Filmes mostram o hacker digitando furiosamente e invadindo em segundos. A realidade é mais lenta e menos glamourosa. Antes de qualquer tentativa de invasão, vem uma fase silenciosa e paciente: o reconhecimento, a coleta de informação sobre o alvo. E, com frequência, é essa fase discreta, e não o ataque em si, que decide o resultado.
Entender o reconhecimento importa para os dois lados. Para quem testa a segurança de forma autorizada, ele é o alicerce do trabalho. Para quem defende, saber como o atacante coleta informação ajuda a esconder o que não deveria estar à vista.
O que é reconhecimento
Reconhecimento é montar, peça por peça, um retrato do alvo antes de tocá-lo. Que sistemas ele usa, que pessoas trabalham lá, que serviços estão expostos, que tecnologias aparecem, que informações vazam sem querer pela internet afora. Quanto mais completo esse retrato, mais o atacante sabe por onde tentar, e menos ele precisa de sorte.
A parte que surpreende quem não é da área é o quanto se descobre sem nunca tocar no alvo diretamente. Muita informação está pública, espalhada, esperando quem se dê ao trabalho de juntar. Foi disso que tratei em Google hacking e em mapear a superfície de ataque com fontes abertas: o retrato se monta, em boa parte, só com o que já está ao alcance de todos.
Por que a fase silenciosa decide o resto
O reconhecimento define a qualidade de tudo o que vem depois. Um atacante que conhece bem o alvo escolhe o ataque certo, mira a pessoa certa, aproveita a fraqueza certa. Um que pulou essa fase atira no escuro e faz barulho à toa. Três vantagens explicam o peso do reconhecimento:
- Precisão. Saber o que o alvo usa aponta exatamente onde tentar.
- Convencimento. Conhecer as pessoas permite um golpe sob medida, como discuti em anatomia de um ataque de phishing.
- Discrição. Quem sabe onde bater tenta menos, e faz menos barulho que denuncie.
O lado da defesa: o que você entrega sem perceber
Se o reconhecimento se alimenta de informação exposta, a defesa começa por controlar o que se expõe. A maioria das organizações entrega, sem perceber, mais do que deveria: detalhes técnicos em páginas públicas, dados de funcionários espalhados, sistemas acessíveis que poderiam estar escondidos.
Reduzir esse rastro não impede o ataque, mas encarece o reconhecimento e diminui a mira do atacante:
- Saiba o que você expõe. Faça, você mesmo, o reconhecimento da própria organização, e veja o que aparece.
- Esconda o que não precisa estar à vista, de sistemas internos a detalhes técnicos em páginas públicas.
- Oriente as pessoas sobre quanto de informação útil ao atacante elas espalham sem pensar.
- Reduza a superfície exposta, porque o que não está acessível nem entra no retrato.
A vantagem de pensar como o atacante
O reconhecimento ensina uma lição que vale para toda a defesa: o atacante te estuda antes de te atacar, e boa parte do que ele usa você mesmo deixou à vista. A melhor resposta é virar essa lente para dentro, olhar a própria organização com os olhos de quem coleta, e esconder o que estava exposto sem necessidade. Vencer o ataque, muitas vezes, começa por perder a fase silenciosa que o antecede, negando ao atacante o retrato de que ele precisa.