Como uma competição entre estudantes levou a uma nova estratégia de cibersegurança - Universia Knowledge@Wharton
A cibersegurança é uma grande preocupação para quase toda a indústria. Contudo, no setor bancário, ela ganha importância ainda maior. A disputa para estar à frente dos criminosos digitais requer um raciocínio inovador. É por isso que o Instituto SWIFT, de Londres, criado pela Sociedade para Telecomunicações Financeiras Interbancárias com o objetivo de possibilitar uma aprendizagem que una o conhecimento acadêmico ao bancário, lançou um desafio às equipes formadas por alunos de universidades canadenses incitando-as a que produzissem novas ideias.
A equipe vencedora, a Team Pulse OS, criou um processo que permite a detecção precoce e confiável por meio da análise do uso específico de energia em aparelhos móveis. A líder da equipe, Nataliya Mykhaylova, que faz doutorado em engenharia química na Universidade de Toronto, conversou sobre seu projeto com a Knowledge@Wharton depois de vencer a competição em outubro de 2017. Peter Ware, diretor do Instituto SWIFT também participou da conversa sobre cibersegurança.
Knowledge@Wharton: O que levou o Instituto SWIFT a criar essa competição?
Peter Ware: Lançamos o Desafio aos Estudantes do Instituto SWIFT no ano passado basicamente para interagir com eles. Parte do que o instituto faz é conceder bolsas para pesquisas para o pessoal da academia. Já faz cinco anos que trabalhamos com instituições acadêmicas, por isso queríamos ir além e explorar algumas mentes jovens, promissoras e participativas.
Associamos esse desafio específico a um congresso que tivemos em Toronto, o Sibos. Achávamos que devíamos nos concentrar principalmente nos estudantes das universidades canadenses. Antes do início do desafio, fomos até a comunidade bancária do Canadá e perguntamos àquelas pessoas: "O que seria para vocês a coisa mais importante? O que tira o sono de vocês à noite e que nós podíamos ajudá-los a resolver?" Não houve surpresa: a preocupação era com a cibersegurança. Eles nos ajudaram a trazer à tona a ideia de tentar proteger dos ciberataques os canais do banco usados pelos clientes. Foi esse o desafio que propusemos aos estudantes.
Knowledge@Wharton: Nataliya, por que você quis participar dessa competição?
Nataliya Mykhaylova: Fiquei empolgada quando ouvi falar da competição porque a cibersegurança é uma coisa muito importante para todo o mundo. Muitos dos ataques atuais passam despercebidos. Faz algum tempo que pesquiso o assunto da perspectiva do hardware. No meu doutorado na Universidade de Toronto, eu estava testando diferentes aparelhos e tomei contato com muitas ideias sobre como evitar os ataques no plano do hardware. Fiquei muito animada com a competição e achei que devia apresentar minhas ideias.
Knowledge@Wharton: Fale mais sobre sua ideia vencedora.
Mykhaylova: Ouvimos no noticiário falar de empresas que têm problemas de cibersegurança. O que eu observei ao analisar esses casos é que há um esforço muito grande dirigido à prevenção dos ataques, o que é compreensível. No entanto, notei também que não se dá muita atenção à detecção desses problemas precocemente. Na verdade, somente 30% dos ataques à cibersegurança são detectados internamente. Esse é um problema muito sério. Há inúmeras formas criativas pelas quais os ataques ocorrem, por isso precisamos de sistemas melhores para detectá-los na iminência de acontecerem, ou antes que tenham uma chance real de se espalhar.
Durante meu doutorado, montei e testei diferentes aparelhos e sensores. Descobri que há um padrão que pode ser detectado e corrigido através de modelos de inteligência artificial. Pode-se realmente detectar as mudanças muito precocemente nesses modelos ─ por exemplo, se o sistema estiver comprometido já em seus primeiros estágios, as características típicas de desempenho (aquecimento, CPU, outros padrões) mudam muito rapidamente. Pode-se diferenciá-las das operações normais do sistema. Basicamente, um ataque deixaria uma série de "migalhas" que comprometem o sistema, de modo que é possível detectá-las antes que tenham a chance de se espalhar. Foi uma descoberta interessante e serviu de inspiração para a ideia que tive posteriormente.
Knowledge@Wharton: Você levou em conta o fato de que muitas atividades bancárias são realizadas através de aparelhos móveis?
Mykhaylova: Sim. O aspecto interessante do sistema é que ele funciona em diferentes tipos de aparelhos. A todo momento consultamos nossa conta bancária nos aparelhos móveis ─ laptops, nos nossos desktops. É preciso que haja um sistema que funcione eficazmente nas várias interfaces, de modo que possamos detectar as coisas antes que elas se espalhem pelos canais do banco. Parte desse sistema atinge níveis bem profundos, chega até o hardware. A cada nova versão desses aparelhos, seu circuito integrado fica mais aperfeiçoado. Muitos deles atualmente são equipados com recursos que nos permitem rodar modelos de aprendizagem de máquina em tempo real capazes de detectar mudanças na operação do sistema.
