
Adversários, desde gangues de crimes cibernéticos até esquadrões de ataques cibernéticos de estados-nação, estão ajustando a IA armada com o objetivo de derrotar novos patches em 3 dias ou menos.
Quanto mais rápido o ataque, mais tempo para explorar a rede da vítima, exfiltrar dados, instalar ransomware ou configurar reconhecimento que durará meses ou anos. A correção manual tradicional agora é um risco, deixando as organizações indefesas contra ataques de IA armados
“Os atores da ameaça são patches de engenharia reversa, e a velocidade com que fazem isso foi bastante aprimorada pela IA,” Mike Riemer, vice-presidente sênior do grupo de segurança de rede e CISO de campo da Ivanti disse VentureBeat em uma entrevista recente. “Eles são capazes de fazer engenharia reversa de um patch em 72 horas. Portanto, se eu lançar um patch e um cliente não o fizer dentro de 72 horas após o lançamento, ele estará aberto à exploração.”
Isto não é especulação teórica. É a dura realidade que força os fornecedores a reestruturar completamente sua infraestrutura de segurança desde o kernel. Na semana passada, a Ivanti lançou o Connect Secure (ICS) versão 25.X, marcando o que Riemer chama “evidência tangível” do compromisso da empresa em enfrentar essa ameaça de frente.
No DEF CON 33 pesquisadores de Lobo âmbar provou que esta ameaça é real, demonstrando desvios completos de autenticação em Zscaler, Netskopee Check Point explorando vulnerabilidades que existiam há meses, incluindo a falha do Zscaler em validar afirmações SAML (CVE-2025-54982), o acesso OrgKey sem credenciais da Netskope e as chaves SFTP codificadas da Check Point que expõem os logs dos inquilinos foram falhas deixadas em aberto e exploráveis mais de 16 meses após a divulgação inicial.
Por que a segurança do kernel é importante
O kernel é o orquestrador central de tudo o que acontece em um dispositivo de computação, controlando memória, processos e hardware.
Se um invasor comprometer o kernel, ele assumirá o controle total de um dispositivo que pode ser dimensionado para comprometer uma rede inteira. Qualquer outra camada de segurança ou aplicativo, plataforma ou proteção é imediatamente contornada e os invasores assumem o controle do kernel.
Quase todos os sistemas operacionais dependem do conceito de aplicação de anéis de privilégio. Os aplicativos são executados em modo de usuário com acesso limitado. O kernel opera no modo kernel com controle total. Quando os adversários quebram essa barreira, eles obtêm acesso ao que muitos pesquisadores de segurança consideram o Santo Graal dos sistemas e das vulnerabilidades de redes inteiras.
O novo lançamento da Ivanti aborda diretamente essa realidade. O Connect Secure 25.X é executado em um sistema operacional Oracle Linux de nível empresarial com forte aplicação do Security-Enhanced Linux (SELinux) que pode limitar as habilidades de um agente de ameaça dentro do sistema. A solução inclui proteção de inicialização segura, criptografia de disco, gerenciamento de chaves, redefinição de fábrica segura, um servidor web moderno e seguro e Web Application Firewall (WAF), todos projetados para proteger os principais aspectos do sistema e impedir significativamente ameaças externas.
“No ano passado, avançámos significativamente a nossa estratégia Secure by Design, traduzindo o nosso compromisso em ações reais através de investimentos substanciais e de uma equipa de segurança alargada,” Riemer explicou. “Este lançamento é uma prova tangível do nosso compromisso. Ouvimos nossos clientes, investimos em tecnologia e talento e modernizamos a segurança do Ivanti Connect Secure para fornecer a resiliência e a tranquilidade que nossos clientes esperam e merecem.”
Dos anéis de sistema operacional aos anéis de implantação: uma estratégia de defesa mais completa
Embora os anéis do sistema operacional definam os níveis de privilégio, o gerenciamento moderno de patches adotou sua própria estratégia de anéis para combater a janela de exploração de 72 horas.
A implantação do Ring fornece uma estratégia de patch automatizada e em fases que lança atualizações de forma incremental: um Anel de Teste para validação de TI principal, um Anel de Adotador Inicial para testes de compatibilidade e um Anel de Produção para implementação em toda a empresa.
