Engenharia de cibersegurança

A engenharia de cibersegurança é uma disciplina tech que se concentra na proteção de sistemas, redes e dados contra ameaças cibernéticas. Essa área envolve a aplicação de princípios de engenharia para o design, implementação, manutenção e avaliação de sistemas seguros, garantindo a integridade, confidencialidade e disponibilidade da informação.^[1][2][3]

Com o aumento das ameaças digitais e a crescente dependência da tecnologia em todos os aspectos da vida moderna, a engenharia de cibersegurança tornou-se crucial para proteger indivíduos, organizações e nações contra uma variedade de riscos cibernéticos.

A engenharia de cibersegurança começou a se consolidar como um campo específico na década de 1970, junto da ascensão das redes de computadores e da Internet. Antes disso, a segurança era focada em aspectos físicos, como o controle de acesso a máquinas e instalações. No entanto, à medida que as redes se tornaram mais complexas, a proteção a dados digitais e sistemas de informação ganhou evidência.^[4][5][6]

Nos anos 70, a introdução dos primeiros sistemas de criptografia de chave pública, como o algoritmo RSA, representou um marco significativo, permitindo comunicações seguras entre partes que não compartilhavam previamente um segredo. Na década de 80, a expansão das redes locais (LANs) e o surgimento de sistemas operacionais multiusuário, como o UNIX, evidenciaram a necessidade de controles de acesso mais sofisticados e auditorias de sistemas.^[7]

Durante os anos 90, a popularização da Internet e o advento da World Wide Web (WWW) trouxeram novos desafios para a segurança cibernética. O surgimento de vírus, worms e ataques de negação de serviço (DDoS) exigiu o desenvolvimento de novas técnicas defensivas, como firewalls e software antivírus. Esse período marcou a solidificação do conceito de segurança da informação, que passou a englobar não apenas proteções técnicas, mas também políticas e práticas organizacionais para mitigar riscos.^[8]

Com a chegada do século XXI, o campo da engenharia de cibersegurança evoluiu para enfrentar ameaças mais sofisticadas, incluindo ataques de phishing, ransomware e intrusões patrocinadas por Estados. A introdução de conceitos como a arquitetura de segurança em camadas e o uso de inteligência artificial para detecção de ameaças tornou-se essencial. A integração de frameworks como o NIST Cybersecurity Framework destacou a necessidade de uma abordagem abrangente que inclui defesa técnica, prevenção, resposta e recuperação de incidentes. A engenharia de cibersegurança se expandiu, então, para abranger aspectos técnicos, legais e éticos, refletindo a complexidade crescente do cenário de ameaças.^[6][9]

Os fundamentos da cibersegurança são baseados nos princípios de confidencialidade, integridade, disponibilidade e autenticidade.^[10][11]

• Confidencialidade: garante que a informação seja acessível apenas para indivíduos ou sistemas autorizados;
• Integridade: assegura que a informação não seja alterada de maneira não autorizada;
• Disponibilidade: mantém a acessibilidade dos sistemas e dados conforme necessário, mesmo diante de ataques ou falhas;
• Autenticidade: garante que a identidade dos usuários, dispositivos ou sistemas seja verificada, assegurando que a fonte da informação seja legítima e confiável.

Arquiteturas de segurança como a Zero Trust Architecture desafiam o conceito tradicional de perímetro de rede confiável, assumindo que as ameaças podem vir de qualquer lugar, incluindo de dentro da rede. Essas arquiteturas integram controles de segurança em todos os níveis da infraestrutura, desde a borda até o núcleo, e utilizam a autenticação contínua e a segmentação da rede para limitar o movimento lateral de ameaças.^[12][13]

A criptografia é utilizada para proteger a confidencialidade e a integridade dos dados em trânsito e em repouso.^[14] Técnicas criptográficas incluem:

