Mas afinal quem vai querer atacar o meu sistema de controle?

Ok, podemos fazer uma lista!Um erro fundamental quando se pensa em segurança (não apenas cibernética) é pensar que nunca acontecerá com você. Vamos listar alguns dos maiores vilões, esperamos dessa forma transmitir a urgência em se adotar práticas de segurança da informação em sistemas de automação e controle. Lembrando que os riscos e possíveis agentes de invasão normalmente sao selecionados pelo setor, uma planta de processamento de gás pode ser alvo de uma ataque terrorista, mas dificilmente terroristas estariam interessados em uma planta de tratamento de esgoto. Então vamos pensar nos principais agentes que podem oferecer riscos a plantas industriais.

O mais comum são empregados e pessoas ligadas a organizacao, nao estou dizendo que os funcionários estão propositalmente tentando destruir a empresa ( alguns sim) mas o principal problema não é esse, funcionários mal preparados podem sofrer um ataque de engenharia social, podem usar pendrives infectadas com vírus e todo tipo de ameaça, isso só pra citar alguns exemplos. O segundo mais preocupante é a espionagem industrial, outras empresas que estejam interessadas em informações das concorrentes, roubo de informações estratégicas contidas no sistema de controle, e etc. Um risco um tanto mais sofisticado é a possibilidade de uma empresa atacar suas concorrentes com o objetivo de causar uma pequena parada na produção, ou mesmo fazer com que os produtos sejam fabricados com um defeito que só poderá ser corrigido depois de usado parte da matéria prima causando prejuízo e transtornos. Enfim, os motivos são vários e as ações imprevisíveis.

Entra aqui nessa lista também uma categoria que apenas as grandes empresas precisam se preocupar, os governos. Eu não me considero teórico da conspiração mas o fato é, os governos possuem pessoal altamente treinado e capacitado para estas atividades, podemos ver vários exemplos de como isso ocorre na Wikileaks. Mas porque o governo estaria interessado em atacar empresas? Bem, podemos pensar em uma miríade de possibilidades, controle da economia, roubo de dados sigilosos, roubo de propriedade intelectual, espionagem, contra espionagem. Um adendo, quando falo de governo me refiro a todos os governos não especificamente o do brasil.

A categoria mais caótica de todos é obviamente o Hacker, para esses não existem motivos financeiros envolvidos, necessidade de adquirir segredos ou objetivos corporativistas, para estes a invasão é uma forma de desafiar as suas próprias habilidades. Um hacker motivado pode comprometer um sistema de várias maneiras. Prejudicar a integridade e a confidencialidade dos dados seria o mínimo que um hacker poderia fazer. Em sistemas de controle, ataques de negação de serviço são a grande atividades deles atualmente, principalmente no que se trata de utilizar os dispositivos (principalmente câmeras) como atacantes zumbis, após terem sido tomado por hackers que focam em um sistema maior, então apesar do ataque não ter o objetivo final as suas instalações, seus equipamentos podem estar sendo usados como ferramenta para um outro alvo..

Os dois próximos não considero verdadeiramente uma ameaça para indústrias brasileiras de médio e pequeno porte. A primeira é o crime organizado, apesar de que o cenário no qual criminosos sequestram o seu sistema produtivo pode ser uma possibilidade, este tipo de situação ainda está muito distante de nós, mas aos mais cuidadosos cabe a análise. Outro grupo no qual pouco me preocupo sãos os que classifico como terroristas (aqui eu ponho na mesma peneira os terroristas, ativistas, hacker ativistas, ativistas políticos, etc) estes normalmente pretendem causar medo, terror ou confusão pelos mais variados motivos, imagino que o brasil ainda vai ficar fora do radar desses por algum tempo. Mas vale lembrar que com o país fervilhando politicamente sempre cabe uma analise por parte dos gestores de empresas que podem acabar sendo alvo.

Se todas essas pessoas estão querendo prejudicar minha produção  ou fazer com que minha caldeira exploda o que eu posso fazer pra  resolver? Aqui vamos relembrar mais uma vez do importantíssimo Stuxnet, que apesar de extremamente perigoso, foi devido a ele que surgiu essa urgência em se proteger sistemas de controle contra ameaça cibernéticas. Vimos então o surgimento de protocolos de segurança, cada um deles tentando definir melhores práticas para a proteção de milhares de equipamentos no mundo.

