Desde a primavera deste ano, Isaac Patka, da empresa de segurança de IA Shield3, e Sam, parceiro de pesquisa da Paradigm, mais conhecido como Samczsun, têm trabalhado junto com projetos de blockchain para melhorar a segurança após ameaças cibernéticas que continuam a assolar a indústria.
A dupla lançou o SEAL 911 no início de agosto, um bot do Telegram projetado para conectar usuários a especialistas em segurança avaliados, com o objetivo de melhorar a divulgação de segurança cibernética e prevenir rapidamente hacks de DeFi que podem valer centenas de milhões de dólares.
Essa iniciativa foi estabelecida na esperança de combater vários hacks relacionados à indústria que ocorreram este ano, incluindo a exploração de US$ 70 milhões da Curve Finance em julho.
Agora, a dupla espera aumentar a aposta, estabelecendo uma nova iniciativa de exercício de emergência projetada para ajudar os protocolos de blockchain em desenvolvimento em sua luta contra hackers mal-intencionados e potenciais vetores de ataque.
A Blockworks entrou em contato com Patka para ter uma ideia melhor de seu empreendimento e das lições que aprenderam nos últimos meses.
Blocos: Você pode nos explicar o início desta iniciativa de exercício de emergência? Qual foi a força motriz por trás disso?
Patka: Conheci Sam através de nossa amiga em comum, Jeanne. Conheci Jeanne no DWeb camp 2022 quando estava apresentando alguns de meus projetos anteriores de código aberto e padrões. Ouvi dizer que Sam estava procurando ajuda para construir alguma infraestrutura de treinamento para que as equipes de protocolo praticassem estar em uma sala de guerra antes de uma emergência real.
A ideia ressoou em mim porque naquela altura eu estava a trabalhar em algumas pesquisas e ferramentas relacionadas com a identificação e prevenção de ataques sociais e falhas de dependência em comunidades descentralizadas.
Ofereci-me para ajudar a lançar uma prova de conceito e, após uma rápida chamada de brainstorming na primavera, comecei a trabalhar no delineamento da estrutura do exercício para o Compound Labs, que foi a primeira equipe que se ofereceu para participar de um exercício.
Blocos: Você mencionou o papel do “reconhecimento abrangente” em seus exercícios. Como essa etapa inicial prepara o cenário para o restante do exercício?
Patka: Na fase de reconhecimento, fico atualizado com todos os recursos, contratos inteligentes, documentos e informações publicamente disponíveis sobre o protocolo alvo. Estou tentando descobrir o que é a “superfície de controle” para quaisquer usuários [ou] administradores privilegiados, como o protocolo interage com [ou] depende de outros protocolos, como eles monitoram a integridade do sistema, quais processos de risco existem, como eles introduzem coisas como atualizações de protocolo ou lançamentos de novos recursos e se há inconsistências no sistema se ele for implantado em redes diferentes.
Esse reconhecimento se torna a base para os cenários de mesa onde discutimos possíveis problemas.
Blocos: O uso de simulações de mesa parece uma abordagem interessante. Você poderia explicar o que acontece nessas simulações e como elas informam as etapas subsequentes?
Patka: Após a fase de reconhecimento, montei um roteiro com alguns cenários e converso sobre eles com toda a equipe por telefone. Esses cenários nos ajudam a compreender seus procedimentos de resposta a incidentes, seu monitoramento e seu estilo social/de comunicação. As perguntas que estamos fazendo neste momento são:
- “X” aconteceu. Como a equipe foi alertada? Houve monitoramento que detectou isso ou alguém da comunidade entrou em contato com a equipe?
- Quem são as partes interessadas e os especialistas no assunto que sabem como lidar com isso
- Se este incidente afetar outros protocolos, quem terá as informações de contato dessa equipe?
- Se isso exigir uma resposta de uma assinatura múltipla, quem são os signatários e como você está entrando em contato com eles? Quão rápido você acha que eles responderão?
Tudo isso nos ajuda a encontrar potenciais “pontos críticos” ou coisas que queremos testar em um cenário ao vivo.
Blocos: Que critérios você usa para selecionar as equipes de protocolo com as quais irá treinar? Você tem algum pré-requisito?
Patka: Nesta fase, estamos tentando trabalhar com equipes onde acreditamos que podemos ajudá-las, fornecendo algum treinamento, mas também aprendendo com elas sobre como operam as principais equipes de protocolo no espaço e compartilhando essas práticas com a comunidade em geral.
Portanto, embora não tenhamos pré-requisitos específicos, uma boa opção agora é uma equipe que contribui para um protocolo com adoção bastante ampla e que já passou por alguns incidentes para que possamos aprender sobre vários estilos de equipe.
No entanto, à medida que a nossa infra-estrutura se torna mais robusta e mais fácil de configurar, gostaria de trabalhar com algumas equipas no início do seu protocolo para fornecer formação a pessoas que nunca estiveram numa sala de guerra antes.
Blocos: Seu primeiro teste foi com o protocolo Compound. Você pode se aprofundar em alguns dos desafios ou lições únicas aprendidas nesse teste inicial?