• Cifras simétricas e assimétricas: usadas para proteger dados em trânsito e em repouso. Na criptografia simétrica, a mesma chave é usada tanto para criptografar (codificar) quanto para descriptografar (decodificar) a informação. Já na criptografia assimétrica, são usadas duas chaves diferentes, mas matematicamente relacionadas.^[15]
• Assinaturas digitais e certificados SSL/TLS: garantem a autenticidade e a integridade das comunicações. As assinaturas digitais funcionam de forma similar a uma assinatura manual, mas com a vantagem de assegurar que o conteúdo não foi alterado, verificando a identidade de um remetente específico em uma mensagem ou documento. Os certificados SSL/TLS garantem que a conexão entre o navegador e o servidor é segura e criptografada, protegendo os dados em trânsito.^[16][17]
• Criptografia homomórfica: permite operações em dados criptografados sem necessidade de decifração. Em métodos tradicionais de criptografia, os dados precisam ser descriptografados para que cálculos ou operações sejam realizados. No entanto, a criptografia homomórfica permite que as operações (como soma ou multiplicação) sejam feitas diretamente sobre os dados cifrados, e, ao final, quando os dados são descriptografados, o resultado das operações sobre os dados originais é obtido corretamente.^[18]

A gestão de riscos tem como objetivo reduzir a probabilidade e o impacto de incidentes de segurança, envolvendo a identificação, avaliação e mitigação de riscos cibernéticos.^[19][20] As práticas comuns incluem:

• Avaliações de vulnerabilidade: identificam e priorizam vulnerabilidades no sistema
• Controles de segurança: implementação de medidas para reduzir a probabilidade e o impacto de incidentes
• Planos de resposta a incidentes: preparação para lidar com e recuperar de eventos de segurança

Os firewalls são dispositivos ou softwares que controlam o tráfego de rede baseado em políticas de segurança predefinidas.^[21]

Sistemas de Detecção de Intrusão (IDS) e Sistemas de Prevenção de Intrusão (IPS) monitoram e analisam o tráfego de rede em busca de atividades suspeitas, permitindo a detecção e, em alguns casos, a interrupção de ataques em tempo real.^[22][23]

Sistemas de autenticação e controle de acesso garantem que apenas usuários e dispositivos autorizados possam acessar recursos específicos. Tecnologias como autenticação multifator (MFA), gerenciamento de identidades e acesso (IAM) e o uso de tokens de segurança são comumente aplicadas para fortalecer a segurança.^[24][25][26]

A criptografia de dados na nuvem é uma medida essencial para proteger informações tanto armazenadas quanto em trânsito. Esse processo garante que os dados estejam codificados, impedindo o acesso por indivíduos não autorizados durante a transmissão ou quando armazenados em servidores de terceiros.^[27]

A segurança em contêineres é outra camada de proteção que isola aplicações e dados em ambientes virtuais seguros. Contêineres são uma forma de virtualização leve que empacota uma aplicação e suas dependências em um único ambiente isolado, permitindo que ela seja executada de maneira consistente em diferentes infraestruturas. Esse isolamento garante que as aplicações funcionem de forma independente, evitando que vulnerabilidades em uma área comprometam todo o sistema.^[28]

Além disso, as políticas de segurança na nuvem estabelecem regras e controles para proteger dados e aplicações distribuídas em infraestruturas de nuvem. Essas políticas garantem que os procedimentos adequados sejam seguidos para mitigar riscos e evitar violações de segurança.

Soluções de Detecção e Resposta a Ameaças (TDR) utilizam a análise de grandes volumes de dados para identificar comportamentos anômalos e potenciais ameaças. Ferramentas de Security Information and Event Management (SIEM) e User and Entity Behavior Analytics (UEBA) são usadas para coletar, correlacionar e analisar dados de segurança em tempo real.^[29][30]

