Edition 16

Nada foi explorado no RubyDoc. O YARD carregou um script para o qual o autor do pacote apontou, uma funcionalidade documentada a funcionar corretamente. Os agentes não quebraram o sistema de build; usaram-no. A sua pipeline concede a mesma cortesia a cada pacote que obtém e a cada ficheiro de configuração dentro dele. Se trata o ambiente de build como uma ferramenta e não como produção, mude isso esta semana.

E retenha o padrão. Três incidentes, nenhum divulgado pela parte que soube primeiro. Os responsáveis do RubyGems passaram quatro meses sem saber quem os tinha atacado por DDoS. O wiki foi combatido por um voluntário que apagava páginas manualmente. Sejamos justos com os factos: uma investigação demora tempo. Mas quando a organização que detém os registos não é a que o informa, fica a saber por um voluntário com um botão de apagar.

O Vale do Silício descobriu que é preciso controlar um sistema antes de o melhorar. Bem-vindos à Europa. Chamamos-lhe AI Act, NIS2 e DORA, e passámos três anos a ouvir que é burocracia que mata a inovação. A única vantagem que eles têm sobre nós é que o dizem depois de terem partido alguma coisa.

Leve o alerta a sério de qualquer forma, e repare também no momento em que surge. Depois reduza o plano ao que pode concretizar: avaliadores independentes com acesso real, a ler os registos e a confirmar que o sistema se manteve dentro dos seus limites. Isso é assurance de terceiros, e é onde o conselho empresarial chega pela outra via. Uma identidade por agente, credenciais que expiram com a tarefa, alguém fora da equipa que lê os registos. É gestão de acessos e ISO 42001 aplicados a um novo tipo de utilizador.

Esta é a parte da cadeia de fornecimento que o seu SBOM não cobre. Passámos o verão em worms de npm e em bills of materials, e tudo isso inventaria o que compila e distribui. Isto corre no browser do seu cliente, a partir do servidor de terceiros, com acesso pleno ao seu formulário de pagamento. E já viu este mecanismo duas vezes aqui: a caixa de correio do ex-colaborador que ninguém eliminou, o cartão Visa expirado que ainda autorizava pagamentos. Expirado não é revogado. Alguém apanha as chaves que atirou fora.

Segunda de manhã, e este é fácil. Implante uma Content Security Policy em modo report-only durante uma semana. Não impõe nada nem bloqueia nada. Diz-lhe apenas o que está a ser executado nos browsers dos seus utilizadores, e essa lista é sempre mais longa do que qualquer pessoa espera.

Leia essas datas com atenção, porque a manchete que toda a gente repete é a errada. O Server 2022 a sair do suporte mainstream não é fim de vida. Mantém atualizações de segurança gratuitas por mais cinco anos. As lápides que importam são o 2012 R2, cujas ESU finais terminam no mesmo dia, e o 2016 em janeiro, muito possivelmente sem forma paga de comprar mais tempo.

O que torna isto perigoso é o tema de toda esta edição: nada quebra. A 13 de janeiro de 2027 os servidores arrancam, as aplicações correm, ninguém repara. As únicas pessoas que forçam a decisão são o seu auditor, o seu segurador e os seus fornecedores que retiram a versão das suas matrizes de suporte, e os três chegam depois da data. Trate isto como ciclo de vida de ativos, não como patching. Se ainda está a migrar do 2012 e do 2016 enquanto o 2022 muda de estado nas suas costas, não tem um backlog de patching. Tem um cemitério de sistemas operativos sem agenda funerária.

Finalmente. Coloco decoys em todo o lado onde trabalho e onde as minhas equipas trabalham. Escondidos na rede, em partilhas de ficheiros, em contas com aparência real que não pertencem a ninguém. Quase ninguém pensa nisto, e agora existe um documento governamental gratuito que o guia através do processo. A desculpa acabou.

Olhe para esta edição e perceberá por que termina aqui. Agentes a circular por um ambiente de build com acesso legítimo. Um script a correr no browser do seu cliente com os seus privilégios. Credenciais que sobreviveram ao seu titular. Nada disto quebra coisa alguma, o que é precisamente a razão pela qual as suas ferramentas ficam em silêncio. Um decoy inverte isso: ninguém legítimo tem qualquer razão para tocar num honeytoken, pelo que quando um dispara obtém sinal com quase nenhum ruído. Construa-o corretamente; um mau decoy é uma responsabilidade. E não trate esta orientação da forma como a maioria das pessoas trata os seus relatórios de auditoria: lido uma vez, arquivado, esquecido. O decoy que implementa é o controlo. O PDF é só papel.