É uma ideia muito interessante e creio que não foi explorada ainda. É uma coisa que estamos fazendo e, ao mesmo tempo, já pudemos perceber que é possível explorar muitas partes do sistema. Como se trata de uma coisa muito mais difícil de ser imitada pelos hackers, porque eles não podem mudar efetivamente os modelos de hardware com tanta facilidade quanto o software que roda no sistema e esconder suas "pegadas".
Repetindo: trata-se de uma coisa que pode ser usada em vários sistemas, o que a torna muito poderosa e permite rodar o script no seu celular, tablet ou laptop.
Knowledge@Wharton: Peter, qual a importância do que Mykhaylova está descrevendo?
Peter Ware: Trata-se de uma coisa muito útil, avançada e diferente do que acredito que muitos bancos estejam fazendo. Várias ideias propostas por outras equipes do desafio também foram muito boas. Elas tinham a ver com coisas como autenticação de quatro fatores, reconhecimento facial e de voz. Contudo, a estratégia de Nataliya foi única, isto é, essa ideia de trabalhar com um padrão ou com o reconhecimento de uso no aparelho. É uma abordagem nova. É uma coisa, assim esperamos, que os bancos levarão adiante e se empenharão em implementar.
Knowledge@Wharton: Os bancos já se manifestaram em relação às ideias surgidas na competição?
Ware: Na verdade, foram os bancos que deram a vitória a Nataliya. Tínhamos um painel com quatro jurados. Entre eles havia alguns banqueiros do Canadá e especialistas em fintech. Também submetemos a votação ao escrutínio online. Foi a comunidade bancária que escolheu o vencedor. Houve também muita interação entre os bancos e Nataliya e os demais membros da equipe. Tenho certeza de que várias dessas ideias serão levadas em frente.
Knowledge@Wharton: Existe alguma possibilidade de que algumas dessas instituições se envolvam no desenvolvimento dessa ideia?
Ware: Isso é uma coisa que deverá ocorrer diretamente entre os bancos e Nataliya, portanto é algo que estamos tentando promover. Estamos tentando promover essa interação e o contato entre os bancos e os estudantes. O que acontece a seguir é algo que está diretamente relacionado aos dois.
Knowledge@Wharton: Nataliya, a sua ideia pode ser adaptada e aplicada a outros setores também?
Mykhaylova: Estou muito interessada em dar escala a essa solução. Sou apaixonada por cibersegurança e acho que o setor bancário é um excelente lugar para começar. Contudo, é como se todos os dias tivéssemos novos canais por meio dos quais interagimos com o mundo, além de novos aparelhos em casa através dos quais interagimos. Temos aparelhos com Internet das Coisas [IoT, na sigla em inglês], conversamos com o Alexa etc. São canais de fácil penetração em nosso sistema. Creio que podemos tornar basicamente qualquer canal mais seguro.
Já estamos conversando com os bancos no Canadá e também no exterior, por isso me sinto muito feliz em ter participado da competição da Sibos. Contudo, houve muito interesse também do setor de tecnologia de IoT, que está desenvolvendo esses aparelhos que todos temos em casa agora. Fico muito entusiasmada com esse interesse e com a escalabilidade do setor.
Knowledge@Wharton: O Instituo SWIFT terá seu congresso em 2018 em Sydney, na Austrália. Você planeja continuar conversando sobre cibersegurança?
Ware: Vamos ter novamente o Desafio aos Estudantes, mas trabalharemos uma ideia diferente. Tivemos uma reunião com a comunidade bancária da Austrália e explicamos aos banqueiros o conceito do desafio. A empolgação foi grande. Eles estão em meio à discussão de uma ideia que será importante para sua comunidade. Nesse momento, não sabemos ainda que ideia seria essa. Já fizemos contato com 43 universidades da Austrália para explicar o que é o Sibos, o que faz o Instituto SWIFT e qual a ideia por trás do desafio. Há muito interesse por parte das universidades.
Knowledge@Wharton: Quais os próximos passos para você, Nataliya?
Mykhaylova: Nosso objetivo agora é testar o sistema em todos os casos possíveis, finalizar os modelos e lançá-lo através de algumas instituições bancárias parceiras e com isso mostrar efetivamente os benefícios que eles podem proporcionar.
Conforme eu disse, ele pode ser rodado em qualquer sistema, é relativamente barato e rápido de montar, é uma solução fácil de implementar e pode propiciar um retorno mais elevado sobre os investimentos para os bancos. Estamos perto de finalizar o modelo e devemos lançá-lo no ano que vem.
Knowledge@Wharton: Os bancos operam com diferentes sistemas. Foi um desafio para você o processo de desenvolvimento desse conceito?
Mykhaylova: Sim. Os bancos têm toda a infraestrutura necessária atualmente para vários tipos de divisões e para a maior parte das interações entre empregados e clientes. Esse foi um dos principais aspectos que queríamos incorporar a essa solução, de modo que pudéssemos empregar um sistema em escala para identificar os problemas antes que eles pudessem ter a chance de se espalhar pela rede ─ o que, para mim, é uma das principais preocupações dos casos recentes de empresas que acabaram comprometidas.
