View
244
Download
1
Embed Size (px)
Citation preview
ANÁLISE DE RISCOS DE REDES INDUSTRIAIS E SCADA
Versão 1.5 - Setembro de 2016
• Ameaças para redes industriais e sistemas SCADA• Desafios de proteção em redes industriais e sistemas
SCADA• Normas de Segurança Cibernética• ICS Security Framework• Análise de riscos SCADA• Clientes TI Safe
Agenda
Ameaças para redes industriaise sistemas SCADA
Evolução no tempo
Dados DadosInternet
Criptografia Alvos
Organizado Focado Financiado
Uma pessoa ou grupos pequenosConhecimento e recursos limitadosAtaques básicos
Presente
OBJETIVO: Notoriedade
Internet
PASSADO
PRESENTE
OBJETIVO: Lucro, Sabotagem,Conflito
SCADA – Tempestade perfeita para ciberataques
Redes em IP e ServidoresWindows
Conectividade Interna, Externa, VPN,Fabricantes, etc..
Baixa maturidade desegurançacibernética
Patches não frequentes Ataques e APT´sespecíficos
Redes em IP e ServidoresWindows
Conectividade Interna, Externa, VPN,Fabricantes, etc..
Baixa maturidade desegurançacibernética
Patches não frequentes
s
Centro de Controle
IHMENG
Remotas/Substações/Zona deProcessos
PLC / RTU
HIST
OPCServer
Centro de Controle
IHMENG HIST
OPCServer
ICCPMMS
Elcom 90
GeralModbus
DNP3CIP Ethernet
Bridge/ServiçosOPC DA/UA
AppsCygnet – Oil &
Gas SCADAPI - Historian
Protocolos Industriais: Inseguros por natureza
DNP3: Amplamente usado em energia, saneamento, etc: Sem autenticação ou criptografia DNP3 Secure Authentication: Uso restrito
Modbus TCP: Utilizado em I/O Sem autenticação ou criptografia Sem supressão de broadcast Vulnerabilidades publicadas
OPC: Padrão para aquisição de dados Baseado em COM/DCOM Sem autenticação ou criptografia Altamente vulnerável
Vulnerabilidades e Exploits
• Diversas vulnerabilidadesconhecidas são deixadas semcorreção para uma variedade derazões
• Exploits estão disponíveis parasistemas SCADA, PLCs, IHMs,supervisórios e historiadores.
• Exploits estão disponíveis parao sistema operacional host(Windows)
• Exploits estão disponíveis paraprotocolos específicos(Modbus, IEC, Ethernet IP, etc.)
HistorianServer
(CVE-2012-2516)
OPCServer
(CVE-2011-1914)
SCADA Master /HMI
(CVE-2012-0233)
PLC / RTU / IED(CVE-2010-2772)
Múl
tiplo
sve
tore
spa
raat
aque
s
Acesso à internet eredes de suporte
Mídiasremovíveis
Computaçãoportátil
CVE = CommonVulnerabilitiesand Exposures
Ransomware: O malware virando um negócio
• Ransomware é um tipo de malware que previne ou limita usuários de acessarem seus
arquivos e sistemas.
• Força a vítima a pagar resgate através de determinados métodos de pagamento online para
devolver o acesso as suas informações.
• Alguns tipos de ransomware criptografam arquivos (ex. Cryptolocker), enquanto outros usam
a rede TOR para ocultar comunicação C&C (ex. CTB Locker).
• Na maioria dos casos envolve o pagamento de resgate.
Ransomware
Malware avançado atingindo redes industriais eSCADA
FUDFully UnDetectable (muitas vezes encurtado para "FUD") significa software incapaz de serdetectado por antivirus convencional quando um scan é executado. O termo é utilizado emcírculos “underground” para se referir a código que resulta em veredito “limpo” ou “benigno”para a maioria dos antivirus, ainda que seja uma ferramenta de hacking. Técnicas incluemcriptografia e/ou fuzzing de payload.
