Notícias
ALERTA 05/2021
[TLP:WHITE]
1. Sistemas legados são sistemas antigos, em hardware e/ou software, que permanecem em operação em um órgão ou instituição. A continuidade no uso dos sistemas legados, em geral, é motivada pela criticidade do serviço envolvido e/ou pelo custo da atualização tecnológica. É comum que estes sistemas apresentem funções obsoletas e/ou sejam codificados em linguagens de programação ultrapassadas (as vezes descontinuadas).
2. Em muitos casos, o desenvolvedor/fornecedor do sistema legado não oferece atualizações, inclusive de segurança, com a possibilidade de manter vulnerabilidades que podem ser explorados por agentes maliciosos. Por vezes, estes sistemas não são aptos para implementação de boas práticas de segurança atuais, como, por exemplo, autenticação multifator, login único e criptografia.
3. Ataques cibernéticos que exploram vulnerabilidades em sistemas legados são prováveis vetores para ataques persistentes e de difícil tratamento, pois torna complexa as etapas de contenção e erradicação previstas em um plano de resposta a incidentes cibernéticos.
4. Este Centro recomenda aos profissionais de segurança que possuem sistemas legados em seu inventário de ativos:
1) Identificação de todos os sistemas legados;
2) Inclusão de tópico específico, tratando da análise de riscos para os sistemas legados, no relatório de análise de riscos da instituição; e
3) Identificação, análise e avaliação de vulnerabilidades de sistemas legados com suas possíveis medidas de mitigação.
5. Identificadas e analisadas as vulnerabilidades dos sistemas legados, recomenda-se ainda:
1) Realização de medidas de limitação de acesso e volumetria que mitigue a possibilidade de buffer overflow;
2) Segregação/segmentação do ativo com vulnerabilidade identificada;
3) Execução de processo para desenvolvimento ou aquisição de uma nova solução ou modernização da atual; e
4) Mapeamento dos Sistemas Operacionais vulneráveis relacionados ao sistema legado.
6. Mais informações sobre como realizar a avaliação de riscos de segurança em sistemas legados podem ser obtidas em:
7. Informações sobre considerações de segurança no gerenciamento de software podem ser obtidas em:
Obs: As informações apresentadas nas referências propostas estão citadas como desatualizadas, mas seu conteúdo foi considerado tecnicamente válido em virtude de descrever situações, em muitos casos, vigentes.
Atenciosamente,
Equipe CTIR Gov.
[TLP:WHITE]