Operador aeroportuário recorre a testes de intrusão contínuos, ethical hacking e gestão da superfície de ataque para identificar vulnerabilidades nos seus ambientes IT e OT.
A ANA Aeroportos está a utilizar soluções da Ethiack para reforçar a avaliação da segurança dos seus ambientes digitais, num contexto marcado pela crescente complexidade dos sistemas aeroportuários, pela integração entre tecnologias IT e OT e pela necessidade de assegurar operações contínuas.
A ANA Aeroportos é responsável pela operação de dez aeroportos em Portugal. De acordo com a Ethiack, a organização enfrenta o desafio de proteger ambientes tecnológicos em constante evolução, mantendo simultaneamente a continuidade das operações aeroportuárias, que funcionam 24 horas por dia.
Entre as soluções adoptadas está o Continuous Penetration Testing, através do qual a plataforma da Ethiack realiza testes automatizados de intrusão de forma contínua sobre a superfície de ataque externa da ANA. Segundo a empresa, esta abordagem permite identificar vulnerabilidades associadas a novos CVE ou à introdução de novos componentes na infraestrutura, em vez de depender exclusivamente de testes de intrusão realizados em intervalos fixos.
A ANA recorre também a sessões de ethical hacking conduzidas por especialistas humanos, destinadas à avaliação dos sistemas internos. Segundo a Ethiack, estes exercícios permitiram identificar vulnerabilidades que poderiam não ser detectadas por ferramentas automatizadas, ao mesmo tempo que proporcionaram às equipas de IT e OT da ANA uma oportunidade de trabalhar directamente com os ethical hackers e compreender diferentes cenários de ataque.
A estratégia inclui ainda ferramentas de Attack Surface Management (ASM), utilizadas para mapear a infraestrutura digital da ANA, identificar activos desconhecidos e acompanhar alterações na superfície de ataque. A plataforma da Ethiack disponibiliza igualmente módulos de teste destinados a priorizar vulnerabilidades em função do seu impacto para o negócio. A empresa afirma que a sua taxa de falsos positivos é inferior a 0,5%.
João Annes, Chief Information Security Officer (CISO) da ANA Aeroportos, destaca a importância das sessões de ethical hacking realizadas pela organização. Segundo o responsável, algumas destas iniciativas podem prolongar-se durante uma semana e permitem explorar lógica de negócio e vectores de ataque que normalmente não são abrangidos pelas ferramentas automatizadas.
Para João Annes, estas sessões têm também uma componente de aprendizagem para as equipas internas, permitindo-lhes compreender melhor como os sistemas podem ser explorados e reforçar a sua capacidade de antecipar e mitigar riscos.
“A combinação entre testes automatizados e experiência humana trouxe uma perspectiva única aos nossos desafios de segurança”, afirma João Annes. O responsável acrescenta que a monitorização contínua da superfície de ataque e os testes manuais aos sistemas internos alteraram a forma como a ANA aborda a cibersegurança, permitindo às equipas adoptar uma perspectiva mais próxima da de um atacante.
Segundo a Ethiack, a utilização combinada destas abordagens contribuiu para reforçar a resiliência cibernética da ANA, melhorar a capacidade das equipas para identificar riscos e optimizar a gestão de vulnerabilidades num ambiente aeroportuário caracterizado pela continuidade operacional e pela evolução permanente das ameaças.
A parceria entre a Ethiack e a ANA Aeroportos assenta, segundo a empresa, na combinação entre testes de intrusão contínuos suportados por inteligência artificial e ethical hacking conduzido por especialistas. A abordagem procura não só identificar vulnerabilidades à medida que surgem, mas também desenvolver nas equipas internas uma perspectiva mais próxima da utilizada por um atacante.
Para a Ethiack, esta combinação permite à ANA preparar-se para um cenário de ameaça em constante evolução, mantendo a avaliação da sua superfície de ataque e dos seus sistemas como um processo contínuo, num sector onde a continuidade das operações é um requisito permanente.
