👊 😀 🏤 Como melhorar a segurança da automação industrial 🗄️ 👈🏼 🏩

Sven Schrecker, arquiteto-chefe do IoT Security Solutions Group da Intel Security Corporation, é uma pessoa bastante conhecida e, portanto, decidimos traduzir um de seus artigos recentes sobre segurança da informação no setor. Gostar de ler!

A história da automação industrial parece muito emocionante para mim. As novas tecnologias retomaram os processos de produção da era industrial, catapultando-os para a era da informação. Quando parecia que a produtividade já havia atingido seu pico, a Internet ajudou a aumentar a eficiência da produção para níveis inimagináveis.

Infelizmente, a automação industrial invadiu o mundo moderno, orientado a dados e conectado à Internet, e passou rapidamente pela segurança digital, sem diminuir o ritmo.

Bem-vindo à era digital, quando um hacker anônimo no espaço virtual pode se infiltrar em sistemas de automação industrial. Como garantir a segurança desses sistemas e, ao mesmo tempo, atender às necessidades dos negócios?

As equipes de Tecnologia Operacional (OT) ainda exigem alta resiliência e disponibilidade. As equipes de tecnologia da informação (TI) precisam estar interconectadas, seguras e compatíveis com os regulamentos. Ambas as equipes devem envolver novos especialistas: analistas de dados que precisam coletar, trocar e analisar dados em tempo real para cada decisão de negócios. Este artigo discute a situação da segurança nos modernos sistemas de automação industrial, os problemas tecnológicos e organizacionais de sua melhoria e um modelo dinâmico para implementar a segurança e a confiança nos sistemas de controle industrial (ICS) e nos sistemas de controle e aquisição de dados (SCADA).

Crime e conflito têm um novo endereço

Hackes físicos e ataques aos sistemas SCADA e ICS são praticamente um fenômeno do século XX. Atualmente, a maioria dos ataques é realizada por atacantes com alta motivação e recursos necessários. Essas pessoas geralmente são programadores experientes trabalhando para grupos de crimes cibernéticos de outros continentes. As propriedades e até os estados estão constantemente envolvidos em uma batalha invisível com o inimigo, porque as instalações de produção e a infraestrutura crítica estão em risco. Aqui estão alguns exemplos dignos de nota:

2010 , Stuxnet , . , , , .
2014 , , . , . « » . .
2014 , - . , , . , .

Infelizmente, esses incidentes de segurança ocorrem com mais frequência (escrevemos recentemente sobre outra história quando hackers atacaram o sistema de distribuição de gás americano. O Ransomware clássico, um vírus de ransomware foi usado para atacar) e os danos causados por eles estão aumentando constantemente. Uma lista up-to-date de alertas, recomendações e mensagens de ataque pode ser encontrado na Emergency Response Team Cyber Security (ICS-CERT) website .

Ataque aos dados

A coleta e análise de dados é uma arma competitiva do nosso tempo. Com base nelas, são geradas idéias analíticas que otimizam os processos em cada área do negócio. Os fabricantes costumam investir centenas de milhões de dólares para obter um aumento de 10 a 20% na eficiência. A eficiência aumenta devido aos dados (e conclusões deles) obtidos como resultado da análise do uso e demanda do consumidor, compras, otimização da cadeia de suprimentos, processos de produção, previsão e muito mais. Ao alterar cuidadosamente esses dados, os invasores podem des otimizar os processos de uma empresa que nem os notam. Mesmo a manipulação de dados mais fácil pode prejudicar uma empresa que está sempre à beira do equilíbrio.

Mitos e equívocos de segurança

Vários mitos e conceitos errôneos impediram o desenvolvimento de sistemas de segurança para automação industrial. Os mais comuns incluem:

"Nossos sistemas de tecnologia estão bem protegidos porque a linha de produção não está conectada à Internet". Este é um equívoco popular e muito perigoso. É altamente improvável que qualquer sistema de gerenciamento de produção esteja realmente isolado. Mesmo um usuário que pode acessar o sistema de produção acessando a Internet, ou que se conecta ao sistema usando um laptop ou tablet, cria vulnerabilidades de segurança. Basta lembrar os casos da usina de enriquecimento nuclear iraniana e da usina siderúrgica alemã.
« 20- , ». , , . . / , , . , .
« , , -». , .

