*Por Brad Smith – Presidente da Microsoft
O ano passado trouxe ao mundo uma gama quase incomparável e diversificada de mudanças tecnológicas. Os avanços na inteligência artificial estão acelerando a inovação e remodelando a forma como as sociedades interagem e operam. Ao mesmo tempo, cibercriminosos de Estado-nação desencadearam iniciativas que ameaçam a segurança e a estabilidade em comunidades e países ao redor do mundo.
Nos últimos meses, concluímos dentro da Microsoft que a velocidade, a escala e a sofisticação crescentes dos ataques cibernéticos exigem uma nova resposta. Portanto, estamos lançando hoje em toda a empresa uma nova iniciativa para buscar nossa próxima geração de proteção de segurança cibernética – o que estamos chamando de Iniciativa Futuro Seguro (Secure Future Initiative, SFI, na sigla em inglês).
Esta nova iniciativa reunirá todas as áreas da Microsoft para promover a proteção da segurança cibernética. Ela terá três pilares, focados em defesas cibernéticas baseadas em IA, avanços em engenharia de software fundamental e defesa de uma aplicação mais forte das normas internacionais para proteger civis de ameaças cibernéticas. Charlie Bell, nosso vice-presidente executivo de segurança da Microsoft, já compartilhou os detalhes da Iniciativa Futuro Seguro com nossas equipes de engenharia e o que esse plano de ação significa para nossas práticas de desenvolvimento de software.
Compartilho abaixo nossa perspectiva sobre as mudanças que nos levaram a dar esses novos passos, bem como mais informações sobre cada parte de nossa Iniciativa Futuro Seguro.
O cenário de ameaças em mudança
No final de maio, publicamos informações mostrando novas atividades cibernéticas do estado-nação visando organizações de infraestrutura crítica nos Estados Unidos. A atividade foi desconcertante não apenas por causa de sua ameaça aos civis em todo o país, mas devido à sofisticação das técnicas envolvidas. Como destacamos em maio, os ataques envolveram técnicas sofisticadas, pacientes, furtivas, com bons recursos e apoiadas pelo governo para infectar e minar a integridade das redes de computadores a longo prazo. Testemunhamos atividades semelhantes recentemente visando a infraestrutura de serviços em nuvem, inclusive na Microsoft.
Esses ataques destacam um atributo fundamental do cenário de ameaças atual. Mesmo que os últimos anos tenham trazido enormes melhorias, precisaremos de novos e diferentes passos para fechar a lacuna de segurança cibernética restante. Como compartilhamos no mês passado em nosso Relatório Anual de Defesa Digital da Microsoft, a implementação de práticas de higiene cibernética bem desenvolvidas agora protege efetivamente contra a grande maioria dos ataques cibernéticos. Mas os atacantes com mais recursos responderam buscando suas próprias inovações, e estão agindo de forma mais agressiva e com ainda mais sofisticação do que no passado.
Atores descarados do Estado-nação tornaram-se mais prolíficos em suas operações cibernéticas, realizando espionagem, sabotagem, ataques destrutivos e operações de influência contra outros países e entidades com mais paciência e persistência. A Microsoft estima que 40% de todos os ataques de estados-nação nos últimos dois anos se concentraram em infraestrutura crítica, com operadores sofisticados e financiados pelo Estado invadindo sistemas vitais, como redes elétricas, sistemas de água e instalações de saúde. Em cada um desses setores, as consequências de uma potencial disrupção cibernética são obviamente terríveis.
Ao mesmo tempo, a melhoria da proteção aumentou as barreiras à entrada de cibercriminosos, mas permitiu alguma consolidação do mercado para um grupo menor, mas mais pernicioso, de atores sofisticados. A Unidade de Crimes Digitais da Microsoft está rastreando 123 afiliados sofisticados de ransomware como serviço, que bloqueiam ou roubam dados e, em seguida, exigem um pagamento por sua devolução. Desde setembro de 2022, estimamos que as tentativas de ransomware aumentaram mais de 200%. Embora as empresas com segurança possam gerenciar essas ameaças, esses ataques estão se tornando mais frequentes e complexos, visando organizações menores e mais vulneráveis, incluindo hospitais, escolas e governos locais. Mais de 80% dos ataques de ransomware bem-sucedidos têm origem em dispositivos não gerenciados, destacando a importância de expandir as medidas de proteção para todos os dispositivos digitais.
As ameaças cibernéticas de hoje emanam de operações bem financiadas e hackers qualificados que empregam as ferramentas e técnicas mais avançadas. Quer trabalhem por motivos geopolíticos ou financeiros, esses estados-nação e grupos criminosos estão constantemente evoluindo suas práticas e expandindo seus alvos, não deixando nenhum país, organização, indivíduo, rede ou dispositivo fora de suas vistas. Eles não comprometem apenas máquinas e redes; representam sérios riscos para as pessoas e as sociedades. Eles exigem uma nova resposta baseada em nossa capacidade de utilizar nossos próprios recursos e nossas tecnologias e práticas mais sofisticadas.
