Segurança ICS em destaque devido às tensões com o Irã

Dadas as intensas tensões entre os EUA e o Irã, as organizações com infraestrutura industrial conectada deve estar em guarda.

“O potencial impacto cibernético do assassinato de [Irani general Qasem] Soleimani é profundo”, advertiu Eyal Elyashiv, CEO e cofundador da empresa de segurança de rede Cynamics.

Observadores da indústria dizem que as questões recentes entre os dois países aumentam o risco cibernético como um todo. “Embora a Trend Micro não tenha informações privilegiadas sobre planos de ataque específicos, é lógico que o aumento das tensões políticas levaria a ataques cibernéticos”, disse Bill Malik, vice-presidente de estratégias de infraestrutura da Trend Micro.

Na sequência do assassinato, vários especialistas em segurança cibernética, bem como funcionários do governo dos EUA, alertaram sobre o risco de segurança do ICS que os adversários afiliados ao Irã representam.

Outros apontam para a probabilidade de ataques cibernéticos menores destinados a distrair, em vez de provocar retaliação. A perspectiva de uma ciberguerra total entre os EUA e o Irã "não deve ser a suposição padrão", disse Andrea Little Limbago, Ph.D., cientista social chefe da Virtru. A “atividade cibernética do Irã - de ataques destrutivos à desinformação - é generalizada há algum tempo. Isso não é novo e não está vinculado aos eventos desta semana ”, disse ela.

Durante a última década, as capacidades cibernéticas do Irã se expandiram consideravelmente. Os especialistas em segurança cibernética atribuíram uma série de ataques aos EUA e outros alvos - de ataques de negação de serviço a bancos dos EUA a malware personalizado voltado para os sistemas da Saudi Aramco - a atores iranianos. Também relacionado à segurança do ICS, relatórios em 2015 afirmam que hackers iranianos se infiltraram na rede elétrica dos EUA.

“As autoridades nos EUA devem estar muito preocupadas com as capacidades cibernéticas e o alcance do Irã”, disse Elyashiv.

Embora alguns relatos indiquem que as tensões entre as nações diminuíram, um alerta do Departamento de Segurança Interna (DHS) de 4 de janeiro advertiu que o Irã poderia, no mínimo, lançar "ataques com efeitos perturbadores temporários contra a infraestrutura crítica dos Estados Unidos".

Da mesma forma, a Agência de Segurança de Infraestrutura e Cibersegurança dos Estados Unidos alertou sobre o risco potencialmente elevado de ataques e espionagem cibernética contra alvos estratégicos em "organizações de finanças, energia e telecomunicações e um maior interesse em sistemas de controle industrial e tecnologia operacional".

Atores iranianos têm um histórico de almejar sites dos EUA. Em 2016, o Departamento de Justiça dos EUA revelou uma acusação acusando sete empreiteiros iranis do Corpo de Guardas Revolucionários Islâmicos do Irã de realizar ataques cibernéticos a vários bancos e uma barragem de Nova York. Os EUA também acusaram atores vinculados ao Irã de “patrulhar e planejar contra alvos de infraestrutura e ataques cibernéticos contra uma série de alvos baseados nos EUA”, de acordo com um alerta do DHS.

Essa segmentação se estende ao reino industrial. Um coletivo de hackers conhecido como Advanced Persistent Threat 33 ligado ao Irã tem um histórico de almejar os setores de defesa, transporte e energia, de acordo com o Cyberscoop.

Limbago acredita que é muito cedo para assumir que o Irã priorizará a exploração de vulnerabilidades de segurança do ICS no curto prazo. “Se as tensões aumentarem mais, isso pode mudar, mas dado o nível atual, a atividade cibernética contínua do Irã continuará no que é considerado a zona cinzenta [parando antes de escalar para a guerra]”, disse ela. “Embora o ICS certamente seja uma preocupação, o Irã entende que ataques destrutivos à infraestrutura crítica provavelmente levarão a uma escalada e retaliação.”

Da mesma forma, Carol Rollie Flynn, ex-diretora executiva do Centro de Contraterrorismo da CIA, espera que o Irã realize ataques cibernéticos menores. “Eles não querem que façamos retaliação contra eles. Eles já sentiram isso antes ”, disse ela

Outra possibilidade, disse Limbago, é que os atores iranianos possam visar organizações do setor privado que não tenham uma conexão ICS clara. Há precedentes para essas táticas. Em 2015, James Clapper, então diretor de inteligência nacional, afirmou que o Irã provavelmente estava por trás de um ataque ao Sands Casino que foi uma retaliação por comentários anti-Irã de seu CEO, Sheldon Adelson. “O que provavelmente está mais de acordo com seus padrões anteriores seria almejar organizações do setor privado associadas ao poder executivo que poderiam infligir problemas financeiros, mas que estariam longe de reunir o público americano e o governo dividido para responder”, disse Limbago.