Os modernos sistemas de automação industrial cliente-servidor mudaram para a arquitetura de ponta a nuvem devido às vantagens de custo e flexibilidade. E o mundo interconectado de hoje está aumentando o número de riscos nesses sistemas. Independentemente do aplicativo, a segurança começa com o estabelecimento de uma cadeia de confiança entre dispositivos, dados e sistemas. Em um sistema confiável, tudo deve ser autenticado e validado para garantir compatibilidade e integridade em todos os pontos. E os requisitos de acessibilidade e a natureza herdada dos sistemas de automação industrial apresentam desafios adicionais. Manter os investimentos existentes na infraestrutura do sistema é de extrema importância. Portanto, um modelo de segurança viável deve funcionar com sistemas novos e existentes. Além disso, a segurança é um processo dinâmico,conforme as necessidades de segurança, políticas e métodos de detecção de ameaças mudam com o tempo. Portanto, qualquer solução viável deve ser adaptável e atualizada.

Requisitos primários

Um modelo integrado de sistema de segurança estabelece e garante a interconexão confiável de sistemas de automação industrial. Este modelo possui três requisitos básicos:

Dispositivos seguros (com recursos internos de segurança da informação)
Comunicações seguras (protocolos de comunicação entre dispositivos)
Monitoramento e gerenciamento de segurança (resposta a eventos e incidentes)

Dispositivos protegidos

A criação de uma cadeia de confiança começa com a autenticação do dispositivo. As abordagens anteriores para verificar a identidade do dispositivo, como o uso de endereços IP e endereços MAC, não são confiáveis: os endereços IP mudam regularmente e podem ser alterados com muita facilidade pelos hackers, enquanto os endereços MAC podem ser redefinidos com facilidade. Portanto, a autenticação do dispositivo deve começar no nível físico do processador dentro do hardware. Tecnologias confiáveis podem ser usadas para aumentar a segurança. Por exemplo, o coprocessador de segurança interno é um microprocessador especial projetado para armazenar chaves criptográficas em um contêiner de hardware protegido contra acesso não autorizado.

Isso permite que o próprio chip execute operações criptográficas, como medir o nível de confiança no processo de inicialização, sistema operacional, máquina virtual ou aplicativo. A chave para esse processo é a medição precisa de código, estrutura de dados, configuração, informações ou qualquer coisa que possa ser carregada na memória. Durante a medição, um hash criptográfico é calculado usando um algoritmo de hash seguro. Permite verificar a integridade e detectar alterações (ou danos) no código, configuração ou dados.

Um esquema semelhante é aplicado ao software localizado no disco para verificar se foi violado antes de ser carregado na memória e executado. A cadeia de confiança continua a se alinhar e a ser verificada em toda a pilha de software, inclusive durante o processo de download e em todo o sistema - mesmo quando os dados são criptografados e transferidos para a nuvem. A obtenção de dispositivos, dados e programas confiáveis é importante na automação industrial, principalmente devido à predominância de comunicações máquina a máquina. Por exemplo, dispositivos confiáveis podem assinar eletronicamente os dados recebidos por sensores de monitoramento industrial confiáveis. Se um hacker manipular dados, a assinatura dos dados será imprecisa e será marcada por um sistema de monitoramento. Nesse caso, a parte não confiável dos dados e a máquina ou sensor onde as alterações ocorreram serão instaladas.

