Quando falamos em água potável, até que ponto sua tecnologia operacional está segura?

A recente invasão a uma estação de tratamento de água na Flórida destaca a necessidade de forte proteção aos sistemas de controle industrial. Veja o que você deve considerar.

Na sexta-feira passada, em Oldsmar, Flórida, um técnico de uma estação de purificação de água com olhos de águia notou uma mudança na composição química no abastecimento de água. Com uma rápida resposta, o técnico constatou que a rede de tecnologia operacional (OT) encarregada de purificar a água foi acessada remotamente e que o invasor desconhecido havia aumentado a quantidade de hidróxido de sódio, essencialmente soda cáustica, de 100 partes por milhão para níveis possivelmente nocivos de 11.100 ppm. Se não fosse a rápida resposta do técnico, poderia ter havido um impacto direto na vida das pessoas no condado de Pinellas, que contam com o abastecimento seguro dessa água como fonte de água potável. 

Embora, neste caso, a alteração não autorizada e possivelmente calamitosa na rede de OT tenha sido rapidamente detectada e solucionada antes da ocorrência de qualquer dano ao público, nem sempre esse é o caso. Infelizmente, nos últimos anos, observou-se um aumento drástico de incidentes de segurança nas redes de OT. Os acontecimentos globais de 2020 apenas acentuaram o desafio da segurança, forçando as empresas a “abrir” sua rede para acesso remoto pelos colaboradores em quarentena ou com outras limitações. Esses fatores, juntamente com os avanços tecnológicos, como ambientes convergidos de TI e OT e a rápida adoção da tecnologia IoT, ampliaram ainda mais as superfícies e os vetores de ataque de OT, fazendo com que os ambientes industriais se tornasses alvos prementes.

Para a maioria das organizações industriais, a necessidade de segurança rígida não é novidade. Em decorrência das ameaças emergentes, os vetores de ameaças e a previsão de segurança estão em constante evolução. A convergência das operações de TI e OT, planejada ou não, é quase sempre uma realidade. Definir as proteções adequadas ajudará a garantir operações seguras para a organização e proporcionará aos operadores de OT as ferramentas necessárias para proteger a infraestrutura crítica. O que você deve considerar?

Visibilidade que vai além das fronteiras tradicionais

Até outro dia, a segurança de TI e as infraestruturas de OT pertenciam a áreas completamente diferentes; portanto, a capacidade de olhar para esses dois ambientes ficava dividida entre essas duas linhas. Os ataques atuais são amorfos e atravessam as barreiras tradicionais de segurança de TI e OT, como ficou comprovado neste mais recente incidente. Nossa habilidade de monitorar esses tipos de rotas de propagação requer que a separação dos parâmetros de visibilidade tradicionais seja eliminada. É essencial obter uma visualização única de TI e OT, juntamente com as conversas que ocorram entre essas duas áreas. A visão holística pode ajudar a destacar possíveis vetores de ataque e pontos cegos de ativos que podem escapar das estratégias de segurança tradicionais.

Análise situacional profunda

Independentemente de um ambiente de OT estar ou não convergido, é importante reconhecer a diferença significativa nos ciclos de vida de TI e OT. Enquanto as infraestruturas de TI são atualizadas regularmente, as infraestruturas de OT perduram por anos, ou mesmo décadas. É comum que uma infraestrutura de OT seja tão antiga quanto a fábrica. O resultado é que o inventário de ativos, juntamente com os registros de manutenção e de gerenciamento de mudanças, pode não estar atualizado. Portanto, podem faltar dados cruciais, inclusive detalhes importantes, como número do modelo, localização, versão de firmware, nível de patch, detalhes de backplane etc. Como é impossível proteger ativos desconhecidos, é essencial ter um inventário detalhado da infraestrutura de OT, que possa ser atualizado automaticamente conforme as condições mudam, para proteger suas operações industriais.

Redução do risco cibernético

Quando se trata de ambientes de OT modernos, as ameaças cibernéticas podem surgir de qualquer lugar e se espalhar para todos os lugares. Portanto, é importante utilizar o máximo possível de funcionalidades e metodologias para localizar e mitigar o risco de exposição. Isso inclui uma detecção baseada em rede que:

• Utiliza políticas para funcionalidades de lista de permissões e lista de bloqueios;
• Faz detecções com base em anomalias, que podem localizar ataques direcionados e de dia zero e que sejam baseadas em comportamentos da linha de base exclusivos da sua organização;
• Usa bancos de dados de ataque de código-fonte aberto, como o Suricata, que centralizam threat intel da comunidade de segurança mais ampla, reunindo mais olhos para detectar possíveis ameaças e produzir uma resposta de segurança significativamente melhor.

Como a maior parte dos ataques tem como alvo dispositivos, em vez de redes, é essencial utilizar uma solução que faça consultas ativas e ofereça segurança no nível do dispositivo. Como os protocolos de dispositivos de OT podem variar muito, as verificações de segurança e integridade devem ser exclusivas da marca e do modelo do dispositivo, incluindo a linguagem do dispositivo. Essas verificações aprofundadas não devem verificar, mas devem ser precisas na natureza e na frequência das consultas.

Em 2020, foram reveladas mais de 18.300 novas vulnerabilidades afetando dispositivos de OT e ativos tradicionais de TI. No entanto, menos da metade dessas vulnerabilidades tinha realmente uma exploração disponível. O conhecimento total das vulnerabilidades que são relevantes para o seu ambiente, juntamente com uma lista classificada dos ativos críticos e das vulnerabilidades que podem ser exploradas, permitirá que você priorize as ameaças com a maior pontuação de risco, reduzindo drasticamente seu perfil de Cyber Exposure.

Saber quando mudanças acontecem

O cerne de qualquer infraestrutura de OT é o controlador lógico programável, ou PLC, que controla o processo industrial ou de fabricação. No caso da purificação da água, o PLC orquestra o delicado processo de assegurar a combinação adequada de produtos químicos que deixam a água potável segura. 

Ataques arquitetados contra sistemas de controle industrial envolvem uma alteração não autorizada em um PLC. O controle de configuração cria um snapshot ou registro de histórico para destacar um delta antes e depois de uma alteração nos PLCs. Ao fazer snapshots em intervalos regulares, você obtém visibilidade dessas alterações, como elas foram feitas e por quem. O controle de configuração pode apresentar uma trilha de auditoria completa e proporcionar aos administradores de ICS a inteligência, as perspectivas e a capacidade de reverter para o "último estado válido" caso sejam feitas alterações não autorizadas ou aquém do ideal.

Os ambientes de OT são essenciais para a operação de quase todas as infraestruturas críticas e instalações de fabricação. Eles se tornaram mais sofisticados e interconectados ao longo do tempo, produzindo e fabricando produtos e serviços essenciais, de acordo com padrões exigentes. A necessidade de proteger esses ambientes críticos contra ameaças é tão (ou mais) importante do que proteger nossas infraestruturas de TI que estão conectadas a eles. Obter visibilidade, segurança e controle dos ambientes de OT é crucial; há vidas que dependem deles, literalmente. 

Para obter mais informações sobre a implementação dessas proteções de OT, confira a publicação Secure Industrial Control Systems With Configuration Control (em inglês).