52
  a se encaixar aqui, né? Eu tenho a sensação de que nada
• 2:55
  na segurança ela anda de forma isolada, né?
• 2:57
  Ou pelo menos é bem raro, da sensação de que eles sempre
• 3:00
  andam juntos. Uma coisa vai construindo a
• 3:02
  outra, uma vulnerabilidade é sempre um conjunto de falhas,
• 3:04
  né? Sim.
• 3:05
  Exatamente. E agora vamos subir mais um
• 3:07
  degrau no nosso pódio e ir para nossa medalha de prata.
• 3:11
  Security me configuration. Mais uma figurinha repetida, só
• 3:14
  que dessa vez no top dad 2025. Aparece algumas posições acima
• 3:18
  do esperado, Hein? Eu, particularmente, não achei
• 3:21
  que ela fosse estar tão alta assim.
• 3:23
  Talvez nem que voltasse a aparecer e que fosse quebrada em
• 3:25
  outras categorias. Não sei.
• 3:27
  Mas cá está ela resistente no top 2.
• 3:30
  Pois é, cara, ela voltou, acredito que já até antecipando
• 3:34
  um pouco. E eu acho que o maior causa dela
• 3:35
  ter voltado é o crescimento de ar, porque a configuração ela
• 3:39
  depende de contexto. E basicamente a falha de
• 3:41
  configuração, né? O miss configuration, ele gira
• 3:43
  em torno da sua aplicação. Não está bem configurada você
• 3:47
  ter um banco, uma porta de banco de dados aberta, você ter
• 3:50
  usuários com senha padrão ainda certificados com a senha de
• 3:53
  assinatura padrão, tudo isso engloba é as falhas de segurança
• 3:56
  de configuração, é que nem eu falei do certificado, por
• 3:58
  exemplo, você pode ter melhor forma de dedicação mesmo, é
• 4:01
  enfiar, você pode ter tudo, mas vai lá ser certificado.
• 4:04
  A senha dele é pública e qualquer pessoa consegue
• 4:06
  personificar qualquer um. Então você ter esses exemplos
• 4:09
  assim é muita coisa. Sempre parece bastante coisa da
• 4:11
  gente olhar certificado é JBT ata de carçom me enfiar é muita
• 4:14
  coisa, mas são Pequenos Detalhes que fazem muita diferença Na Na
• 4:17
  aplicação, é. Como a gente acabou de comentar,
• 4:19
  né? Nada da segurança.
• 4:20
  Ela é isolada, né? Então você vai juntando uma
• 4:22
  pecinha de quebra cabeça daqui e dali e de repente você tem uma
• 4:24
  figura inteira que você acabou montando, beleza, a gente tem
• 4:27
  alguns exemplos ruins, né? Do que que pode ser isso, então?
• 4:30
  Você não colocar o Harden de maneira apropriada, você não
• 4:33
  listar a sua nuvem das maneiras corretas validar seus
• 4:36
  certificados, né? Aplicar as as tug of features
• 4:39
  específicas que podem melhorar a robustez da sua aplicação.
• 4:43
  Mas e agora, pra quem tá ouvindo a gente, o que que essa pessoa
• 4:45
  pode buscar fazer pra conhecer quais são essas possíveis falhas
• 4:49
  de configuração? Porque como você comentou, né?
• 4:51
  Eu imagino que isso tenha crescido por causa da utilização
• 4:53
  da IA e eu posso até concordar com você, mas eu duvido muito
• 4:55
  que as pessoas vão parar de utilizar a IA.
• 4:57
  E aí, que que eu posso fazer a respeito?
• 4:59
  Então com certeza é eles tem 2 cenários, existe o caminho que a
• 5:02
  aplicação já está desenvolvida, já está pronta, só que as
• 5:04
  confurações estão erradas. E aí no cenário que você vai
• 5:07
  começar a aplicação do zero e você vai começar estabelecendo
• 5:10
  as confurações pro primeiro cenário de aplicação não está
• 5:12
  pronta. Acho que o melhor processo é
• 5:14
  juntar com 111 time de QA, uma coisa do tipo pra poder testar a
• 5:18
  aplicação de fato, testar as configurações delas, se estão
• 5:20
  com um apadrão, rodar um animep, por exemplo, uma aplicação pra
• 5:23
  ver se as portas estão abertas. É, deveriam estar abertas de
• 5:26
  fato pra ver se os usuários de administrador, eles possuem uma
• 5:29
  senha, seja segura, certificada, ele está com um pouco
• 5:33
  indiferente do padrão e várias outras coisas.
• 5:35
  É e pra pro que está começando agora, eu acho que a gente até
• 5:37
  começou, conversou um pouco que a famosa, essa batida de
• 5:39
  segurança você lê de fato a documentação daquilo que você
• 5:43
  está usando, você não usar aplicativos que não sejam
• 5:45
  necessários pra somar essa aplicação que vão ficar boiando
• 5:48
  e somando dados. À.
• 5:50
  Toa limpar todos os recursos features que não são mais
• 5:53
  necessários nessa aplicação é sempre foi uma boa prática.
• 5:56
  Né? Exatamente.
• 5:57
  E eu falei, essa batida ainda é muito importante porque.
• 6:00
  Você. Juntar grupos de pessoas pra
• 6:02
  entender como aquela aplicação funciona e ver se aquela curação
• 6:04
  deveria ser daquele jeito ou você lê?
• 6:07
  Isso é muito importante, estar desenvolvedores, leiam a
• 6:09
  documentação, mas que doa. Dói muito falar isso.
• 6:12
  Eu também não gosto muito de ler, mas a documentação é muito
• 6:14
  importante porque lá ela fala o que são as próximas padrão que
• 6:17
  deve ser alterado, como que a aplicação ela vem, que é
• 6:20
  moldada. Então é muito importante você
• 6:21
  ter contato, documentação ou tacela debaixo do braço para
• 6:24
  você. Que novela de quadro.