Critérios Essenciais para Aquisição de Dispositivos de Acesso Remoto com Segurança Industrial

Equipes operacionais rodando sistemas industriais dependem de dispositivos de acesso remoto para seu trabalho e raramente pensam em considerações não-técnicas e não-comerciais ao comprar. Mas história recente nos diz que a origem do dispositivo — e até componentes dentro dele — importa muito mais do que reconhecemos.

Ataques à Cadeia de Suprimentos São Sérios

Ataque à cadeia de suprimentos é categoria de ataque de cibersegurança onde acesso é obtido visando elementos upstream na cadeia. Leigo comprando dispositivo — talvez para comissionar equipamento no fim de semana — pode achar que risco não é significativo o bastante para influenciar decisão de compra, mas é.

Ataques à cadeia de suprimentos são extremamente populares para atacantes porque, infiltrando um fornecedor, ganham acesso a muitos usuários finais. Exemplo: Stuxnet foi ataque eficaz à cadeia de suprimentos visando CLPs em programa de enriquecimento de urânio. NotPetya, causou ~10 bilhões USD em danos a organizações incluindo Merck e Saint-Gobain, distribuído via software de preparação de impostos. Recentemente, SUNBURST deu acesso backdoor a até 18.000 organizações, distribuído via software SolarWinds. Ocorreu muitas vezes, continuará pelo payoff para o atacante.

Ataques à Cadeia de Suprimentos a ICS Através de Dispositivos de Acesso Remoto

Ideia de ataque à cadeia de suprimentos visando ICS através de dispositivo de acesso remoto não é apenas teórica — já aconteceu. Em 2014, malware Dragonfly infectou muitas organizações, distribuído através de pacotes de instalação do Talk2M da Ewon, software para acesso VPN a equipamentos ICS. Instituto SANS publicou artigo sobre o ataque e impactos.

Considerações Antes de Comprar

Voltando ao leigo comprando dispositivo para comissionar equipamento — o que fazer?

Em situações onde você não é — e não pode ser — especialista, é sensato ver o que especialistas fazem. No caso de segurança, um especialista seria o Departamento de Defesa dos EUA. Eles proíbem claramente compra e uso de dispositivos, ou contratação com provedores que usam dispositivos, de certos fabricantes estrangeiros por riscos na cadeia de suprimentos. Memo DoD de julho de 2020 descreve esta prática, publicamente visível. Empresa de destaque: Huawei Technologies Company (subsidiárias e afiliadas), pelo amplo uso de seus chips — inclusive em dispositivos de acesso remoto, como Tosibox.

Uma lição para o leigo: comprar doméstico sempre que possível. Nota: comprar produtos manufaturados domesticamente, projetados com camadas profundas de segurança, não é fácil e geralmente requer prêmio de preço, mas indubitavelmente vale o custo para o usuário — especialmente para acesso remoto a sistemas industriais.

Além de riscos na cadeia de suprimentos, há muitas considerações técnicas e organizacionais ao implementar acesso remoto. Explorei estas em grupo de trabalho com The Organization for Machine Automation and Control (OMAC), que publicou Guia Prático para Acesso Remoto a Equipamentos de Planta que recomendo ler.