2.1 Risco Cibernético

^{Cebula et al. (2021)} definem os riscos cibernéticos como resultantes de ações humanas, falhas tecnológicas e de processos internos, bem como de eventos externos, que podem comprometer a confidencialidade, integridade ou disponibilidade de informações. Além dos impactos na segurança, essas falhas acarretam prejuízos financeiros e de reputação. Em 2024, o custo médio de uma violação de dados atingiu 4,88 milhões de dólares, um aumento de 10% em relação ao ano anterior, evidenciando o impacto econômico crescente dessas ameaças (^{IBM, 2024}).

Os ataques a aplicações web são particularmente críticos, uma vez que muitas organizações dependem de servidores web para operações online (Verizon, 2023). Por armazenarem dados sensíveis e operações críticas, esses servidores tornam-se alvos de ataques que exploram vulnerabilidades de softwares e de configurações inadequadas (^{Alves et al., 2023}). Nesse contexto, frameworks de segurança são fundamentais para mitigar riscos e proteger ativos organizacionais, pois suas medidas visam reduzir a ocorrência de incidentes e seus impactos (^{Cue et al., 2024}). A próxima seção aborda alguns desses frameworks.

2.2 Frameworks de segurança

Diferentes frameworks de segurança proporcionam abordagens estruturadas para identificar e mitigar ameaças cibernéticas, cada um com foco e aplicação específicos. No contexto deste estudo, destacam-se o CIS v8.1, o MITRE ATT&CK e o Community Defense Model (CDM), que oferecem abordagens complementares para a proteção de servidores web. Enquanto o CIS v8.1 fornece diretrizes práticas para melhorar a postura de segurança de forma geral, o MITRE ATT&CK ajuda a entender o comportamento dos atacantes por meio do mapeamento de táticas e técnicas. O CDM, por sua vez, traduz as medidas do CIS Controls em uma estratégia orientada para mitigar ataques cibernéticos comuns, como o Web Application Hacking.

O Center for Internet Security® (CIS), uma organização sem fins lucrativos que reúne o conhecimento de especialistas de diferentes setores, é responsável pela metodologia CIS Controls, amplamente adotada por organizações ao redor do mundo (^{CIS, 2024}a; ^{Juma et al., 2023}). Atualmente na versão 8.1, a metodologia é composta por 18 controles e 153 medidas de segurança (safeguards), desenvolvidas para apoiar organizações com diferentes níveis de maturidade em segurança e necessidades operacionais. Neste estudo, o CIS v8.1 é utilizado como base para a avaliação de práticas de segurança voltadas especificamente para servidores web, permitindo uma comparação estruturada com o ataque Web Application Hacking (WAH) do CDM.

Complementando essas práticas, o MITRE ATT&CK constitui um framework que descreve táticas e técnicas empregadas por agentes maliciosos em ataques cibernéticos, assim como as possíveis mitigações. Esse framework proporciona uma estrutura didática para que profissionais de segurança compreendam e atuem contra essas ameaças (^{MITRE, 2024}). Embora a versão mais recente do MITRE ATT&CK seja a 15.1, lançada em abril de 2024, este artigo utiliza a versão 8.2 para a comparação entre os modelos 3SW e WAH, uma vez que o mapeamento oficial disponibilizado pelo CIS para o WAH está alinhado com essa versão. A versão 15.1 contém 43 mitigações, enquanto a 8.2 inclui 42, sendo a mitigação ausente a 'Data Loss Prevention (M1057)'. Essa mitigação foi introduzida na versão 10.1 do MITRE ATT&CK e não faz parte do escopo deste estudo (^{MITRE, 2024}).

Apesar da mitigação 'Data Loss Prevention (M1057)' não ser incluída no mapeamento oficial utilizado neste estudo, é plausível que, caso estivesse presente, ela pudesse ser associada ao Controle 3 - proteção de dados do CIS v8.1, que trata de identificar, classificar, manipular com segurança, reter e descartar dados (^{CIS, 2024}a).