Esta abordagem aborda diretamente a crise da velocidade. A implantação do Ring atinge 99% de sucesso de patch em 24 horas para até 100.000 PCs, de acordo com uma pesquisa do Gartner. Instituto Ponemon pesquisas mostram que as organizações levam uma média alarmante de 43 dias para detectar ataques cibernéticos, mesmo após o lançamento de um patch.
Jesse Miller, vice-presidente sênior e diretor de TI da Banco Estrela Sulenfatizou: “Ao julgar o quão impactante algo pode ser, você deve considerar tudo, desde eventos atuais, seu setor, seu ambiente e muito mais, na equação.” Sua equipe usa a implantação do anel para reduzir a superfície de ataque o mais rápido possível.
Os invasores exploram agressivamente vulnerabilidades legadas, sendo que 76% das vulnerabilidades aproveitadas por ransomware foram relatadas entre 2010 e 2019. Quando o acesso ao kernel está em jogo, cada hora de atraso multiplica o risco exponencialmente.
O Dilema do Kernel centra-se no equilíbrio entre segurança e estabilidade
Na conferência FalCon da CrowdStrike, o diretor de inovação tecnológica Alex Ionescu expôs o problema: “Até agora, está claro que se você quiser se proteger contra malfeitores, você precisa operar no kernel. Mas, para fazer isso, a confiabilidade da sua máquina fica em risco.”
A indústria está respondendo com mudanças fundamentais:
O desvio de autenticação acontece quando os kernels estão comprometidos
Lobo âmbar pesquisadores passaram sete meses analisando ZTNA produtos. Zscaler não foi possível validar SAML afirmações (CVE-2024-54982). Netskope a autenticação pode ser ignorada usando valores OrgKey não revogáveis. Ponto de verificação tinha codificado SFTP chaves (CVE-2025-3831).
Essas vulnerabilidades existiam há meses. Alguns fornecedores corrigiram silenciosamente sem CVEs. Em agosto de 2025, 16 meses após a divulgação, muitas organizações ainda usavam configurações exploráveis.
Lições aprendidas ao compactar 3 anos de segurança do kernel em 18 meses
Quando invasores estatais exploraram o Ivanti Connect Secure em janeiro de 2024, validaram a decisão da Ivanti de avançar rapidamente sua estratégia de segurança em nível de kernel, comprimindo um projeto de três anos em apenas 18 meses. Como Riemer explicou, “Já havíamos concluído a primeira fase do projeto de fortalecimento do kernel antes do ataque. Isso nos permitiu dinamizar e acelerar rapidamente nosso roteiro.”
As principais realizações incluíram:
- Migração para Oracle Linux de 64 bits:
A Ivanti substituiu um sistema operacional CentOS de 32 bits desatualizado pelo Oracle Linux 9, reduzindo significativamente as vulnerabilidades conhecidas vinculadas a componentes legados de código aberto.
- Aplicação personalizada do SELinux:
A implementação de políticas rígidas do SELinux quebrou inicialmente um número significativo de recursos do produto, exigindo uma refatoração cuidadosa sem comprometer os parâmetros de segurança. A solução resultante agora funciona em modo de aplicação permanente, explicou Riemer.
- Desprivilegiação de processos e inicialização segura com TPM:
A Ivanti eliminou privilégios de root de processos críticos e integrou inicialização segura baseada em TPM e criptografia RSA, garantindo verificações contínuas de integridade, alinhando-se com as recomendações e descobertas da pesquisa da AmberWolf.
Houve também uma série de iniciativas independentes de testes de penetração, e cada uma confirmou zero comprometimentos bem-sucedidos, com os atores da ameaça normalmente abandonando as tentativas em três dias.
Riemer explicou ao VentureBeat que os clientes da comunidade de inteligência global observaram ativamente os agentes de ameaças sondarem os sistemas reforçados. “Eles tentaram velho TTPsvoltado para explorações de servidores web. Eles praticamente desistiram depois de cerca de três dias,” Riemer disse.
A decisão de ir para o nível do kernel não foi uma resposta de pânico. “Na verdade, tínhamos planos em 2023 para resolver isso antes mesmo de sermos atacados,” Riemer disse. A conversa que selou a decisão aconteceu em Washington, DC. “Sentei-me com o CIO de uma agência federal e perguntei-lhe abertamente: Será necessário que o governo dos EUA tenha uma solução VPN L3 local no futuro?” Riemer lembrou. “Sua resposta foi que sempre haveria uma necessidade de missão para uma solução do tipo VPN L3 no local, a fim de fornecer acesso de comunicação criptografada ao combatente.”