Desafios de proteção em redesindustriais e sistemas SCADA
Ter visibilidade e controle
Rede SCADA
Controlar, permitir eproteger protocolosControlar, permitir eproteger protocolos
IdentificaraplicaçõesIdentificaraplicações
Bloquear usonão apropriadoBloquear uso
não apropriadoProteger perímetroProteger perímetro
Identificarameaças
Identificarameaças
Atender normase conformidadeAtender normase conformidade
☣
Visibilidade e controle granular de:
• Protocolos que trafegam na rede industrial
• Aplicativos industriais e não industriais queestão sendo executados
• Usuários conectados
• Conteúdo e arquivos trocados
HumanMachineInterface
EngineeringWorkstation
AutomationServer
Proteger sistemas desatualizados• Sistemas SCADA não podem receber
patches ou atualizações regularmente.
• Nem sempre pode-se proteger comtecnologias de proteção de endpoint.
• Não podem parar – no downtime.
• Possuem restrições de processo.
• Alguns sistemas já não são mais suportadospelo fornecedor.
• Operam muitas vezes em sistemasoperacionais descontinuados.
• Quaisquer novas vulnerabilidades sãoresolvidas em “forever day”.
Proteger protocolos inseguros
DNP3 Modbus
• Controles específicos para leitura e escrita (reprogramação) de setpoints,registros, comandos de restart e reset, downloads, etc.
Uma vez que o protocolo não pode ser alterado, deve-se adquirirvisibilidade e controle de ações relacionadas a condições eparâmetros operacionais:
Realizar controle comportamental
SCADAcomprometidoReconhecimento Estabelecimento de
canais de controleComprometimento
do endpoint
O momento certo para prevenir uma ameaça é antes de umatacante comprometer um endpoint e ganhar entrada no seu
ambiente.A melhor forma de prevenir uma ameaça é monitorando e
bloqueando comportamentos não permitidos
Estabelecer acesso externo granular e segmentação interna.
Implementar modelo de zonas e conduítes – Norma ANSI/ISA-99.
Arquitetura de DMZ e AD industriais.
Sistemade
ControleIndustrial
Rede deNegócios
Parceiros
Comunicaçãocom outras
plantasindustriais
Suportede
terceiros
Proteger a interconexão do SCADA
Normas de SegurançaCibernética
Norma ANSI/ISA 99 (ou IEC-62443)
• Norma elaborada pela ISA (The InstrumentationSystems and Automation Society) para estabelecersegurança da informação em redes industriais
• É um conjunto de boas práticas para minimizar orisco de redes de sistemas de controle sofreremCyber-ataques
ANSI/ISA-TR99.00.02-2004: Programa desegurança de sistemas de controle industriais
1. Análise de Riscos (Assessment & Plan)• Racional do negócio, identificação de riscos, classificação e
análise• Primeira etapa e condição si-ne-qua-non para implementação
de segurança cibernética em redes industriais
2. Endereçando contramedidas (Execute)• Política de Segurança, Organização e Treinamento
• Definir escopo, segurança organizacional, treinamentoda equipe, plano de continuidade de negócios, políticase procedimentos
• Selecionar contramedidas de segurança• Segurança pessoal, segurança física, segmentação de
rede, controle de acesso, autenticação e autorização• Implementação
• Gerência de riscos e implementação, desenvolvimento emanutenção de sistemas, gestão da informação edocumentos, planejamento de incidentes
3. Monitorando e controlando (Control)• Compliance• Revisar, melhorar e manter o CSMS
Norma NIST 800-82
• Norma elaborada pelo NIST
• O documento é um guia para oestabelecimento de sistemas de controle desegurança para indústrias (ICS).