Defesa cibernética baseada em IA
A guerra na Ucrânia demonstrou a capacidade do setor de tecnologia de desenvolver defesas de segurança cibernética mais fortes do que ameaças ofensivas avançadas. A defesa cibernética bem-sucedida da Ucrânia exigiu uma responsabilidade compartilhada entre o setor de tecnologia e o governo, com apoio dos aliados do país. É um testemunho do acoplamento da liderança do setor público com investimentos corporativos e da combinação de poder computacional com engenhosidade humana. Tanto quanto qualquer coisa, ele fornece inspiração para o que podemos alcançar em uma escala ainda maior, aproveitando o poder da IA para melhor nos defender contra novas ameaças cibernéticas.
Como empresa, estamos comprometidos em construir um escudo cibernético baseado em IA que protegerá clientes e países em todo o mundo. Nossa rede global de datacenters baseados em IA e o uso de modelos avançados de IA de base nos colocam em uma posição forte para colocar a IA a nosso favor para avançar na proteção da segurança cibernética.
Como parte de nossa Iniciativa Futuro Seguro, continuaremos a acelerar esse trabalho em várias frentes.
Primeiro, estamos dando novos passos para usar a IA para avançar a inteligência de ameaças da Microsoft. O Threat Intelligence Center (MSTIC) da Microsoft e o Microsoft Threat Analysis Center (MTAC) estão usando ferramentas e técnicas avançadas de IA para detectar e analisar ameaças cibernéticas. Estamos estendendo esses recursos diretamente aos clientes, inclusive por meio de tecnologias de segurança da Microsoft, que coletam e analisam dados de clientes de várias fontes.
Uma razão pela qual esses avanços da IA são tão importantes é por causa de sua capacidade de lidar com um dos desafios de segurança cibernética mais urgentes do mundo. Dispositivos onipresentes e conexões constantes com a internet criaram um vasto mar de dados digitais, tornando mais difícil detectar ataques cibernéticos. Em um único dia, a Microsoft recebe mais de 65 trilhões de sinais de dispositivos e serviços em todo o mundo. Mesmo que todas as 8 bilhões de pessoas no planeta pudessem procurar juntas evidências de ataques cibernéticos, nunca conseguiríamos acompanhar.
Mas a IA é um divisor de águas. Enquanto os agentes de ameaças procuram esconder suas ameaças como uma agulha em um vasto palheiro de dados, a IA torna cada vez mais possível encontrar a agulha certa mesmo em um mar de agulhas. E, juntamente com uma rede global de datacenters, estamos determinados a usar a IA para detectar ameaças em uma velocidade tão rápida quanto a própria Internet.
Em segundo lugar, estamos usando a IA como um divisor de águas para todas as organizações para ajudar a derrotar ataques cibernéticos na velocidade da máquina. Um dos maiores desafios de cibersegurança do mundo hoje é a escassez de profissionais de segurança cibernética treinados. Com uma carência global de mais de três milhões de pessoas, as organizações precisam de toda a produtividade que podem reunir de sua força de trabalho de segurança cibernética. Além disso, a velocidade, a escala e a sofisticação dos ataques criam uma assimetria em que é difícil para as organizações prevenirem e interromperem ataques em escala. O Security Copilot da Microsoft combina um modelo de linguagem grande com um modelo específico de segurança que tem várias habilidades e insights da inteligência de ameaças da Microsoft. Ele gera insights e recomendações em linguagem natural a partir de dados complexos, tornando os analistas mais eficazes e responsivos, capturando ameaças que podem ter sido perdidas e ajudando as organizações a detectarem e pararem ataques na velocidade da máquina.
Outro ingrediente vital para o sucesso é a combinação desses avanços impulsionados por IA com o uso de recursos estendidos de detecção e resposta em dispositivos de endpoint. Como observado acima, hoje mais de 80% dos comprometimentos de ransomware se originam de dispositivos não gerenciados ou BYOD que os funcionários usam para acessar sistemas e informações relacionadas ao trabalho. Mas, uma vez gerenciadas com um serviço como o Microsoft Defender for Endpoint, as técnicas de detecção de IA fornecem proteção em tempo real que intercepta e acaba com ataques cibernéticos em endpoints, como laptops, telefones e servidores. Os avanços da guerra na Ucrânia proporcionaram um ambiente para testar e estender essa proteção, incluindo o uso bem-sucedido de IA para identificar e derrotar ataques cibernéticos russos antes mesmo de qualquer detecção humana.
