Nimda
folcloresegurança
O worm de setembro de 2001 que atacava por cinco vetores ao mesmo tempo, uma semana depois do 11 de Setembro.
Liberado em 18 de setembro de 2001, o Nimda (admin ao contrário) se espalhava por e-mail, compartilhamentos de rede abertos, sites desfigurados que infectavam seus visitantes, exploits de IIS e as backdoors deixadas pelo Code Red II, tornando-se em horas o worm mais disseminado da Internet. Chegando dias depois dos ataques a Nova York, provocou temores breves de ciberterrorismo que a análise nunca sustentou. Ensinou aos defensores que um malware não precisa escolher uma única porta.
O Nimda, em setembro de 2001, é lembrado por usar cinco métodos de propagação simultaneamente: e-mail, compartilhamentos de rede abertos, sites infectados que o serviam a visitantes, uma porta dos fundos deixada pelo Code Red, e exploração direta do servidor web. Qualquer defesa isolada barrava um caminho e nenhuma o barrava.
Essa multiplicidade é o ponto. Controles de segurança tendem a ser organizados por canal, com filtragem de correio, filtragem web e controles de acesso à rede pertencendo a times diferentes e avaliados separadamente, e uma ameaça que cruza todos de uma vez encontra as emendas entre eles. Ele também se propagava de clientes para servidores e de servidores de volta para clientes, o que quebrava o modelo mental de tráfego em mão única.
Sua ocorrência, uma semana após os atentados de 11 de setembro, contribuiu para um período de confusão genuína sobre atribuição e motivo, e é ilustração razoável de por que atribuir durante um incidente costuma ser prematuro. A lição duradoura é arquitetural: defesa organizada por canais é derrotada por uma ameaça organizada por objetivos, que é o argumento a favor de controles em camadas que presumem que qualquer caminho isolado já pode estar comprometido.