• Estes sistemas incluem controlesupervisório e aquisição de dados emsistemas SCADA, sistemas de controledistribuídos (DCS), e outras configuraçõesde sistema para PLCs.
http://csrc.nist.gov/publications/drafts/800-82/draft_sp800-82-fpd.pdf
Normas ISO 27001 / 27002• Base para a criação de documentos de segurança da informação, como políticas e padrões.• Usada para análise de segurança física
ICS Security Framework
Materializando as normas em ações direcionadas
DETECÇÃO, DEFESA E CONTROLE INTEGRADO DE AMEAÇAS PARA SISTEMASSCADA E INFRAESTRUTURAS CRÍTICAS
ANSI/ISA.99
Metodologia desenvolvida pela TI Safe para mapear as necessidades,organizar as prioridades, executar as contramedidas e controlar onível de segurança da informação em sistemas industriais einfraestruturas críticas.
Resultado efetivo
ANSI/ISA.99
• Implementa as boas práticas descritas no CSMS (Cyber Security ManagementSystem) das normas ANSI/ISA-99 (IEC-62443) e NIST 800-82.
• Considera e atende às particularidades do ambiente industrial.
•Acelera o processo de maturação de segurança em redes industriais e sistemasSCADA.
• Oferece planejamento consistente e visibilidade adequada das ações mitigatóriasno ambiente industrial.
• Define os controles e métricas para gerenciamento da segurança do ambiente.
Módulos do ICS.SecurityFramework
Análise de riscos SCADA
Análise de Riscos em redes industriais e SCADA
• Objetivos
• Avaliar ameaças aos ativos
• Levantar riscos existentes
• Definir a probabilidade de ocorrência de incidentes
• Definir medidas para prevenir e responder aos incidentes
• Procedimentos
• Levantamento inicial
• Análise de riscos estática e dinâmica em redes de automação
• Definição de ações prioritárias
• Elaboração do plano de tratamento de riscos: Mitigação /
Transferência / Aceitação
Fases da Análise
Etapas Análise estática: nesta análise são verificados diagramas da rede,
vistoriado o ambiente e respondidos questionários de auditoria desegurança física e lógica da rede de automação alinhados com as boaspráticas das normas ANSI/ISA-99 , NIST 800-82 e ISOs 27001/27002.
Análise dinâmica: coleta de dados automatizada suportada por um firewallde próxima geração que será configurado em modo TAP (não intrusivo) ecoletará informações da rede a nível de aplicação .
A análise dinâmica é executada com a utilização de firewall depróxima geração capaz de analisar pacotes de dados encapsuladosem protocolos industriais e aplicações em camada 7.
• Realizada em duas fases: Análise de riscos de segurança lógica segundo as normas ANSI/ISA-99 e
NIST 800-82.
Análise de riscos de segurança física do centro de controle segundo as
normas ISO 27001 e ISO 27002
Análise Estática
• Baseada na resposta a questionário desenvolvido de acordo com asdiretrizes do CSMS (Cyber Security Management System) especificadonas normas ANSI/ISA-99 e NIST 800-82.
• Nesta análise são levantadas as principais vulnerabilidades inerentes àarquiteturas de rede inseguras e/ou em não conformidade com omodelo de defesa em profundidade da norma, fragilidades deaplicativos, sistemas e protocolos, e por fim, falhas no processo degovernança de TA da infraestrutura crítica.
Análise de Riscos de Segurança Lógica
• Baseada na resposta a questionário desenvolvido de acordo com asdiretrizes de segurança física de datacenters das normas ISO 27001 e ISO27002
• Objetiva analisar a segurança física do meio ambiente das áreas de TI/TA e éde fundamental importância, visto que, os processos de controle sãoexecutados em equipamentos instalados neste(s) ambiente(s)
Análise de Riscos de Segurança Física
• Realizada com o uso de um Firewall de Próxima Geração, permiteanalisar vulnerabilidades da rede de controle em camada 7 (aplicação)
• São realizados testes de IPS (Intrusion Prevention System) tradicionais,com uma abordagem mais compreensiva que leva em consideraçãoaplicações modernas e suas capacidades, bem como detecta ameaçascomo Vírus, Malware e inspeção de conteúdo.