Em terceiro lugar, estamos protegendo a IA em nossos serviços com base em nossos princípios de IA responsável. Reconhecemos que essas novas tecnologias de IA devem avançar com suas próprias salvaguardas de segurança e proteção. É por isso que estamos desenvolvendo e implantando IA em nossos serviços com base em nossos princípios e práticas de IA responsável. Estamos focados em evoluir essas práticas para acompanhar as mudanças na própria tecnologia.
Embora a maioria de nossos serviços de segurança cibernética proteja consumidores e organizações, também estamos comprometidos em construir uma proteção mais forte baseada em IA para governos e países. Na semana passada, anunciamos que gastaremos US$ 3,2 bilhões para estender nossa infraestrutura de computação em nuvem e IA em hiperescala na Austrália, incluindo o desenvolvimento do Microsoft-Australian Signals Directorate Cyber Shield (MACS). Em colaboração com esta agência crítica do governo australiano, teremos um aumento em nossa capacidade conjunta de identificar, prevenir e responder a ameaças cibernéticas. É um bom indicador de onde precisamos levar a IA no futuro, construindo uma proteção mais segura para países ao redor do mundo.
Novos avanços da engenharia
Além de novos recursos de IA, um futuro mais seguro exigirá novos avanços na engenharia de software fundamental. É por isso que Charlie Bell enviou aos nossos funcionários um e-mail em coautoria com seus colegas de engenharia Scott Guthrie e Rajesh Jha. A ação é parte de nossa Iniciativa Futuro Seguro e lança um novo padrão de segurança, avançando na maneira como projetamos, construímos, testamos e operamos nossa tecnologia.
Você pode ler o e-mail completo de Charlie aqui. Em resumo, ele contém três etapas principais:
Primeiro, vamos transformar a forma como desenvolvemos software com automação e IA. Os desafios das ameaças de segurança cibernética atuais e as oportunidades criadas pela IA generativa criaram um ponto de inflexão para a engenharia de software segura. Os passos que Charlie está compartilhando com nossos engenheiros hoje representam o próximo estágio evolutivo do Security Development Lifecycle (SDL), que a Microsoft criou em 2004. Agora vamos evoluir isso para o que estamos chamando de “SDL dinâmico”, ou dSDL. Ele aplicará processos sistemáticos para integrar continuamente a proteção de segurança cibernética contra padrões de ameaças emergentes à medida que nossos engenheiros codificam, testam, implantam e operam nossos sistemas e serviços. Como Charlie explica, combinaremos isso com outras medidas de engenharia adicionais, incluindo a análise de código seguro alimentada por IA e o uso do GitHub Copilot para auditar e testar o código-fonte contra cenários avançados de ameaça.
Como parte desse processo, no próximo ano, habilitaremos os clientes com configurações padrão ainda mais seguras para autenticação multifator (MFA) prontas para uso. Isso expandirá nossas políticas padrão atuais para uma faixa mais ampla de serviços ao cliente, com foco em onde os clientes mais precisam dessa proteção. Somos extremamente sensíveis ao impacto de tais mudanças na infraestrutura de computação legada e, portanto, nos concentraremos em novos trabalhos de engenharia e comunicações expansivas para explicar onde estamos focados nessas configurações padrão e os benefícios de segurança que isso criará.
Em segundo lugar, reforçaremos a proteção de identidade contra ataques altamente sofisticados. Ameaças baseadas em identidade, como ataques de senha, aumentaram dez vezes durante o ano passado, com estados-nação e cibercriminosos desenvolvendo técnicas mais sofisticadas para roubar e usar credenciais de login. Como Charlie explica, nos protegeremos contra essas ameaças em mudança aplicando nossa proteção de identidade mais avançada por meio de um processo unificado e consistente que gerenciará e verificará as identidades e os direitos de acesso de nossos usuários, dispositivos e serviços em todos os nossos produtos e plataformas. Também disponibilizaremos esses recursos avançados gratuitamente para desenvolvedores de aplicativos que não sejam da Microsoft.
Como parte dessa iniciativa, também migraremos para um novo e totalmente automatizado sistema de gerenciamento de chaves corporativas e de consumidores com uma arquitetura projetada para garantir que as chaves permaneçam inacessíveis mesmo quando os processos subjacentes possam ser comprometidos. Isso se baseará em nossa arquitetura de computação confidencial e no uso de módulos de segurança de hardware (HSMs) que armazenam e protegem chaves em hardware e que criptografam dados em repouso, em trânsito e durante a computação.
Em terceiro lugar, estamos avançando na resposta a vulnerabilidades e atualizações de segurança para nossas plataformas de nuvem. Planejamos reduzir o tempo necessário para mitigar as vulnerabilidades da nuvem em 50%. Também incentivaremos relatórios mais transparentes e de forma mais consistente em todo o setor de tecnologia.