O futuro além da segurança do kernel inclui eBPF e monitoramento comportamental
Gartner Radar de impacto tecnológico emergente: relatório de segurança na nuvem taxas eBPF como tendo “alto” massa com 1-3 anos para adoção antecipada pela maioria. “O uso do eBPF permite maior visibilidade e segurança sem depender apenas de agentes no nível do kernel,” Notas do Gartner.
A maioria dos fornecedores de segurança cibernética está investindo pesadamente em eBPF. “Hoje, quase toda a nossa base de clientes opera Sensor Falcão em cima de eBPF,” Ionescu disse durante sua palestra no Fal.Con deste ano. “Fizemos parte dessa jornada como Fundação eBPF membros.”
Redes Palo Alto também emergiu como um importante player na segurança baseada em eBPF, investindo pesadamente na tecnologia para seu Córtex XDR e Nuvem Prisma plataformas. Essa mudança arquitetônica permite Redes Palo Alto para fornecer visibilidade profunda das chamadas do sistema, tráfego de rede e execução de processos, mantendo a confiabilidade do sistema.
A convergência de CrowdStrike, Redes Palo Altoe outros grandes fornecedores de tecnologia eBPF sinalizam uma transformação fundamental – fornecendo a visibilidade que as equipes de segurança precisam sem riscos de falhas catastróficas.
Estratégias defensivas que estão funcionando
A aplicação de patches costuma ser relegada a uma daquelas tarefas que são procrastinadas porque muitas equipes de segurança estão com falta de pessoal e enfrentam escassez crônica de tempo. Estas são as condições em que os adversários contam quando escolhem as vítimas.
É certo que se uma empresa não priorizar a segurança cibernética, ela demorará meses ou até anos para fazer os patches. É isso que os adversários procuram. Os padrões emergem de diferentes setores de vítimas e compartilham uma característica comum de procrastinar a manutenção do sistema em geral e os padrões de segurança especificamente.
Com base em entrevistas com vítimas de violações que começaram com patches às vezes com anos de idade, a VentureBeat viu as seguintes medidas imediatas que eles tomam para reduzir a probabilidade de serem atingidos novamente:
Automatize a aplicação de patches imediatamente. Os ciclos mensais estão obsoletos. Tony Miller, Ivanti’s Vice-presidente de serviços corporativos, a implantação de anel confirmada elimina o caos reativo de patches que deixa as organizações vulneráveis durante a janela crítica de 72 horas.
Audite a segurança em nível de kernel. Pergunte aos fornecedores sobre eBPF/FSE/WISP planos e cronogramas de migração.
Defesas de camada. Esta é uma aposta para qualquer estratégia de segurança cibernética, mas é fundamental para acertar. “Se foi SELinux criação de perfil, prevenção de privilégios de root, um servidor web atualizado ou o WAF—cada camada interrompeu os ataques,” Riemer disse.
Exija transparência. “Outro fornecedor foi atacado em novembro de 2023. Essa informação só foi disponibilizada em agosto de 2024,” Riemer revelou. “É por isso Ivanti tem sido tão público sobre transparência.”
O resultado final
A transformação no nível do kernel não é opcional. É sobrevivência quando a IA transforma vulnerabilidades em três dias.
O Ivanti Connect Secure 25.X representa o que é possível quando um fornecedor se compromete totalmente com a segurança em nível de kernel, não como uma medida reativa, mas como um princípio arquitetônico fundamental. Gartner a suposição do planejamento estratégico é preocupante: “Até 2030, pelo menos 80% das empresas Windows os endpoints ainda dependerão de agentes híbridos de proteção de endpoints, aumentando a superfície de ataque e exigindo validação rigorosa.”
As organizações devem fortalecer o que podem agora, automatizar imediatamente e preparar-se para mudanças arquitetônicas. Como Gartner enfatiza, combinando a implantação do anel com controles de compensação integrados, incluindo plataformas de proteção de endpoint, autenticação multifatore segmentação de rede como parte de uma abordagem mais ampla estrutura de confiança zero garante que as equipes de segurança possam reduzir as janelas de exposição.
avots