Transformação Digital Expõe Usinas a Ataques Cibernéticos: O Que Você Precisa Saber

A transformação digital da tecnologia operacional (OT) para monitorar e controlar processos físicos introduziu novos pontos cegos e ampliou outros, tornando sistemas de controle industrial (ICS) suscetíveis a ataques de Estados-nação.

Já vimos ataques terroristas que priorizam invadir uma usina em vez de alvejar uma área densamente povoada com armamento militar. Considere o ataque à rede elétrica em dezembro de 2015 que deixou mais de 230.000 pessoas no escuro no oeste da Ucrânia por até seis horas. O país culpou a Rússia pelo ataque. Doze meses depois, o sistema de energia foi alvo novamente, desta vez afetando grande parte da capital Kiev. Um distribuidor de energia em Porto Rico sofreu um ataque cibernético de negação de serviço em junho, causando apagões para centenas de milhares de residentes, antes de um incêndio devastar a subestação.

Não é descabido pensar que um ataque de Estado-nação poderia visar causar um apagão de semanas em uma grande cidade como Nova York. Na verdade, especialistas acham que algo nesse sentido é provável de ocorrer.

Um relatório do Ponemon Institute patrocinado pela Siemens descobriu que 56% de profissionais de segurança OT pesquisados relataram pelo menos um ataque envolvendo perda de informação privada ou interrupção em seu ambiente OT nos últimos 12 meses.

Como esses tipos de ataque se tornaram tão populares? E o que precisa ser feito para fomentar um ambiente OT mais seguro?

A Quarta Revolução Industrial

Utilidades estão se modernizando, buscando ganhos em eficiência e produtividade. Alcançar esses objetivos significa digitalizar e automatizar muitos processos que eram feitos internamente e manualmente. Essa transição está ocorrendo tão rapidamente que a segurança é uma reflexão tardia.

A rápida revisão digital de processos industriais, amplamente referida como a Quarta Revolução Industrial, está trazendo mais sistemas e processos online. Isso inerentemente cria mais pontos de entrada potenciais para atores de ameaça, e com tantas indústrias fazendo isso de uma vez, há maior oportunidade para um ataque mais consequente.

Em décadas anteriores, os data centers e mainframes que rodam componentes de ICS eram "air gapped", significando que os sistemas de TI estavam em uma rede local, mas não conectados à internet. Muitas instalações erroneamente pensaram que isso tornava seus sistemas seguros de ataque, mas ainda eram vulneráveis a ataques no local como um ataque "bash bunny" que poderia comprometer um sistema com vírus através de um dispositivo USB.

Este foi o caso no Irã quando a usina nuclear de Bushehr foi atacada usando o worm Stuxnet. Introduzido na rede via pen drive, o Stuxnet então se espalhou para infectar outros ativos na rede, como as centrífugas usadas para enriquecer gás de urânio.

À medida que mais utilidades e instalações OT correm para colocar seus sistemas online, não alocaram recursos adequados para segurança como uma das etapas do processo. Quanto mais peças de equipamento legado são conectadas, e dispositivos internet das coisas (IoT) adicionados, maior a superfície de ataque para potenciais atores de ameaça.

Atores de Ameaça Estão Evoluindo

Ampliando a questão de segurança frouxa estão as maneiras cada vez mais criativas e sofisticadas em que atores de ameaça exploram organizações. Na verdade, eles nem sempre são os que infiltram a rede.

Segundo o estudo do Ponemon Institute, ameaças internas representam a maioria dos ataques OT. Um dos mais notáveis foi lá em 1999 no que era então o Shire of Maroochy da Austrália. Um trabalhador descontente que gerenciava tubos de esgoto pediu demissão, e logo depois explorou o sistema através de uma cópia pirata do software do sistema de controle.

Ameaças internas nem sempre são funcionários maliciosos; usuários negligentes frequentemente caem vítimas de ataques de phishing, usam senhas fracas, e clicam links que dão acesso a hackers. Outro vetor comum é uma terceira parte ou contratado que abre uma porta para a rede e leva à exploração. No ataque à cadeia de suprimentos da Kaseya, a gangue de ransomware REvil ganhou acesso a centenas de empresas através de uma atualização de software. Terceiros geralmente não são seguros, e empresas não devem assumir que são.

A Gartner tem sido otimista sobre segurança OT e soou o alarme de que organizações industriais estão lutando para definir frameworks de controle apropriados. A Gartner também diz que até 2025, atacantes "terão armado ambientes OT para prejudicar ou matar humanos com sucesso."

Muitas empresas estão tão profundamente enraizadas em seus processos nas últimas décadas que não veem esses hacks, violações e ataques das manchetes como ameaças a si mesmas. Elas não querem consertar o que, em suas mentes, não está quebrado. Na verdade, elas nem veem o potencial de ser quebrado até que quebre.

Uma Nova Abordagem para Segurança OT

Empresas precisam de visibilidade adequada em suas redes e compreensão abrangente até o nível do ativo individual, incluindo como esses recursos e usuários se conectam uns com os outros e com as redes como um todo. Frequentemente, aqueles que finalmente investigam os detalhes de suas redes encontrarão ativos fantasmas dos quais não estavam cientes. Esses são problemas de segurança que você precisa pegar antes que sejam explorados.

O primeiro passo que as empresas podem tomar para se proteger melhor é simplesmente educar funcionários sobre higiene de segurança adequada com treinamento de segurança abrangente. Com frequência, as empresas que iluminam a segurança o fazem de forma desorganizada, com um rápido deck de slides e sem acompanhamento com funcionários sobre a importância do que acabaram de aprender.

A prioridade máxima sempre será a eficácia e funcionalidade de máquinas OT, mas se estiverem sob ataque, que bom são elas? Educar funcionários sobre o que procurar e quão comuns os ataques se tornaram poderia ajudar muito.

Um funcionário observador evitou desastre em março de 2021, quando o sistema de água em Oldsmar, Flórida foi hackeado e o nível de hidróxido de sódio aumentado por um ator de ameaça a um nível perigoso. Felizmente, um engenheiro estava por cima da situação, notou a mudança, e reconheceu rapidamente que era um ataque e não meramente uma falha.

Em outubro, estações em todo o Irã foram forçadas a fechar. O país disse que um ataque cibernético foi o culpado, e visou cartões eletrônicos emitidos pelo governo que subsidiam preços de combustível para iranianos.

Para proteger contra ataques como estes, empresas precisam de visibilidade total em suas redes, permitindo ver todos os ativos conectados e vulneráveis. Mas esse é apenas o primeiro passo. Existem ferramentas abrangentes de segurança OT disponíveis que fornecem alertas em máquinas ICS não apenas para ações de segurança, mas também bandeiras vermelhas de produtividade. Controles de segurança adequados oferecerão visibilidade e capacidades de resposta para a rede OT sem afetar operações diárias ou fazer mudanças substanciais na rede.

Tecnologias passivas podem monitorar atividade sem afetar redes OT sensíveis de forma alguma, ao contrário de plataformas disruptivas "in-line". A plataforma passiva certa será capaz de atender a altas vazões e garantir taxas mínimas de falsos positivos.

Utilizar novas ferramentas pode ser assustador para executivos de OT de carreira que relutam em mudar processos comprovados, mas é melhor estar preparado do que viver com medo de um ataque potencial que cause danos generalizados tanto à empresa quanto a seus consumidores.

Elad Ben-Meir é diretor executivo da SCADAfence.