Depois de mais de duas décadas trabalhando com código aberto, ainda escuto uma pergunta recorrente entre gestores de TI: como funciona a sustentação da segurança em open source?
Ou, melhor, um software open source é, de fato, tão seguro quanto uma plataforma proprietária?
A resposta simples é: sim, open source é seguro. Mas sabemos que isso apenas não serve como argumento na hora de sugerir para a empresa a troca de um software comercial por um open source.
Neste artigo, meu objetivo é responder a essa e outras perguntas sobre segurança, certificações, processo de desenvolvimento e o que a chegada da versão Zabbix 8.0 representa para o mercado latino-americano.
Table of Contents
Open source não é sinônimo de vulnerabilidade
A percepção de que código aberto é mais vulnerável parte muitas vezes de uma falta de compreensão sobre o que, de fato, é o open source hoje.
Para resumir, open source, além de uma filosofia, é um modelo de distribuição de software, e o fabricante por trás do desenvolvimento e distribuição é regido por regras de segurança como qualquer outro. No caso da Zabbix, o processo de desenvolvimento é certificado pela ISO/IEC 27001.
O mundo digital que conhecemos, bancos, governos, empresas de varejo, educação, roda sustentado por plataformas open source. Não existe hoje uma empresa, de qualquer setor da economia, que possa afirmar que não depende de open source.
Claro que estou falando do open source empresarial, com uma empresa séria por trás, e não do projeto de um desenvolvedor individual como hobby. Essa ainda parece ser uma lacuna de compreensão de alguns gestores quanto ao que, de fato, é o open source e como ele é desenvolvido e distribuído.
Uma trajetória de 25 anos, com 20 anos de empresa
É importante separar duas coisas:
- O projeto Zabbix nasceu há 25 anos como software open source individual do nosso fundador, o Alexei Vladishev;
- Há mais de 20 anos existe a empresa Zabbix, sustentando e desenvolvendo o software Zabbix, que inclusive desenvolve outros produtos, como o Zabbix Cloud, o Zabbix Academy e, em breve, o Zabbix Mobile.
Os primeiros cinco anos do software foram um projeto de comunidade; depois disso, uma empresa nasceu e hoje se tornou uma multinacional de software, que sustenta operações críticas por todo o mundo.
Por isso entendo que o Zabbix é tão robusto, seguro e estável quanto qualquer plataforma proprietária licenciada, e a discussão de “se open source é mais ou menos seguro” já é uma discussão ultrapassada.
O que vale discutir é a capacidade de adaptação. Ou seja, o quanto o time interno consegue moldar a ferramenta para a realidade de cada empresa.
Temos clientes enterprise grandes que iniciaram a jornada com o Zabbix há 10 ou 15 anos e seguem evoluindo os próprios ambientes, e isso fala da flexibilidade, adaptabilidade e robustez da plataforma.
Como é o nosso processo de desenvolvimento seguro
O processo segue as normas de desenvolvimento de qualquer plataforma de software, com roadmap, priorização, especificação, desenvolvimento, testes, validações de vulnerabilidade, versões beta lançadas primeiro para a comunidade, e ainda o processo com o HackerOne, a empresa que contratamos para identificar vulnerabilidades de forma independente antes de lançar a versão de produção.
A grande diferença é que o código-fonte é totalmente aberto. Qualquer um pode auditar, não depende unicamente de a Zabbix fazer isso.
Algumas empresas, inclusive clientes nossos, submetem o código do Zabbix a auditoria própria ou de terceiros, algo que não existe no ambiente de plataformas comerciais, porque lá o código é propriedade intelectual e ninguém fora do fabricante tem acesso.
Em mais de 20 anos, se existisse um processo de desenvolvimento inadequado ou com falhas, isso já teria sido identificado facilmente. Então temos camadas adicionais de validação como, por exemplo, o processo interno certificado e auditado, o HackerOne, e a comunidade global olhando o código o tempo todo.
Nosso processo de desenvolvimento é certificado pela ISO 27001, o que dá uma garantia adicional para quem avalia fornecedores: não é só confiar que não deixamos falhas, é ter milhares de olhos revisando o código o tempo todo, somado a um processo certificado e auditado periodicamente.