Conexão segura

Espaço confiável para transações são áreas que permitem comunicações comerciais autorizadas. Os dispositivos devem garantir a confiança e a integridade dos dados dentro de cada zona. Duas tecnologias de segurança permitem a comunicação entre zonas confiáveis: gateways de segurança inteligentes que permitem aos usuários agregar, filtrar e trocar dados com segurança do escritório para a nuvem; e tempos de execução confiáveis que permitem executar com segurança e confiabilidade os dados do aplicativo em qualquer lugar.

Gateways inteligentes: conectando o passado e o futuro

Há uma razão pela qual os sistemas legados são tão comuns na automação industrial: eles funcionam. Alguns deles foram aprimorados por décadas. As novas classes de gateways inteligentes (algumas de apenas duas por duas polegadas) são usadas para expandir sistemas legados, conectando-os à infraestrutura inteligente de próxima geração. Esses gateways separam fisicamente sistemas legados, áreas de produção e o mundo externo, limitando a superfície de ataque de um sistema de automação industrial.

Esse gateway pode proteger um dispositivo desatualizado sem modificações, tornando-o uma solução de segurança inicial atraente para criar um nível consistente de segurança em um ambiente industrial. Como em qualquer dispositivo seguro, os gateways de segurança devem inicializar com segurança, autenticar na rede e executar várias tarefas de segurança e comunicação em nome dos dispositivos por trás deles. Eles podem ser preparados para vincular zonas confiáveis, verificando cálculos de integridade, verificando certificados, aplicando criptografia e estabelecendo canais de comunicação confiáveis. Os gateways também podem incluir protocolos para gerenciar os sistemas de produção aos quais estão conectados, o que pode prolongar a vida útil desses sistemas,permitindo realizar reparos e atualizações sem visitas físicas a áreas confiáveis de colocação de equipamentos.

:

O tempo de execução confiável aprimora a segurança, impedindo a execução de códigos maliciosos. As tecnologias de virtualização e criptografia são usadas para criar contêineres seguros para aplicativos e dados. Somente dispositivos aprovados funcionam com esses recipientes. Esses ambientes são áreas seguras e confiáveis, protegem os dados contra acesso não autorizado, tornando os dados e aplicativos invisíveis a terceiros, evitando possíveis vazamentos de informações confidenciais.

Mesmo em uma máquina virtual gerenciada por um fornecedor desconhecido, um tempo de execução confiável pode autenticar e assinar dados digitalmente e, posteriormente, verificar a integridade desses dados. Por exemplo, dados de produção de um sistema de automação industrial que armazena e processaO provedor de serviços em nuvem estará protegido contra falsificação e alteração.

Monitoramento e gerenciamento de segurança

O antigo provérbio de TI diz: você não pode controlar o que não pode controlar. A supervisão eficaz de sistemas distribuídos de automação industrial requer gerenciamento centralizado de dispositivos corporativos, bem como a capacidade de monitorar, coletar e analisar informações de eventos em todos os dispositivos. Isso fornecerá uma percepção situacional transversal de todo o sistema.

Consoles de gerenciamento de segurança corporativa

O console de gerenciamento permite que a equipe de TI gerencie e monitore o ambiente distribuído global altamente desenvolvido. No console de gerenciamento, o software nos dispositivos é controlado e atualizado remotamente, assim como a política de segurança nos dispositivos é determinada e refinada. Por exemplo, o gerenciamento de políticas de lista de permissões em dispositivos remotos que definem uma lista de aplicativos, dados, comunicações e outras funções confiáveis que o dispositivo pode executar.

O console de governança corporativa da empresa deve estar intimamente integrado à sua solução para proteção de informações e monitoramento de eventos (sistema SIEM) e outros módulos de segurança. Um alto nível de integração pode reduzir significativamente a complexidade, melhorar a consciência situacional e reduzir o tempo e os custos de gerenciamento. Além disso, a escalabilidade do console de gerenciamento corporativo e do SIEM usado está se tornando crítica.

