BlueKeep e a coragem de aplicar a atualização que reinicia a máquina

Em maio de 2019, a Microsoft publicou uma correção para a CVE-2019-0708, conhecida como BlueKeep, uma falha no serviço de área de trabalho remota do Windows, o RDP. A falha permitia executar código com privilégio de sistema, sem autenticação, e a Microsoft classificou a falha como crítica porque a explorabilidade era alta e a detecção de invasão, no início, era difícil.

O detalhe que fez a CVE virar disbelief coletivo foi a necessidade de reiniciar a máquina. A correção exigia a instalação de um pacote que reiniciava o servidor, e reiniciar um servidor de produção em pleno expediente não é uma operação trivial. Durante semanas, sistemas Windows expostos continuaram no ar.

O que o caso ensinou foi que o custo da aplicação da correção é uma decisão de gestão, não um detalhe técnico. Uma atualização de cinco minutos que exige janela de manutenção é, na prática, uma atualização que vai ficar pendente. O que ajuda é ter o procedimento pronto, o inventario atualizado e a decisão sobre a janela tomada antes da necessidade, o que se chama de plano de manutenção contínua.

A segunda lição é sobre a detecção. A BlueKeep foi chamada assim porque, nas primeiras semanas, quase não havia assinatura confiável de exploração. Hoje, a recomendação padrão para sistemas expostos ao RDP é reduzir a superfície, restricts o acesso por VPN, segmentar a rede de gerenciamento e, acima de tudo, manter o patched.