Vulnerabilidades na Supply Chain Ameaçam Segurança Industrial IoT

Empresas Industrial IoT (IIoT) dependem de uma supply chain fiável para obter matérias-primas e componentes que mantêm linhas de produção a funcionar. Embora estas supply chains primárias sejam monitoradas de perto, uma segunda cadeia, frequentemente negligenciada, entrega o próprio hardware que alimenta infraestrutura IIoT. Devido a transparência limitada, as origens de componentes internos dentro de dispositivos IIoT são difíceis de rastrear, e muitos chegam com falhas de segurança exploráveis.

Com um único dispositivo IIoT frequentemente montado a partir de dezenas de fornecedores globais, o risco de vulnerabilidades embutidas multiplica-se. O relatório Finite State Supply Chain Assessment de 2019 da Finite State nota que componentes passam por múltiplas camadas de fornecedores e integradores antes de serem integrados numa board, testados e enviados pelo OEM.

Riscos Reais e Múltiplos para Infraestruturas IIoT

Operadores de rede reconhecem riscos de supply chain, mas identificar vulnerabilidades específicas é desafiante. Implementações IIoT frequentemente estendem-se além dos muros do fabricante para shippers, merchants e parceiros. À medida que a rede cresce, a chance de código malicioso propagar-se — e que firmware aparentemente benigno exponha portas abertas — aumenta.

Matt Wyckhouse, CEO da Finite State, observa que muitos sistemas embarcados contêm vulnerabilidades ocultas que proprietários de ativos desconhecem. Uma violação pode tornar-se um ponto de apoio para atacantes infiltrarem sistemas corporativos, comprometendo sistemas de controlo industriais (ICS), processos de produção e dados corporativos críticos. O problema amplifica-se quando atualizações de firmware são atrasadas ou nunca aplicadas.

O inquérito The State of Industrial Cybersecurity de julho de 2019 do ARC Advisory Group descobriu que 26% dos inquiridos consideravam ameaças de terceiros, como riscos de supply chain ou parceiros, uma preocupação maior, enquanto 44% viam-nas como preocupação menor. Notavelmente, ransomware (70%) e ataques direcionados (68%) poderiam ser lançados via violação de supply chain.

No mesmo inquérito, 28% dos inquiridos sentiram que era "muito provável" ou "bastante provável" que o seu ICS seria visado. O Global Connected Industries Cybersecurity Survey de 2019 da Irdeto revelou que apenas 17% de dispositivos IoT usados por grandes empresas permaneceram livres de ataques no último ano.

Para mais sobre segurança IoT, registe-se no nosso IoT Security Summit este dezembro.

Como Supply Chains IIoT São Comprometidas

Ao contrário de disrupções convencionais de supply chain que param produção, violações IIoT são encobertas, desenrolando-se frequentemente ao longo de semanas ou meses. Atacantes tipicamente comprometem fornecedores tier-2 de industrial IoT, infiltram os seus sites e substituem firmware legítimo por versões Trojanized. Administradores de rede podem descarregar e implementar inadvertidamente este firmware malicioso, dando atacantes um ponto de apoio dentro das firewalls da fábrica.

Uma vez dentro, atacantes podem espalhar de redes industriais para redes de dados corporativas, criando um efeito multiplicador. Dispositivos mais antigos — sensores e componentes que estão no local há uma década ou mais — representam riscos maiores devido a suporte e patching desatualizados. A investigação da Finite State citou um componente Huawei que usava uma versão OpenSSL de 2003, uma vulnerabilidade bem documentada.

Backdoors — sejam portas de debug intencionais ou pontos de acesso API ocultos — também podem servir como rotas de entrada para atores maliciosos. Em muitos casos, fabricantes deixam estas portas abertas para auxiliar suporte, inadvertidamente fornecendo atacantes uma entrada fácil. Alguns países podem até exportar produtos com backdoors intencionais para roubar propriedade intelectual.

Investigação da Tandon School of Engineering da New York University destaca que IoT permanece largamente não regulada em termos de padrões de segurança. Proprietários de dispositivos têm pouco controlo sobre supply chains upstream, e muitos fornecedores falham em divulgar as suas práticas de cibersegurança.

Objetivos de Atores Maliciosos

Ataques frequentemente visam ransomware, que pode parar produção até resgate ser pago. Disrupções a linhas de produção — através de dados de sensores alterados ou configurações de máquina inseguras — podem levar a produtos defeituosos e perigos de segurança. Um relatório de março de 2020 OT Security Best Practices avisou que tais violações ameaçam segurança humana, ambiente e economias nacionais.

Setores de alto perfil — energia, power grids, oil and gas, e cada vez mais saúde em meio à pandemia — são alvos principais. Wyckhouse da Finite State nota aumento de ataques ransomware a hospitais, enquanto Byres da Adolus identifica o setor médico como novo ambiente target-rich.

Além de motivos financeiros, atacantes podem procurar propriedade intelectual ou usar a supply chain como ponto de apoio inicial para infiltrar redes corporativas.

Mitigando Fraquezas na Supply Chain IIoT

Defesa efetiva começa com inventário abrangente de todos os dispositivos IIoT. Siga isto com avaliação de risco de supply chain que identifique riscos macro — como ransomware e roubo de dados — e avalie vulnerabilidades específicas de cada dispositivo.

Considere isolar tráfego IIoT via air-gapping para separar redes OT de IT. Avalie fornecedores no ponto de compra; a postura de segurança do vendedor é mais avaliável durante procurement. Para compras de alto volume, estabeleça processo formal de vetting para garantir padrões de segurança consistentes.

Exija mais que uma declaração de segurança — solicite relatórios de segurança detalhados ou avaliações de terceiros. Aproveite recursos públicos como o National Institute of Standards and Technology (NIST) National Vulnerability Database para cross-referenciar Common Vulnerabilities and Exposures (CVEs).

Serviços emergentes abordam estes desafios. A Adolus, nascida de uma iniciativa do U.S. Department of Homeland Security, oferece uma base de dados que rastreia linhagem de dispositivo, origens de componentes e vulnerabilidades conhecidas. A Finite State fornece ferramentas de análise de firmware que detetam riscos ocultos e reavaliam perfis de risco após atualizações.