Ware: Até mesmo dentro de um único banco há inúmeros sistemas. Houve tantas fusões e aquisições nas últimas décadas e todas essas empresas herdaram um sistema que está sendo testado e analisado. A ideia de Nataliya, de ter algo relativamente fácil de pôr em prática, será música para os ouvidos dos banqueiros. É uma grande iniciativa.
Knowledge@Wharton: Nesse caso, seria necessário conversar primeiro com o governo canadense para implementação do projeto?
Mykhaylova: Até certo ponto. Atualmente, o sistema pode rodar em vários aparelhos diferentes e pode ainda ser preparado para operar em vários sistemas distintos. Agora estamos começando a validá-lo em pequenos cenários práticos. Contudo, mais tarde, à medida que ele for se expandindo, estou convencida de que será importante envolver o governo, uma vez que a cibersegurança será fundamental em todas as suas operações. Seria importante pensar a esse respeito em larga escala.
Knowledge@Wharton: Como os bancos se retiraram de alguns setores, um grande número de áreas hoje são mal atendidas, e tem havido um aumento extraordinário de inclusão financeira graças à entrada de algumas fintechs nos espaços financeiros. A solução de cibersegurança que Nataliya propôs atende também a entidades desse tipo?
Ware: Creio que sim. Você tem toda razão: quanto mais as fintechs abrirem seus sistemas e criarem novos sistemas para fornecer serviços bancários para todos no mundo inteiro, serão criadas mais oportunidades para ciberataques. Uma boa parte dessas empresas de fintech não são bem reguladas ─ se é que seguem algum regulamento ─ se comparadas com os bancos.
A segurança com que trabalham talvez não seja tão boa quanto a dos bancos. A ideia da Nataliya pode ser muito útil para elas, e eu acho que é extremamente necessário que as fintechs adotem medidas de segurança as mais rigorosas possíveis.
Knowledge@Wharton: As instituições financeiras talvez hesitem em fazer parceria umas com as outras, mas o partilhamento de informações ajudaria a todos a elevar o nível da cibersegurança. Você concorda?
Ware: Sem dúvida. A forma como os bancos trocam informações é algo que já exploramos da perspectiva da pesquisa. Eles trocam informações sobre ciberataques, mas nós estamos sempre buscando meios de melhorar isso. As pessoas que praticam regularmente esse tipo de ataque agem como empresa. Elas compram e vendem informações umas das outras. Do ponto de vista da proteção, os bancos estão começando, cada vez mais, a pensar de acordo com esse raciocínio. O mesmo se aplica a qualquer outra indústria.
Knowledge@Wharton: Outra preocupação do consumidor é a velocidade com que a informação resultante de um vazamento chega ao público. Muitos dentro da comunidade de TI dizem que é preciso tempo para entender o que aconteceu. Dessa perspectiva, talvez a solução de Nataliya possa apressar o processo.
Ware: Exatamente. Quanto mais cedo essas ameaças forem detectadas, mais tempo os bancos e as demais pessoas terão para reagir.
Mykhaylova: Leva, em média, 98 dias para detectar um ataque; às vezes, só depois de anos. Isso é uma coisa muito insana, pensar que ainda é preciso gastar tanto tempo para detectar essas coisas. Isso se explica, em parte, pelo fato de que também está cada vez mais difícil detectar os ataques. Há novos tipos de malware, novos tipos de ataque de dia zero e outras ameaças que estão se tornando cada vez mais comuns. Por isso, é importante ter sistemas que não precisem de assinaturas, que sejam capazes de detectar ataques sem nenhum conhecimento prévio da ameaça. É nesse ponto que nosso sistema supera os demais: ele é capaz de detectar padrões de forma não supervisionada. Não é preciso criar bibliotecas de assinaturas antecipadamente.
Knowledge@Wharton: Você acha que chegaremos ao ponto em que possíveis interrupções serão feitas e previstas em tempo real?
Mykhaylova: Sim, esse é o objetivo. Nosso sistema roda em tempo real sempre rastreando as coisas, classificando-as e avaliando seu grau de risco. Acho que isso é fundamental para que se operar em tempo real.
"Como uma competição entre estudantes levou a uma nova estratégia de cibersegurança." Universia Knowledge@Wharton. The Wharton School, University of Pennsylvania, [22 November, 2017]. Web. [19 January, 2022] <https://www.knowledgeatwharton.com.br/article/como-uma-competicao-entre-estudantes-levou-uma-nova-estrategia-de-ciberseguranca/>
Como uma competição entre estudantes levou a uma nova estratégia de cibersegurança. Universia Knowledge@Wharton (2017, November 22). Retrieved from https://www.knowledgeatwharton.com.br/article/como-uma-competicao-entre-estudantes-levou-uma-nova-estrategia-de-ciberseguranca/
"Como uma competição entre estudantes levou a uma nova estratégia de cibersegurança" Universia Knowledge@Wharton, [November 22, 2017].
Accessed [January 19, 2022]. [https://www.knowledgeatwharton.com.br/article/como-uma-competicao-entre-estudantes-levou-uma-nova-estrategia-de-ciberseguranca/]