O controle de tráfego em cibersegurança envolve a gestão e otimização do fluxo de dados na rede para evitar congestionamentos e minimizar o risco de ataques, como DDoS, SQL Injection, Cross-Site Scripting (XSS), Cross-Site Request Forgery (CSRF), entre outros. Técnicas incluem a utilização de firewalls de aplicação web (WAF) e balanceadores de carga para distribuir o tráfego de forma segura. O WAF protege aplicações web ao filtrar e monitorar o tráfego HTTP e HTTPS entre um aplicativo web e a internet. Já os balanceadores de carga distribuem o tráfego de rede ou as solicitações de serviço entre múltiplos servidores ou recursos de uma infraestrutura de TI.^[31][32]

A Qualidade de Serviço (QoS) em segurança garante que os recursos críticos, como aplicações de missão crítica e serviços de emergência, recebam prioridade no acesso a recursos de rede, minimizando o impacto de possíveis ameaças ou falhas de segurança.^[33]

Para cada país, há diferentes definições legislativas que estabelecem requisitos para a segurança da informação em diversos setores.

A proteção de dados pessoais no Brasil é regida pela Lei Geral de Proteção de Dados Pessoais (LGPD);^[34] na União Europeia, pelo Regulamento Geral sobre a Proteção de Dados (GDPR).^[35] A Lei de Portabilidade e Responsabilidade de Seguro de Saúde (HIPAA), que define requisitos para a proteção de informações de saúde nos Estados Unidos, vem sendo usada como base para os hospitais brasileiros.^[36] A Lei Sarbanes-Oxley (SOX) é outra lei norte-americana de grande impacto internacional, pois estabeleceu padrões para a segurança financeira e de dados corporativos nos EUA, regulando todas as empresas que possuem títulos ativos na bolsa de valores do país, incluindo as estrangeiras.^[37]

Certificações de segurança são credenciais importantes para profissionais que desejam demonstrar sua competência em práticas de cibersegurança. As principais incluem:

• Certified Information Systems Security Professional (CISSP) da (ISC)²: reconhecida internacionalmente para profissionais de segurança.^[38]
• Certified Information Security Manager (CISM) da ISACA (Information Systems Audit and Control Association): foca na gestão de segurança da informação.^[39]
• Certified Ethical Hacker (CEH) da EC-Council: valida habilidades em testes de penetração e hacking ético.^[40]

A engenharia de cibersegurança está em constante evolução, impulsionada pela necessidade de enfrentar novas e sofisticadas ameaças cibernéticas e pelas oportunidades oferecidas pelos avanços tecnológicos. As principais áreas de pesquisa e desenvolvimento incluem:

A integração de inteligência artificial (IA) e machine learning (ML) na engenharia de cibersegurança está revolucionando a forma como as ameaças são detectadas e mitigadas. Pesquisadores estão desenvolvendo algoritmos de IA e ML para identificar padrões de comportamento anômalo, prever ataques antes que estes aconteçam e automatizar respostas a incidentes.^[41]

A criptografia quântica é uma área emergente que explora o uso de princípios da mecânica quântica para proteger dados contra ataques cibernéticos. Promete oferecer um nível de segurança superior ao das técnicas tradicionais, utilizando propriedades como a superposição e o entrelaçamento para criar sistemas de comunicação imunes à espionagem. A pesquisa está focada em tornar essa tecnologia prática e acessível para aplicações comerciais.^[42]

As áreas de foco de pesquisa incluem a proteção de dados em nuvem através de criptografia avançada, a segurança de arquiteturas de contêineres e a implementação de controles de acesso e políticas de segurança em ambientes multi-tenant.^[43]

Arquiteturas de segurança adaptativas são projetadas para se ajustar dinamicamente às ameaças emergentes e às mudanças no ambiente de TI. Essas arquiteturas utilizam princípios de segurança em camadas e abordagens baseadas em políticas para fornecer uma defesa flexível e escalável. Pesquisadores estão trabalhando em soluções que integram segurança em todos os níveis da infraestrutura, desde a borda da rede até o núcleo.^[44]