Informações de segurança e monitoramento de eventos

Os sistemas SIEM coletam, consolidam, comparam, avaliam e priorizam eventos de segurança de todos os dispositivos gerenciados em um sistema de automação industrial. O SIEM permite manter a consciência situacional e contextual de todos os eventos, bem como identificar tendências e anomalias básicas. As características comportamentais ajudam a distinguir entre padrões normais e anormais de trabalho e a melhorar políticas, minimizando falsos positivos. Os dados SIEM também são importantes para análise forense, permitindo entender melhor um incidente de segurança ou falha do dispositivo.

Criação de ecossistema

Dada a natureza distribuída e interconectada dos modernos sistemas de automação industrial, para obter segurança completa, você precisa trabalhar em vários vetores ao mesmo tempo. Fabricantes de equipamentos para indústria e infraestrutura crítica (OEMs) estão formando consórcios com provedores de segurança corporativos para garantir a interoperabilidade, definir padrões abertos e definir interfaces de programação de aplicativos. Novos sistemas e dispositivos de controle industrial são criados do zero e desenvolvidos usando tecnologias de segurança que fornecem compatibilidade com versões anteriores e posteriores.

Dicas, truques e idéias críticas

Não há duas empresas idênticas - cada uma delas possui uma infraestrutura, tecnologias e processos de segurança exclusivos. Alguns deles fizeram progressos significativos na criação de soluções convergentes para a segurança do sistema, enquanto outros estão no início da jornada. Independentemente do estágio da organização nesse processo, aqui estão algumas diretrizes gerais a serem lembradas.

Crie uma força-tarefa de segurança. Certifique-se de que o grupo inclua pessoal responsável pelas informações e pelas tecnologias operacionais. Destaque funcionários importantes em suas equipes de produção e gerenciamento industrial e convide-os para briefings e eventos. Faça um tour pela fábrica ou instalação e converse com gerentes e funcionários avançados.
. , . , , .
, . , , « ». ? ?
. , - .

Considere como usar esses conceitos para criar níveis mais altos de segurança incorporada, comunicações seguras e capacidade de gerenciamento em sistemas de automação industrial. Afinal, hoje em dia ninguém pode ser protegido muito bem.

Portanto, um exemplo hipotético de um mundo real brutal é uma aquisição hostil de uma empresa através da manipulação de dados. Jogadores inescrupulosos usarão todos os meios para atingir seus objetivos enquanto prejudicam os concorrentes - incluindo hackers, espionagem industrial e sabotagem. Considere este exemplo: um grande conglomerado químico deseja capturar um concorrente que não deseja ser comprado de volta.

A invasão do sistema de produção de um concorrente através da manipulação de pedidos de estoque ou de uma ligeira alteração nas características técnicas dos materiais pode afetar adversamente a qualidade do produto. Isso reduz a satisfação do cliente, reduz as vendas e reduz a lucratividade. É muito provável que as causas dos problemas nem sejam detectadas. O descontentamento resultante dos acionistas pode criar condições favoráveis para a aquisição e um preço favorável. Os sistemas de automação industrial são particularmente vulneráveis a esses ataques, já que muitos deles estão conectados à Internet sem proteção adequada.

Além disso, muitas decisões cotidianas são tomadas como resultado da interação entre máquinas, o que dificulta seu rastreamento sem um sistema de segurança apropriado. Embora um ataque cibernético já seja uma ideia de negócio moralmente falida, é difícil argumentar sobre seu valor econômico.

O que mais é útil para ler no Cloud4Y blogue

→ A vida de um byte de dados
→ Computer marcas da década de 90, parte 1
→ ovos de Páscoa em mapas topográficos da Suíça
→ Como mãe de um hacker entraram prisão e infectados computador de seu chefe
→ Como é que o banco “quebrar”

Assine a nossa Telegram-canal, para não perder outro artigo. Escrevemos não mais do que duas vezes por semana e apenas a negócios. Também lembramos que o Cloud4Y, de 13 a 15 de abril (horário de Moscou), realizará um webinar " Como mudar para um site remoto: a rápida organização do trabalho remoto dos funcionários ". Registre-se para participar!

Como melhorar a segurança da automação industrial