Por fim, o CDM v2.0, também desenvolvido pelo CIS, organiza as 153 medidas do CIS Controls v8 para mitigar cinco categorias de ameaças cibernéticas: Malware, Ransomware, Web Application Hacking, Insider and Privilege Misuse e Targeted Intrusions (^{CIS, 2024}b). Embora este estudo utilize o CIS Controls v8.1, essa versão não alterou o propósito das medidas de segurança da versão 8.0, garantindo a validade das análises do CDM v2.0 (CIS, 2024a). O CDM concluiu que a implementação de todas as medidas relacionadas a essas cinco ameaças proporciona uma de proteção 91% contra as subtécnicas descritas no MITRE ATT&CK v8.2 (^{CIS, 2024}b).

Entretanto, considerando a aplicação do 3SW em servidores web, apenas o Web Application Hacking é diretamente relacionado. Esse ataque inclui 90 medidas de segurança, cobrindo 38 das 42 mitigações identificadas no MITRE ATT&CK v8.2, sendo, portanto, utilizado como base para comparação com o modelo proposto neste artigo (^{CIS, 2024}b).

2.3. Trabalhos correlatos

Diversos estudos recentes têm explorado a aplicação de frameworks de cibersegurança (^{Juma et al., 2023}; ^{Domínguez-Dorado et al., 2022}; ^{Lima et al.; 2022}), modelos de maturidade (^{Bashofi & Salman, 2022}) e ferramentas para auxiliar na mitigação de ameaças cibernéticas (^{Gonzalez-Granadillo et al., 2021}), especialmente relacionados ao CIS Controls. Esta seção analisa as principais contribuições que abordam a aplicação, adaptação e simplificação dos controles CIS e metodologias similares para enfrentar riscos cibernéticos.

^{Kern et al. (2024}) elaboraram um modelo de maturidade para melhorar a detecção precoce de ataques cibernéticos por meio de gerenciamento de logs de auditoria e monitoramento de redes. ^{Horta et al. (2022}), por sua vez, desenvolveram um modelo para criar planos de ação priorizados, visando fortalecer a visibilidade frente a ameaças e facilitar a tomada de decisão. Trabalhos similares foram realizados por ^{Tsiodra et al. (2023}) e ^{AL-Hawamleh (2024}), que também apresentaram modelos com ênfase na tomada de decisão em segurança cibernética. Todavia, esses modelos adotam uma aplicação abrangente, em contraste com a abordagem focada em servidores web neste artigo.

Alguns trabalhos mais próximos deste estudo também focam em medidas de segurança, como ^{Cue et al. (2024}), que classificaram medidas de segurança do CIS Controls v8 para monitorar o progresso contínuo na implementação de controles e orientar gestores na melhoria de programas de segurança. Apesar da proximidade metodológica, esses estudos também não tratam especificamente de servidores web, como ocorre neste artigo.

Por outro lado, autores como ^{Song & Garcia-Valls (2022}), restringiram suas propostas ao monitoramento de servidores web de sistemas IoT críticos, combinando detecção e resposta automatizada a vulnerabilidades. ^{Fadlil et al. (2024}) utilizaram a metodologia OWASP para criar um framework que identifica e trata vulnerabilidades de injeção SQL (SQLi) em servidores web. Esses estudos, embora direcionados a servidores web, tratam de vulnerabilidades específicas e de contextos restritos, enquanto o modelo proposto aqui visa uma abordagem de segurança mais ampla para o ambiente de servidores web.

Nesse contexto, o modelo 3SW, desenvolvido neste artigo, segue a tendência de adaptação a cenários específicos, priorizando a segurança de servidores web. Diferente de abordagens mais amplas, ele simplifica a implementação e direciona esforços para medidas diretamente aplicáveis a esse ambiente. Essa estratégia busca garantir eficácia e agilidade, essenciais para organizações que demandam respostas rápidas e eficientes.

4.1. Medidas de segurança para o Servidor Web (QP1)

Inicialmente foram avaliados os critérios de seleção (vide Tabela 1) para decidir sobre a inclusão de uma medida no 3SW. Para a inclusão é necessário que todos os critérios fossem marcados como verdadeiros, ou seja, que a medida seja relevante, individualizável e verificável para os servidores web. A Tabela 3 oferece uma visão geral das medidas de segurança selecionadas com base nos critérios aplicados na Fase 2.

Observe que a Tabela 3 apresenta os 18 controles do CIS v8.1, o número de medidas de segurança que atenderam aos critérios em cada um dos controles (QMS), e a porcentagem de medidas selecionadas em relação ao total de medidas de segurança disponíveis para cada controle (PMS).