Há uma grande demanda pelo desenvolvimento de tecnologias que equilibrem a proteção dos dados pessoais com a necessidade de acessibilidade e análise destas informações por parte das instituições. Avanços estão sendo feitos em técnicas de anonimização e pseudonimização de dados, bem como em métodos para garantir a conformidade com regulamentos de privacidade, como o GDPR.^[45]

A pesquisa em resiliência a incidentes e recuperação está focada em melhorar a capacidade das organizações de se recuperarem rapidamente após um ataque cibernético. Isso inclui o desenvolvimento de técnicas para a detecção precoce de incidentes, a implementação de estratégias de resposta eficazes e a criação de planos de recuperação que minimizem o impacto de ataques e garantam a continuidade dos negócios.^[46]

Referências

1. ↑ «How To Become A Cybersecurity Engineer: Salary, Education and Job Outlook». Forbes. Consultado em 17 de setembro de 2024 
2. ↑ «ENGENHEIRO DE CIBERSEGURANÇA - O que faz, formação, salários | Quero Bolsa». Quero Bolsa. Consultado em 17 de setembro de 2024 
3. ↑ Mullins, Sarah (12 de abril de 2022). «What is cybersecurity engineering?». UC News (em inglês). Consultado em 17 de setembro de 2024 
4. ↑ «A história da segurança cibernética | NordVPN». nordvpn.com. 20 de dezembro de 2022. Consultado em 17 de setembro de 2024 
5. ↑ Vanzolini (19 de maio de 2023). «Cibersegurança e o avanço contra os ataques cibernéticos». Fundação Vanzolini. Consultado em 17 de setembro de 2024 
6. ↑ ^{a b} «Educação | IBSEC - Quando surgiu a cibersegurança?». Consultado em 17 de setembro de 2024 
7. ↑ «Criptografia RSA: Como Ela Mudou a Segurança de Dados». 29 de março de 2023. Consultado em 17 de setembro de 2024 
8. ↑ Redação (8 de dezembro de 2023). «Dia da ciência da computação: Cyber é marco histórico para digitalização». Security Leaders. Consultado em 17 de setembro de 2024 
9. ↑ «Origens de ameaças maliciosas e cibersegurança». Rockwell Automation. Consultado em 17 de setembro de 2024 
10. ↑ «Os quatro pilares da segurança da informação – Confidencialidade, Disponibilidade, Integridade e Autenticidade». gov.br. Consultado em 17 de setembro de 2024 
11. ↑ TOTVS, Equipe (27 de junho de 2023). «Política de segurança da informação: saiba como fazer». TOTVS. Consultado em 17 de setembro de 2024 
12. ↑ «O que é Zero Trust Architecture?». Trend Micro. Consultado em 17 de setembro de 2024 
13. ↑ «What is a Zero Trust Architecture». Palo Alto Networks (em inglês). Consultado em 17 de setembro de 2024 
14. ↑ «O que é criptografia?». IBM. 14 de novembro de 2023. Consultado em 17 de setembro de 2024 
15. ↑ TOTVS, Equipe (9 de junho de 2023). «Criptografia simétrica e assimétrica: confira a diferença». TOTVS. Consultado em 17 de setembro de 2024 
16. ↑ Positiva, Grupo (13 de agosto de 2020). «Entenda agora como funciona a Assinatura Digital de Documentos». Grupo Positiva. Consultado em 17 de setembro de 2024 
17. ↑ «O que é um certificado SSL? – Explicação sobre certificados SSL/TLS – AWS». Amazon Web Services, Inc. Consultado em 17 de setembro de 2024 
18. ↑ «Criptografia homomórfica: um esquema de criptografia cada vez mais usado». Welivesecurity. Consultado em 17 de setembro de 2024 
19. ↑ «Metodologias para o gerenciamento de riscos de cibersegurança e sua potencial interoperabilidade». Welivesecurity. Consultado em 17 de setembro de 2024 