Nesse ínterim, expandiram protocolos e normas de segurança, so para citar as mais famosas temos a ISA99 e a IEC62443.

O grande problema a ser superado será adaptar todos os sistemas que estão instalados e funcionando. Muitas das medidas a serem adotadas são incompatíveis com os controladores e software SCADA mais antigos. Se você leitor trabalha na integração de sistemas de automação, imagine você chegar para um grande cliente que trabalha com produção e tente convencer ele da necessidade de se parar a operação da planta por duas semanas, será uma experiência reveladora eu garanto.

Proteja sua rede, se não entrarem na sua casa, eles não podem lhe roubar.

Essa frase na verdade é uma mentira, existem vários métodos de se prejudicar sistemas de supervisão e controle sem precisar acessar a rede interna dos controladores ou da empresa, porém partindo do princípio que ainda não existe uma solução definitiva para a segurança da informação,considero uma boa medida de segurança aumentar a segurança nas bordas do sistema. Existe uma abordagem usada por algumas empresas americanas chamadas segurança profunda que utiliza uma filosofia militar para segurança, mas falaremos dela em outra série de artigos vamos falar da segregação das redes.

Como não é possível se defender plenamente de ataques e muitas vezes as organizações não estão dispostas a fazer uma atualização no sistema de controle, temos que tentar incorporar o máximo de soluções possíveis para garantir a segurança dos nossos sistemas. Uma equipe preparada para monitorar atividades suspeitas no sistema pode ser uma solução imediata, mas se a empresa não possuir um porte para monitoramento 24 horas existem soluções comerciais de controle de acesso a redes, filtro de pacotes, , gerenciamento de incidentes, etc.

 

“Aqui estão minhas lentes. Você conhece meus métodos.”

Sua empresa foi atacada, teve dados perdidos, sua produção parou, seus equipamentos foram danificados ou mesmo o pior aconteceu, imagine que você é o responsável pelo sistema de tratamento de água e que durante o ataque os ciberterroristas envenenaram a água aumento absurdamente os níveis de cloro, o que fazer? O mais indicado a ser feito é descobrir como foi feito e quem fez, além de pegar o telefone e ligar para uma série de especialistas em segurança e é claro pra polícia, a velocidade na resposta é fundamental logo após ter sofrido um ataque.

A partir desse ponto existe  uma metodologia de resposta a incidentes, nos teremos que envolve além das autoridades cabíveis, uma empresa de seguros (se tiver) e uma boa empresa forense que possa utilizar de técnicas e ferramentas corretas para identificar todos os elementos envolvidos no ataque, afinal, ninguém gosta de ser assaltado duas vezes seguidas no mesmo mês.

E onde a NOVA entra nisso tudo?

A NOVA tecnologia é uma empresa que trabalha como integradora de sistemas de automação. E estamos cada vez mais preocupados com esta situação, temos alguns sistemas de automação que foram desenvolvidos por nós e trabalhamos neles a cada dia buscando aprimorar sua segurança constantemente.

Segue algumas das atividades realizadas pela nova tecnologia, que podem auxiliar a aprimorar a segurança dos seus sistemas:

• CFTV de segurança;
• Projetos de sala de controle seguras;
• Projetos de processos automáticos;
• Projetos de redes industriais;
• Avaliação de protocolos;
• Definição de procedimentos e políticas de segurança voltada ao sistemas de controle;
• Definição/avaliação de arquiteturas de controle e automação;
• Testes de invasão;
• Operação de sistemas de automação como serviço.

Conclusão

Enfim esses três artigos foram apenas uma  forma de chamar a atenção a cerca dos sistema de supervisão e controle e aguçar a curiosidade dos profissionais atuantes na área. Tenho certeza que o tema vai ficar cada vez mais em pauta e nós profissionais que trabalhamos com sistemas de controle teremos que aos poucos entender como responder a estas ameaças.

Quanto a mim, eu venho me preocupando com o tema há um bom tempo mas somente de uns dois anos pra cá eu venho realmente me aprofundando no tema e estudando sobre o assunto. Segurança de sistemas de TA é extremamente complexo, e ignorar este tema pode trazer consequências desastrosas que podem em última instância envolvam perdas de vidas, por isso a medida que for descobrindo mais venho aqui novamente compartilhar com todos.

Vejam as ultimas duas partes deste artigo:

Segurança da informação em sistemas de supervisão e controle – Parte 01

Segurança da informação em sistemas de supervisão e controle – Parte 02