• Os testes dão visibilidade de tráfego e ameaças provenientes daInternet, bem como demais perímetros de automação como fronteirascom redes corporativas, sistemas supervisórios, datacenter deautomação, rede de processos, assim como links com terceiros econexões externas de VPN ou entidades regulamentadoras que fazemleitura da capacidade produtiva das plantas de automação.
Análise de Riscos Dinâmica
• Os testes em ambientes de automação seguem o conceito doespelhamento de tráfego sem gerar impactos ou mudança natopologia uma vez que a disponibilidade é o princípio da segurança dainformação mais relevante para redes industriais.
• Para o espelhamento de tráfego é necessário apenas interface(s) emmodo TAP conectado ao tráfego real (Port Mirror/SPAN Port) parapoder analisá-lo, sem causar qualquer impacto para o ambiente.A definição dos pontos de espelhamento é a chave do sucesso de umbom teste em ambientes de automação.
• Quanto mais segmentos forem espelhados, mais amostras de tráfegopara visibilidade de aplicações e ameaças serão coletadasidentificando-se riscos associados ao uso de protocolos industriais,comandos operacionais de automação e ameaças que possam incidirnos perímetros de plantas de automação.
Análise de Riscos Dinâmica (Cont.)
Entregáveis
Relatório de Análise Estática de Riscos (RAER)Relatório de Análise de Segurança Física (RASF)Relatório de Visibilidade de Aplicativos e Riscos (RVAR)Planejamento de Segurança Cibernética Industrial
(PSCI)
RAER - Implantação de controles por site
Site 1 Site 2 Site 3 Site 4 Site 5
RAER - Estabelecimento de controles por área
RAER – Quantitativo de controles por área
RASF - Avaliação de controles em Datacenter
RASF - Problemas encontrados no DatacenterAu
dito
ria e
Mon
itora
men
to E
letrô
nico • As imagens
do DataCentercaptadas porcircuitointerno de TVdevem sergravadas.
• O circuitofechado deTV (CFTV) doData Centerdeve serconectado aum sensor demovimento.
Cab
eam
ento • Cabos
inativosdevem serremovidos doData Center.
Clim
atiz
ação • Um
mecanismodemanutençãode energiacontínua deveser instaladopara osistema derefrigeraçãodo DataCenter.
Com
unic
ação
de
dado
s/vo
z • Um sistemade proteçãocontra escutaem linhastelefônicas doData Centerdeve serinstalado.
RAER e RASF - Detalhes dos Relatórios
RVAR - Aplicativos Indutores de Risco
RVAR – Operações Vulneráveis em ProtocolosIndustriais
RVAR – Avaliação de controles implementados
Segurança de Borda• [3] Algum tipo de criptografia ou ofuscação de mensagens trocadas entresistemas de automação deve ser implementada.
• [26] Duplo fator de autenticação para acesso remoto aos sistemasSCADA deve ser utilizado.
• [55] Soluções de segurança devem ser implementadas para evitarataques por Denial of Service (DoS).
• [63] Usuários, dados e dispositivos dentro da rede de automação devemser autenticados.
Proteção da Rede SCADA• [20] Protocolos seguros devem ser usados nas redes das áreas deautomação.
• [35] Serviços de controle de rede utilizados pela rede de automação(DNS, DHCP, por exemplo) não devem estar instalados em servidores narede de TI.
Controle de Malware• [4] As assinaturas do software de Antivírus devem ser atualizadasperiodicamente.
• [16] Software SCADA com vulnerabilidades conhecidas e divulgadas emmanuais ou websites deve ser evitado.
• [17] Um software Antivírus deve ser instalado nas máquinas da rede deautomação.
Segurança de Dados• [50] As senhas de computadores e dispositivos devem ser trocadasperiodicamente.
• [54] O tráfego de dados entre dispositivos deve ser criptografado.
RVAR – Validação de controles
Segurança deBorda
Algum tipo de criptografia ouofuscação de mensagenstrocadas entre sistemas deautomação deve serimplementada.
Pode ser evidenciado nostráfegos de operações deRead e Write em protocolosindustriais apresentados naconsole do equipamento enos Relatório de AnáliseDinâmica.