Como resultado, das 153 medidas de segurança disponibilizadas no framework CIS v8.1, 93 (61%) atenderam aos três critérios de seleção estabelecidos na Fase 1 (CS1, CS2 e CS3). Em relação aos controles, que agrupam as medidas por temas específicos, destaca-se que, dos 18 controles, cinco tiveram todas as medidas identificadas como aplicáveis e verificáveis no servidor web, sendo completamente aderentes: C2, C5, C10, C11 e C18. Em contraste, apenas o controle C14, conscientização sobre segurança e treinamento de competências, não teve nenhuma medida que atendesse aos três critérios de seleção, refletindo a dificuldade de aplicabilidade dessas medidas no contexto de servidores web.

Os demais controles dividem-se em outros dois grupos: controles com baixa aderência ao 3SW (entre 1% e 49%), no qual incluem-se os controles C1, C13, C15 e C17; e controles com alta aderência ao 3SW (entre 50% e 99%), em que estão presentes os controles C3, C4, C6, C7, C8, C9, C12 e C16. Esses agrupamentos propiciam uma orientação valiosa para as equipes técnicas, permitindo a priorização de áreas com maior impacto na mitigação de riscos cibernéticos por meio do 3SW.

4.2. Avaliação das medidas de segurança por esforço de implementação e de manutenção no Servidor Web (QP2)

A partir da análise das 93 medidas de segurança selecionadas para o 3SW, foi realizada a classificação com base em três critérios de priorização: ausência da necessidade de software ou atividades externas para implementação (CP1), dificuldade de implementação (CP2) e esforço de manutenção (CP3). Os critérios utilizaram as definições Baixo, Moderado e Alto presentes na Tabela 2. A consolidação desses resultados está disposta na Tabela 4, que oferece uma visão abrangente do esforço requerido para aplicação e sustentação das medidas no contexto dos servidores web.

Das 93 medidas analisadas, 53 (57%) podem ser implementadas e geridas diretamente no servidor web, sem a necessidade de recursos externos, enquanto 40 (43%) dependem de algum tipo de software ou atividade externa. Isso indica que a maioria das medidas podem ser geridas no próprio servidor web, facilitando a implementação, mas uma parcela significativa ainda requer integração com componentes externos, o que pode aumentar a complexidade de sua aplicação e manutenção.

Em relação ao esforço de implementação (CP2) para as medidas que podem ser geridas diretamente no servidor web (“Sim” para CP1), 62% delas exigem um esforço moderado de implementação, 30% apresentam um esforço baixo, e 8% possuem um esforço alto. Esses números indicam que, mesmo entre as medidas que não dependem de recursos externos, a implementação moderada é predominante, mas uma parte considerável das medidas ainda requer um esforço baixo, facilitando a aplicação.

Por outro lado, entre as medidas que dependem de recursos externos (“Não” para CP1), 58% apresentam um esforço moderado para implementação, 25% requerem um esforço alto, e 17% um esforço baixo. Esse padrão sugere que, embora a maioria das medidas externas também exija um esforço moderado, o esforço alto é mais frequente nessa categoria em comparação com as medidas geridas no próprio servidor web.

Ao analisar o esforço para manter as medidas após a implementação (CP3), observa-se uma distribuição distinta entre as categorias de CP1. Para as medidas que não dependem de recursos externos, 55% exigem moderado esforço de manutenção, 43% baixo, e 2% alto. Já para as medidas que necessitam de recursos externos, 50% requerem esforço moderado, 33% baixo, e 17% esforço alto. Isso demonstra que, medidas aplicadas diretamente no servidor web tendem a ser menos complexas em termos de manutenção, com uma prevalência de esforço moderado ou baixo, o que contribui para uma gestão mais eficiente a longo prazo. Por outro lado, as medidas que utilizam recursos externos, embora possam ser mais gerenciáveis, apresentam um maior esforço de manutenção, o que pode exigir mais tempo e recursos da equipe técnica.

Assim, priorizar medidas que podem ser implementadas diretamente no servidor web pode resultar em uma otimização do uso de recursos e na liberação de tempo para a equipe se concentrar em outras estratégias de mitigação de riscos cibernéticos.