Como funciona nosso programa de bug bounty
Quando detectamos ou somos informados de uma vulnerabilidade em alguma versão, primeiro sinalizamos nossa rede de clientes e parceiros para que façam a correção. Testamos, validamos, corrigimos e enviamos a correção a eles primeiro, e somente depois desse processo é que divulgamos publicamente a vulnerabilidade.
Essa é a diferença de ter uma relação próxima com o fabricante: você recebe o comunicado antes do mercado. Só depois que essa rede teve tempo de ajustar os ambientes, publicamos no site, para que toda a comunidade, nossos milhões de usuários, tenha acesso.
Aqui entra também nossa política de ciclo de vida: Um lançamento LTS, como a versão Zabbix 8.0, tem três anos de suporte completo e cinco anos de suporte para correções de segurança. Quem está em versões fora de suporte corre risco, porque essas vulnerabilidades podem não ter prioridade de correção. Por isso sempre recomendamos manter a versão de produção atualizada.
Zabbix Cloud: mesma segurança do on-premise, sem a carga operacional
O Zabbix Cloud vem para resolver uma necessidade real do mercado: a carga de manter infraestrutura própria e de ter profissionais qualificados para administrá-la.
É a diferença entre precisar ser mecânico para cuidar do seu carro, ou simplesmente dirigir enquanto alguém cuida da manutenção. Em segurança, o Zabbix Cloud tem o mesmo nível do on-premise: comunicação criptografada entre proxy, server e frontend, duplo fator de autenticação, e toda a gestão de atualizações, backup e restore é feita por nós.
O cliente escolhe a janela de manutenção, e atualizamos automaticamente para a última versão de produção, já com as correções de segurança aplicadas. Resumidamente, você não se preocupa com o servidor, só opera a plataforma.
Sobre escalabilidade, estamos embarcados em cerca de 13 regiões da AWS, embora eu não tenha certeza do número exato, pois isso cresce a cada trimestre, e o cliente escolhe em qual região subir a instância. A escalabilidade do produto é, na prática, a escalabilidade da nuvem.
O Zabbix e a NIS2 europeia: o que isso significa para a região
A NIS2 é uma norma europeia específica, e o importante é entender que o Zabbix está preparado para atender aos requisitos que esse tipo de diretriz exige, não importa de qual região venha: duplo fator de autenticação, auditoria de quem acessou e o que fez, criptografia ponta a ponta entre agente, servidor, proxy, frontend e banco de dados, gestão de chaves entre os componentes.
Temos até uma palestra sobre Secure by Design que resume isso – o Zabbix é construído considerando as melhores práticas de segurança para sua operação, saiba mais sobre a conformidade com a NIS2.
Para a América Latina, o Zabbix pode apoiar as empresas a se adaptarem a qualquer norma que seja estabelecida, seja nacional, regional ou interna de cada companhia, mas primeiro é preciso identificar qual é essa norma em cada país para mapear caso a caso e configurar as funcionalidades de segurança do Zabbix de acordo com as exigências dessas normas.
O que vem pela frente com a versão 8.0
A versão Zabbix 8.0 vem preparada para se integrar naturalmente com plataformas de cibersegurança, podendo até operar como uma espécie de SIEM em certa medida, com algumas limitações, ela não vai fazer tudo o que um SIEM dedicado faz.
Com o ClickHouse e a nova forma de lidar com dados armazenados, vamos conseguir fazer ingestão de logs dentro do Zabbix e juntar isso com processamento complexo de eventos (CEP). Isso abre espaço para monitoramento de cibersegurança e integração com plataformas do tipo SIEM.
No roadmap também temos melhorias de segurança e compliance na própria plataforma, como hardening em storage externo, mudanças na auditoria interna, mais granularidade de permissões, tudo alinhado com diretrizes como a NIS2.
Garantir a segurança com Zabbix é um processo contínuo
A segurança de uma plataforma não se resume a uma certificação isolada ou a uma promessa de marketing. Ela está na soma de tudo isso – com um processo de desenvolvimento auditado, um programa ativo de bug bounty, uma política clara de ciclo de vida e um produto preparado para acompanhar as exigências regulatórias de cada país.
Se a sua empresa está avaliando como fortalecer a segurança e a observabilidade da sua operação, convido você a conhecer os serviços profissionais Zabbix ou a falar com o nosso time para entender como o Zabbix pode se adaptar à realidade da operação.
Prev Post 