Duplo fator de autenticaçãopara acesso remoto aossistemas SCADA deve serutilizado.
Pode ser evidenciado atravésda análise dinâmica caso hajatráfego externo (da Internet)em redes de automação queteoricamente são isoladas
Soluções de segurançadevem ser implementadaspara evitar ataques por Denialof Service (DoS).
Pode ser evidenciado noRelatório de AnáliseDinâmica. Existe uma seçãosó para falar de ataques deDoS sofridos pela rede.
Usuários, dados e dispositivosdentro da rede de automaçãodevem ser autenticados.
Pode ser evidenciado noRelatório de Análise Dinâmicaao identificar a comunicaçãoentre equipamentos da redede automação com máquinasfora da rede de automação ena Internet).
– Aprovado | – Atenção | - Reprovado
• O Planejamento de Segurança Cibernética Industrial (PSCI) é o produtofinal da análise de riscos SCADA.
• É um instrumento elaborado a fim de orientar, definir objetivos e prazosrelativos aos procedimentos de implementação de controles eprocedimentos de segurança cibernética para redes industriais esistemas SCADA.
• Dinâmico e flexível, o PSCI descreve as soluções tecnológicas e deprocesso e os passos de implementação para atender as necessidadesde segurança do escopo analisado.
Planejamento de Segurança CibernéticaIndustrial (PSCI)
PSCI - Definição de metas de cibersegurança
Site 1 Site 2 Site 3 Site 4 Site 5
PSCI - Priorização de ações
Área de atenção Nível de atençãoProteção da Rede SCADA 120Controles de segurança física às instalações críticas dos sistemas de automação devem ser implementados. 20Uma fonte de alimentação ininterrupta (UPS) deve ser fornecida para todos os pontos críticos e sistemas da rede de automação. 20Serviços desnecessários devem ser desabilitados nos novos servidores. 20A segurança dos sistemas SCADA deve ser levada em consideração durante os projetos de novos sistemas da empresa. 20A arquitetura da rede de automação deve ser estabelecida considerando a segurança das informações. 20ACLs (Access Control Lists) na rede de automação devem ser implementadas. 20Governança e Monitoramento 100Um perímetro de segurança definido para a rede de controle deve ser implementado. 20Backup das configurações críticas dos equipamentos e sistemas de automação deve ser feito para o caso de alterações acidentais ouincidentais nos sistemas em produção que o levem à indisponibilidade. 20LOGs de servidores de aplicações críticas de sistemas de automação devem ser permanentemente monitorados. 20Revisões nos códigos escritos para os sistemas de controle e monitoramento devem ser executadas. 20Rotinas de segurança específicas para os sistemas de automação devem ser implementadas. 20Controle de Malware 80Uma plataforma de testes deve ser implementada para garantir que novos softwares de antivírus ou novas atualizações de assinaturas nãotrarão danos aos sistemas de automação. 20Um software Antivírus deve ser instalado nas máquinas da rede de automação. 20As assinaturas do software de Antivírus devem ser atualizadas periodicamente. 20Os patches e atualizações de sistemas operacionais e aplicativos disponibilizados pelos fabricantes devem ser aplicados nos sistemas deautomação da empresa assim que disponibilizados. 20Segurança de Dados 20Uma política visando o uso de senhas fortes para o acesso aos sistemas SCADA deve ser implementada. 20Segurança de Borda 20Soluções de segurança devem ser implementadas para evitar ataques por Denial of Service (DoS). 20
Total Geral 340
Clientes no BrasilSetor de Energia Setor Industrial
Setor FinanceiroEmpresas de Tecnologia
Governo
Clientes Internacionais
Siga a TI Safe nas Redes Sociais
• Twitter: @tisafe• Youtube: www.youtube.com/tisafevideos• SlideShare: www.slideshare.net/tisafe• Facebook: www.facebook.com/tisafe• Flickr: http://www.flickr.com/photos/tisafe
Contatos
Dúvidas?