Devemos (ou não) automatizar os processos de segurança?

É sabido por toda a indústria de IT que há escassez de profissionais. A área de cibersegurança, pela sua criticidade, assiste, possivelmente, a uma falta ainda maior de colaboradores especializados. A solução pode passar pela automatização dos processos de segurança de forma a eliminar as tarefas repetitivas.

Para a Gartner, a automação dos processos de segurança é uma tendência do ano de 2020, referindo que “esta tecnologia automatiza as tarefas de operação de segurança centradas em computador baseando-se em regras e templates pré-definidos”.

Mesmo assumindo que as tarefas de segurança automatizadas “podem ser executadas de forma muito mais rápida, escalável e com menos erros”, a Gartner alerta, que há, contudo, “retornos decrescentes na construção e manutenção da automação”.

A sugestão da consultora é que os líderes de segurança devem investir em projetos de automação que “ajudem a eliminar tarefas repetitivas que consomem muito tempo”, de modo a dar mais tempo para a equipa de cibersegurança se concentrar em funções mais críticas.

Benefícios

A automação dos processos de segurança faz uma parte do trabalho da equipa de cibersegurança para que esta não tenha de navegar e endereçar entre todos os alertas que chegam. Esta automação pode, por exemplo, detetar ameaças ao ambiente da organização, fazer a triagem de potenciais ameaças e seguir as regras definidas pelos analistas de segurança, determinar se é necessário tomar alguma ação e resolver a situação.

Todos os passos anteriormente descritos podem ser feitos em poucos minutos – ou mesmo segundos – sem a ação direta dos colaboradores. Deste modo, e como referido, a automação dos processos de segurança tira dos colaboradores as tarefas repetitivas e que consomem tempo, dando à equipa a possibilidade de realizar trabalho de valor acrescentado.

Simultaneamente, a automação da cibersegurança pode fornecer uma deteção de ameaças mais rápida. Em 2016, uma investigação pela ESG Research indicava que as equipas de segurança ignoravam 74% dos eventos ou alertas de segurança por causa do elevado número destes acontecimentos.

Uma necessidade?

Os ciberataques são cada vez mais frequentes. Dependendo da dimensão das organizações, há empresas que chegam a receber milhões de alertas de cibersegurança todos os meses. Hoje, as equipas de segurança têm de monitorizar uma superfície de ataque muito maior do que há alguns anos, incluindo dispositivos móveis, infraestruturas cloud, dispositivos IoT e, com o crescimento do trabalho remoto, os terminais dos colaboradores.

Com alertas a chegar de todos os lados, os profissionais têm de resolver as ameaças manualmente caso não existam soluções de automação. Resolver as ameaças manualmente envolve investigar o problema e compará-lo com outras ameaças à organização para determinar a sua legitimidade, decidir sobre um curso de ação e – só depois – resolver o problema manualmente. Muitos dos alertas são redundantes, o que leva os profissionais a perder tempo em tarefas repetitivas que os impedem de dar atenção a problemas mais críticos. A automação de segurança, por outro lado, faz muito desse trabalho para a equipa de segurança. Quando chega um alerta, é determinado imediatamente se uma ação é necessária com base em respostas anteriores a incidentes semelhantes, e, em caso afirmativo, pode corrigir o problema automaticamente.

Falta de adoção

Uma das razões pela falta de adoção de ferramentas que automatizem a segurança prende-se com o facto de os sistemas legacy de muitas organizações precisar de signatures para funcionar. Estes sistemas requerem uma atualização constante das regras e necessitam de feedback manual.

Mesmo nos SOC (Security Operations Centers), há uma série de processos manuais por causa das várias tecnologias com que os analistas trabalham, a necessidade de inteligência humana para identificar ameaças e a falta de ferramentas de automatização até há alguns anos, sendo que a automação ainda é relativamente recente para os profissionais de segurança das operações.