Outro elemento central na ciberestratégia do Irã são as operações de desinformação, que Limbago categorizou como "extremamente prolíficas e globais". “Certamente haverá uma continuação dessas atividades - tanto internamente para construir apoio pró-governo quanto globalmente para construir um sentimento antiamericano”, acrescentou Limbago.

Gerenciamento de risco cibernético

Não importa o que aconteça com as tensões recentes, a situação oferece uma oportunidade para as organizações com infraestrutura industrial fazerem um balanço de seus dispositivos conectados. “Recomendamos novamente que os proprietários e operadores de sistemas de controle industrial revisem seu inventário de tecnologia, avaliem suas vulnerabilidades e apliquem os controles que puderem para reduzir seu perfil de ataque”, disse Malik.

Dado o foco das organizações industriais no tempo de atividade, é típico para ambientes industriais - incluindo aqueles em configurações de infraestrutura crítica - usar hardware e software desatualizados e sem patch. “As organizações devem olhar além dos sistemas antiquados usados ​​atualmente para proteger a infraestrutura crítica, como a história recente mostra claramente que eles podem ser facilmente comprometidos”, disse Elyashiv.

Embora a higiene cibernética seja de importância crítica, David Goldstein, presidente e CEO da AssetLink Global LLC, enfatizou que as organizações também devem se concentrar na segurança física. “A resposta à segurança [IIoT] não está inteiramente em hardware e software”, disse Goldstein.

Ironicamente, o tema do acesso físico foi um elemento central no ataque do Stuxnet contra as centrífugas nucleares do Irã há uma década. Na campanha do Stuxnet, agentes duplos supostamente trabalhando em nome dos governos dos EUA e de Israel instalaram malware em uma rede central sem ar na instalação de enriquecimento nuclear de Natanz. Como resultado, cerca de 1.000 de suas centrífugas nucleares dentro da instalação foram destruídas.

A saga do Stuxnet ilustra a importância não apenas do controle de acesso, mas também da confiança em geral, disse Goldstein. “Com quem você trabalha, em quem você confia, quem tem credenciais para entrar em seu sistema, quem tem acesso físico?” ele perguntou “A confiança entre atores e parceiros se tornará cada vez mais importante com o tempo, à medida que os sistemas IoT infundem tudo”, explicou ele.

À medida que as tecnologias de IoT ganham espaço em contextos industriais, há uma escassez de especialistas cibernéticos familiarizados com o mundo dos sistemas de controle industrial. “A maioria dos analistas e consultores de segurança aplica as mesmas técnicas aos sistemas IoT [industriais] que aplicam às redes de TI normais de escritórios”, disse Goldstein. Dado o volume de protocolos proprietários, a dificuldade em realizar atualizações de software em tais ambientes apresenta uma “vulnerabilidade muito grande”, de acordo com Goldstein.

Organizações como o Departamento de Defesa dos EUA e a MITER Corp. estão ajudando a preencher a lacuna com estruturas ICS como a estrutura MITER ATT &CK para ICS. “Este documento fornece uma maneira para fabricantes, proprietários e operadores de ICS discutirem possíveis cenários de ataque e relatar vulnerabilidades de forma consistente em todos os setores industriais”, disse Malik. “Qualquer organização deve considerar fortemente o uso desta estrutura para esclarecer [sua] postura de segurança ICS.”

Malik também enfatizou o fato de que a segurança cibernética é mais uma jornada do que um destino. “Presumindo que o prazo para essas tensões intensificadas seja de curto prazo, há pouco que os fabricantes de ICS possam fazer para fortalecer sua produção atual [postura de segurança] rapidamente”, disse ele.

Malik observou uma vulnerabilidade para os fornecedores de ICS abordarem:eles ocasionalmente acessam sua tecnologia no campo para operações de manutenção e diagnóstico de falhas. “Esses links de manutenção podem servir como um vetor de ataque”, disse ele.

Malik recomendou que os fornecedores tomem várias medidas para proteger os dados dos clientes. Outras considerações vitais incluem criptografar o tráfego quando possível e garantir que as atualizações de software sejam seguras. “Seria trágico se um pequeno problema em um cliente fizesse um fabricante forçar uma correção para toda a sua tecnologia que acabou por conter malware”, disse Malik.