Sem dúvida, adicionaremos outras práticas de engenharia e desenvolvimento de software nos próximos meses e anos, com base no aprendizado e feedback desses esforços. Como a Computação Confiável há mais de duas décadas, nossas iniciativas SFI reunirão pessoas e grupos em toda a Microsoft para avaliar e inovar em todo o cenário de segurança cibernética.
Aplicação mais forte das normas internacionais
Finalmente, acreditamos que defesas de IA mais fortes e avanços de engenharia precisam ser combinados com um terceiro componente crítico – a aplicação mais forte de normas internacionais no ciberespaço.
Em 2017, pedimos uma Convenção de Genebra Digital, um conjunto de princípios e normas que regeriam o comportamento de Estados e atores não estatais no ciberespaço. Argumentamos que precisávamos aplicar as nomas existentes e expandir o que fosse necessário para proteger os civis no ciberespaço de uma ampla gama de ameaças cibernéticas. Nos seis anos desde essa chamada, o setor de tecnologia e os governos deram inúmeros passos à frente neste espaço, e as nossas necessidades também evoluíram. Mas acredito que a defesa de uma Convenção de Genebra Digital está mais forte do que nunca.
A essência da Convenção de Genebra sempre foi a proteção de civis inocentes. O que precisamos hoje para o ciberespaço não é de uma única convenção ou tratado, mas sim de um compromisso público mais forte e mais amplo das nações para se posicionar de forma mais resoluta contra os ataques cibernéticos contra civis e a infraestrutura da qual todos dependemos. Fundamentalmente, precisamos de esforços renovados que unam governos, setor privado e sociedade civil para promover normas internacionais em duas frentes. Comprometeremos as equipes da Microsoft em todo o mundo a ajudar a defender e apoiar esses esforços.
Em primeiro lugar, temos de nos unir de forma mais ampla e pública para apoiar e reforçar as normas fundamentais que fornecem os limites os quais nenhum governo deve ultrapassar.
Todos devemos abominar determinados esforços do Estado-nação que buscam instalar malware ou criar e explorar outras fraquezas de segurança cibernética nas redes de provedores de infraestrutura crítica. Estes não têm qualquer ligação com os esforços de espionagem que os governos têm prosseguido durante séculos e, em vez disso, parecem destinados a ameaçar a vida de civis inocentes numa futura crise ou conflito. Para que os princípios da Convenção de Genebra tenham vitalidade contínua no século 21, a comunidade internacional deve reforçar limites que excluam tipo de conduta.
Portanto, todos os estados devem se comprometer publicamente que não plantarão vulnerabilidades de software nas redes de provedores de infraestrutura crítica, como energia, água, alimentos, assistência médica ou outros provedores. Devem também comprometer-se a não permitir que quaisquer pessoas no seu território ou jurisdição se envolvam em operações cibercriminosas que visem infraestruturas críticas.
Da mesma forma, o ano passado trouxe esforços crescentes do Estado-nação para atingir serviços de nuvem, direta ou indiretamente, para obter acesso a dados confidenciais, interromper sistemas críticos ou espalhar desinformação e propaganda. Os próprios serviços em nuvem se tornaram uma peça crítica de suporte para todos os aspectos de nossas sociedades, incluindo água, alimentos, energia, cuidados médicos, informações e outros itens essenciais confiáveis.
Por essas razões, os Estados devem reconhecer os serviços de nuvem como infraestrutura crítica, com proteção contra os ataques fazendo parte das leis internacionais.
E isso deverá conduzir a três compromissos conexos:
- Os Estados não devem se envolver ou permitir que quaisquer pessoas em seu território ou jurisdição se envolvam em operações cibernéticas que comprometam a segurança, a integridade ou a confidencialidade dos serviços de nuvem.
- Os Estados não devem comprometer indiscriminadamente a segurança dos serviços em nuvem para fins de espionagem.
- Os Estados devem construir operações cibernéticas para evitar impor custos àqueles que não são alvo das operações.
Em segundo lugar, precisamos que os governos façam mais juntos para promover uma maior responsabilização dos Estados-nação que ultrapassam estes limites. Não faltam provas concretas de ações do Estado-nação que violam essas normas. O que precisamos agora é do tipo de atribuições fortes, públicas, multilaterais e unificadas dos governos que responsabilizem esses Estados e os desencorajem de repetir a má conduta.
As empresas de tecnologia e o setor privado desempenham um papel importante na proteção da segurança cibernética e estamos comprometidos com novos passos e ações mais fortes. Mas, especialmente quando se trata de atividade do Estado-nação, a segurança cibernética é uma responsabilidade compartilhada. E assim como as empresas de tecnologia precisam fazer mais, os governos também precisarão fazer mais. Se todos pudermos nos unir, podemos criar os tipos de medidas que darão ao mundo o que ele merece – um futuro mais seguro.