20. ↑ Valdivia, Gustavo (13 de janeiro de 2023). «5 Passos na Gestão de Riscos de Segurança da Informação». GAT InfoSec. Consultado em 17 de setembro de 2024 
21. ↑ «O que é um Firewall». Secretaria Geral de Informática. Consultado em 17 de setembro de 2024 
22. ↑ «O que é um sistema de detecção de intrusão (IDS)? | IBM». IBM. 19 de abril de 2023. Consultado em 17 de setembro de 2024 
23. ↑ «O que é um sistema Intrusion Prevention?». Palo Alto Networks. Consultado em 17 de setembro de 2024 
24. ↑ «O que é autenticação multifator? – Explicação sobre MFA – AWS». Amazon Web Services, Inc. Consultado em 17 de setembro de 2024 
25. ↑ «Gerenciamento de acesso e identidade». IBM. Consultado em 17 de setembro de 2024 
26. ↑ «Token de segurança». IBM. Consultado em 17 de setembro de 2024 
27. ↑ «Criptografia para segurança na nuvem». Google Cloud. Consultado em 17 de setembro de 2024 
28. ↑ «O que é: Container Security». Napoleon. Consultado em 17 de setembro de 2024 
29. ↑ by (3 de setembro de 2020). «O que é SIEM e quais suas principais funcionalidades?». SegInfo - Portal, Podcast e Evento sobre Segurança da Informação. Consultado em 17 de setembro de 2024 
30. ↑ «UEBA vs. SIEM: What's the Difference?». BlackBerry (em inglês). Consultado em 17 de setembro de 2024 
31. ↑ «O que é WAF (Firewall de Aplicações Web)?». Oracle. Consultado em 17 de setembro de 2024 
32. ↑ «O que é balanceamento de carga? | Como funcionam os balanceadores de carga». Cloudflare. Consultado em 17 de setembro de 2024 
33. ↑ «O que é QoS (Quality of Service) em redes?». Fortinet. Consultado em 17 de setembro de 2024 
34. ↑ «L13709». Planalto. Consultado em 17 de setembro de 2024 
35. ↑ «Proteção de dados na UE». Comissão Europeia. 4 de junho de 2021. Consultado em 17 de setembro de 2024 
36. ↑ «HIPAA: o que é e porque seguir este modelo?». Flowti. 3 de março de 2023. Consultado em 17 de setembro de 2024 
37. ↑ «Lei Sarbanes-Oxley: o que é e qual o seu impacto?». Uplexis. 19 de setembro de 2024. Consultado em 17 de setembro de 2024 
38. ↑ «What Is CISSP Certification? Qualifications, Benefits And Salary». Forbes. Consultado em 17 de setembro de 2024 
39. ↑ «Certificação em Gestão de Segurança da Informação (CISM) - Brasilia Chapter». ISACA. Consultado em 17 de setembro de 2024 
40. ↑ «Certificação: CEH - Certified Ethical Hacker». [Portal] Carreira em Tecnologia da Informação na Prática. Consultado em 17 de setembro de 2024 
41. ↑ «O Papel da Inteligência Artificial na Segurança Cibernética». Fatec Taquaritinga. Interface Tecnológica. 30 de junho de 2022. Consultado em 17 de setembro de 2024 
42. ↑ «Criptografia Quântica». Grupo de Teleinformática e Automação da UFRJ. Consultado em 17 de setembro de 2024 
43. ↑ laurenm (10 de setembro de 2024). «Arquitetura multi-inquilino para grandes instituições». Microsoft Learn. Consultado em 17 de setembro de 2024 
44. ↑ «Como construir uma arquitetura de segurança adaptativa». Transformação Digital IBM. 1 de abril de 2021. Consultado em 17 de setembro de 2024 
45. ↑ Tools, Privacy (5 de outubro de 2023). «Privacy Tools | Gestão de Privacidade, GRC, ESG». Privacy Tools. Consultado em 17 de setembro de 2024 
46. ↑ «Recuperação, resistência e resiliência após um ataque cibernético industrial - KPMG Brasil». KPMG. 21 de abril de 2023. Consultado em 17 de setembro de 2024