Patka: O maior desafio de planeamento foi identificar um cenário que não fosse demasiado catastrófico para ser frustrante, mas suficientemente interessante para ser envolvente e que envolvesse algum diagnóstico e coordenação.
Consideramos uma variedade de coisas, como falhas de protocolos externos, ataques de governança e problemas de atualização de contratos. Acabamos simulando um bug que fazia o protocolo começar a perder fundos aos poucos para que pudéssemos ver como o monitoramento deles iria captar o processo e como eles responderiam.
Uma das maiores lições aqui foi sobre a camada social de coordenação. Fiquei impressionado com a estreita colaboração entre os desenvolvedores do protocolo e os auditores e guardiões do protocolo no diagnóstico do problema.
Em um nível técnico, o primeiro exercício também envolveu muita depuração noturna de infraestrutura, obtenção da bifurcação da rede, explorador de blocos e monitoramento da estabilidade da infra.
Blocos: Você falou sobre como evitar vulnerabilidades de dia zero em seus exercícios. Você pode explicar o raciocínio por trás desta decisão e como ela afeta a integridade do exercício?
Patka: A razão pela qual evitamos vulnerabilidades de “dia zero” ou outras catástrofes muito generalizadas é para que possamos envolver a equipe do protocolo em algo ao qual eles possam responder razoavelmente e em algo contido no ecossistema de seu protocolo. Por exemplo, não fizemos exercícios sobre problemas como bugs do compilador ou falhas na camada de consenso.
No entanto, acho que seria interessante simular esses problemas generalizados em exercícios entre protocolos, onde poderíamos fazer com que várias equipes e talvez usuários dos protocolos interagissem com uma forknet onde algo deu errado para torná-la realista e construir resiliência social.
Blocos: Você mencionou os “cartões de procedimento de emergência” de Yearn durante seu teste com eles. Quão comum é essa prática em outros protocolos e você a recomendaria como padrão?
Patka: Ainda não vi outros protocolos que implementem cartões de procedimento de emergência como o Yearn, mas recomendo fortemente. Em muitos protocolos, mas especialmente com o Yearn, existem muitas integrações externas que requerem contexto específico e conhecimento do assunto.
Quando algum incidente acontece, você não quer perder tempo relendo seus próprios documentos e contratos em vez de agir. Ter procedimentos de emergência para cenários específicos ajuda as equipes a tomar decisões com mais rapidez e confiança. Escrever esses procedimentos de emergência é uma etapa obrigatória do processo de risco [e] diligência de implantação de estratégias Yearn.
Eu recomendaria adicionar procedimentos de emergência aos processos de risco/diligência para outros protocolos, por exemplo, ao decidir se deve ou não integrar vários ativos como fontes de garantia ou adicioná-los aos mercados.
Blocos: Quais são alguns dos principais indicadores de desempenho que você observa durante e após um exercício para medir sua eficácia?
Patka: Procuro alguns indicadores do nosso desempenho como organizadores do exercício e do desempenho da equipe. Da nossa parte, estou analisando a estabilidade da nossa infraestrutura e o quão bem a equipe se adapta ao ambiente simulado.
Do lado do projeto, estou mantendo um cronograma de quando os emissores são descobertos, quanto tempo até que haja um diagnóstico e quanto tempo até que haja algum consenso em torno da ação a ser tomada.
Também enviamos uma pesquisa post mortem às equipes para saber o que aprenderam, o que planejam melhorar em seus processos e como podemos melhorar nossas simulações.
Blocos: Você pode compartilhar algumas tendências gerais ou lacunas comuns que você percebeu na segurança do protocolo como resultado desses exercícios?
Patka: Não tenho certeza se é uma lacuna, mas parece haver menos sistema formal de “de plantão” em vários protocolos do que eu esperava. Há um aspecto “sempre online” da cultura criptográfica, onde as pessoas parecem simplesmente presumir que o desenvolvedor ou assinante multi-assinatura certo estará disponível quando necessário.
Isso geralmente parece funcionar, mas estou curioso para explorar se mais formalização de funções e cronogramas ajudaria. Também notei que o monitoramento e a governança variam para protocolos em diferentes [camadas 1/camada 2] onde eles têm código implantado. Acredito que há espaço para melhorias em todo o setor na forma como os protocolos que abrangem diversas redes gerenciam seus contratos.
Blocos: Olhando para o futuro, há planos para ampliar esses exercícios para incluir mais protocolos ou até mesmo diferentes tipos de testes?
Patka: Com certeza, estamos buscando ampliar os exercícios para incluir diferentes tipos de protocolos, ou talvez vários protocolos ao mesmo tempo. Também queremos chegar ao ponto em que sejam fáceis de executar, para que as equipes possam realizar treinamentos regulares para os colaboradores da comunidade, a fim de desenvolverem sua experiência na resposta a incidentes. Também adoraria interagir com novos engenheiros de segurança que possam querer aprender sobre segurança projetando cenários e configurando simulações.
Esta entrevista foi editada para brevidade e clareza.
Não perca a próxima grande história – inscreva-se no nosso boletim informativo diário gratuito.
Acompanhe o julgamento de Sam Bankman-Fried com as últimas notícias do tribunal.
Fonte: https://blockworks.co/news/blockchain-security-experts-team