4.3. Comparação do Modelo 3SW com o Web Application Hacking do CDM (QP3)

O último passo dessa pesquisa envolveu a comparação do 3SW com o modelo que mais se aproxima de nossa proposta, o Web Application Hacking (WAH). O resumo da análise comparativa entre 3SW e WAH é apresentado na Tabela 5.

Como os dois modelos, 3SW e WAH, selecionam medidas do CIS Controls na versão 8 para sua composição, a Tabela 5 aborda a Diferença Percentual (DP) que cada modelo possui, a partir de medidas exclusivas distribuídas por cada um dos 18 controles. De modo que, das 93 medidas que compõe o 3SW e das 90 medidas presentes no WAH, 61 medidas estão contidas nos dois modelos. Sendo as exclusivas de cada modelo respectivamente 32 para o 3SW e 29 para o WAH. Assim, a Tabela 5 busca mostrar o que representa essa diferença no total medidas de segurança por controle.

A análise da DP entre os modelos permite compreender quão diferentes são o 3SW e o WAH. Nesse contexto, DP igual a zero indica que ambos os modelos cobrem igualmente o contexto de servidores web, estes casos estão marcados de amarelo na Tabela 5. Enquanto DP negativo (marcado de vermelho), indica maior cobertura do WAH ao controle observado e DP positivo (marcado de verde) aponta para maior cobertura do 3SW. Observe que apenas quatro controles possuem a mesma cobertura em ambos os modelos, em cinco controles o WAH obteve melhor cobertura e no restante dos controles (9), o 3SW possui maior quantidade de medidas. O que se pode concluir que o modelo 3SW possui uma maior distribuição de medidas de segurança entre os controles da metodologia CIS Controls.

Também foi realizada uma análise dos controles com variações maior que 25% e menor que -25%, mostrada na Tabela 6.

A análise comparativa destaca que o impacto prático do 3SW se dá pela priorização de medidas voltadas diretamente à proteção do servidor web, garantindo maior controle sobre aspectos críticos como integridade dos registros de auditoria (C8), defesas contra malwares (C10) e recuperação de dados (C11). Na prática, isso significa que a aplicação do 3SW pode fortalecer a resposta a incidentes e a resiliência operacional do servidor. Em contrapartida, o WAH apresenta um escopo mais amplo, incluindo medidas relacionadas à processos de gestão contínua de vulnerabilidades (C7), monitoramento e defesa da rede (C13) e treinamento de usuários (C14), que possuem um impacto mais abrangente na postura de segurança da organização, mas podem ter aplicabilidade direta reduzida na administração técnica dos servidores web. Essa distinção sugere que, enquanto o WAH busca um fortalecimento global da segurança da aplicação e do ambiente ao redor, o 3SW foca na implementação de proteções diretamente sobre o ativo, facilitando sua aplicação em cenários onde a segurança do servidor web é a prioridade.

Ainda como parte da análise comparativa, avaliamos a aderência de cada modelo às mitigações do MITRE ATT&CK. O CIS v8.1 abrange 39 das 42 mitigações catalogadas pelo MITRE ATT&CK v8.2, das quais o 3SW cobre 36 (92%) e o WAH, 38 (97%). As mitigações ausentes no 3SW, como M1013 (Application Developer Guidance) e M1017 (User Training), estão relacionadas ao controle C14, Conscientização sobre Segurança e Treinamento de Competências. Conforme discutido na Seção 4.1, as medidas desse controle não se enquadram nos critérios de seleção deste estudo (CS1, CS2 e CS3) para servidores web. Essa diferença ilustra que, enquanto o WAH incorpora medidas que visam mudança de cultura e treinamento de usuários, o 3SW prioriza a proteção dos ativos mais expostos a ataques cibernéticos.

Essa análise reitera que, embora ambos os modelos compartilhem o objetivo de mitigar riscos cibernéticos, suas abordagens diferem para atender aos desafios específicos de seus ambientes. O modelo 3SW, ao focar em medidas com maior aplicabilidade para servidores web, proporciona uma simplificação e adaptação dessas medidas do CIS v8.1, maximizando aspectos voltados para a recuperação de dados (^{Mohammed, 2022}), gestão de registros de auditoria (^{Kern et al., 2024}) e defesas contra malwares (^{Ferdous et al., 2023}), ressaltando a relevância das medidas selecionadas para os desafios específicos desse ambiente.