Segurança da Informação e Biologia

A falsa analogia é um dos mais persuasivos (e perigosos) tipos de falácia. Ela é construída achando uma ou mais semelhanças entre dois sujeitos, e concluir que se um deles tem uma outra determinada propriedade então o outro também deve ter.

Um exemplo de falsa analogia é a comparação da Segurança da Informação com a Biologia, que é usada para defender a tese que a "diversidade em TI torna uma organização mais segura". Essa tese surge da analogia entre vírus biológicos e os vírus de computador - uma analogia em muitos pontos apropriada - que é estendida pelos autores da tese até o ponto onde ela se torna completamente falsa. Na verdade, ambientes homogêneos são provavelmente mais seguros, e vamos ver aqui o por quê.

Segundo a biologia darwiniana, o objetivo de cada ser vivo é perpetuar sua espécie e transmitir os seus genes aos descendentes, em um ambiente onde todos competem pela sobrevivência. Uma estratégia usada pelas espécies para maximizar as suas chances de sucesso é a variação genética. Cada ser tem características próprias que o torna distinto dos demais, e caso por exemplo aconteça uma infecção de um vírus que dizime uma grande parte da população, alguns poucos sobreviveram graças a essa diversidade e manterão a espécie viva.

Depois de uma epidemia como a do Blaster a analogia se torna tentadora. O Blaster afetou todos os computadores Windows 2000 e XP sem patch, que provavelmente eram a grande maioria em várias organizações, enquanto as poucas ilhas com Mac OS, DOS e Unix ficaram imunes. Eureka! A diversidade funciona também nos computadores! Então coisa mais inteligente a fazer é seguir a biologia e diversificar os meus sistemas operacionais para me tornar mais seguro, certo?

Errado. A analogia é falsa.

Ao contrário da Biologia, o objetivo da Segurança da Informação (SI) é que todos os sistemas estejam seguros - não basta apenas um sobreviver. Se a informação vazou somente de um dos sistemas mas continua protegido nos outros, isso pode ser  um sucesso na Biologia mas é um completo fracasso para SI. Se três sistemas estão fora do ar mas um continua funcionando, isso pode ser de novo um sucesso na Biologia mas é um fracasso para SI.

O pior é que a diversidade na verdade aumenta a probabilidade de um incidente de segurança. Para ver isso, vamos trazer para o mundo real: suponha que uma empresa tenha acreditado nessa analogia e dividido os seus sistemas em quatro sistemas operacionais diferentes. Estaria ele mais seguro? Vamos ver.

• Redes multiplataforma são mais complexas, e a complexidade é a inimiga maior da segurança. Uma dos pontos de aumento de complexidade está na operação do ambiente. Lembre-se, o Blaster só atingiu sistemas que estavam sem o patch instalado. Qual a chance de um patch não estar instalado se a organização tem agora de gerenciar patches de quatro plataformas diferentes, ao invés de uma? Qual a chance de um erro de configuração de segurança se agora a minha equipe tem que ser especialista em quatro plataformas, ao invés de uma só?
• Ao contrário da biologia, uma pequena população de computadores infectada afeta e compromete toda a população saudável. Por exemplo, em um cliente atingido pelo Blaster o número de PCs infectados era pequeno, menos de 3% do total de clientes. Ainda assim estes PCs geraram uma quantidade de tráfego que saturou a rede e derrubou todo o acesso a Internet e a aplicativos essenciais. A diversidade aqui de novo pioraria, e não melhoraria, a segurança - agora se qualquer um dos quatro sistemas for comprometido a organização está fora.
• A interoperabilidade entre sistemas se dá infelizmente pelo mínimo denominador comum de funcionalidades de segurança. Se você quiser estabelecer uma conexão VPN terá que escolher somente entre os algoritmos que todas as plataformas suportam. Em uma autenticação Wireless somente pode ser exigido o padrão que todas suportam - se por exemplo WPA2 não for suportado então você terá que fazer downgrade para WPA. Em um compartilhamento de arquivos será provavelmente impedido de usar NTLMv2 ou Kerberos e ter que se contentar com NTLM. E vários outros exemplos podem ser citados.

Em resumo, esse cliente teria uma rede mais cara, mais complexa, menos segura e mais sujeita a falhas. Note que se o objetivo do organização for puramente sobrevivência, se a medida de sucesso for ter metade dos seus computadores comprometidos mas ter conseguido deixar a outra metade de pé como na Biologia, então a diversidade pode ser válida. Só que os objetivos das empresas não são esses, e por isso não é surpresa que as empresas não estejam seguindo essa analogia.

UPDATE: Para um outro argumento também contrário a essa analogia, veja este artigo do Marcus Ranum (em inglês).