Segurança em Sistemas SCADA

1.843 visualizações

Publicada em

Palestra sobre Segurança em Sistemas SCADA realizada no Roadshow TI Safe e IBM nas capitais Salvador, São Paulo e Rio de Janeiro.

0 comentários
5 gostaram
Estatísticas
Notas
  • Seja o primeiro a comentar

Sem downloads
Visualizações
Visualizações totais
1.843
No SlideShare
0
A partir de incorporações
0
Número de incorporações
350
Ações
Compartilhamentos
0
Downloads
1
Comentários
0
Gostaram
5
Incorporações 0
Nenhuma incorporação

Nenhuma nota no slide
  • Juntar os produtos de software e hardware de segurança da IBM numa equipe unificada irá nos permitir desenvolver a estratégia integrada e o roteiro necessários no mundo atual de complexidade de segurança cada vez maior. Estamos construindo nossa equipe para fornecer a uma só voz a segurança da IBM para o cliente, e apoiar o CISO no desenvolvimento
  • 7 7
  • 7 7
  • 7 7
  • 7 7
  • 7 7
  • 7 7
  • 7 7
  • 7 7
  • Segurança em Sistemas SCADA

    1. 1. © 2013 IBM Corporation IBM Security Systems SCADA / Sistemas de controle Industriais Quem está realmente no controle de nossos Sistemas? Mitigando riscos em ambientes industriais Alexandre Freire, afreire@br.ibm.com IBM Security Systems Technical Sales
    2. 2. © 2013 IBM Corporation2 Palestrante Alexandre Freire - http://www.magicweb.com.br/afreire • Arquiteto de soluções da divisão de segurança da IBM Brasil. • Docente do Núcleo de Computação Eletrônica (NCE) da UFRJ, responsável pela disciplina “Defesa de Perímetros” do programa de pós-graduação em Gestão de Segurança da Informação. • Autor da publicação “Como Blindar Seu PC“, Editora Campus/Elsiever em parceria com o jornalista André Machado (O Globo). • Recebeu a premiação de Segurança da Informação, prêmio SECMASTER, como Melhor Contribuição Editorial e Jornalística pela obra Como Blindar Seu Pc. • Certificado pelo SANS Institute(EUA) em tecnologias de Defesa de Perímetros. Vencedor da competição internacional de invasão de sistemas IDNET Challenge, no Sans Intitute durante a conferência anual do instituto na Flórida, EUA. • Mais de 15 anos de experiência em Governança, Riscos e Conformidade (GRC) atuando na especificação de controles de Segurança para mitigação de riscos e fraudes para conformidade com os padrões BS 7799/ISO 17799, 27001/27002 e COBIT em processos de auditoria PCI, Basiléia e Sarbanes Oxley.
    3. 3. © 2013 IBM Corporation3 IBM Security Systems: oferecendo inteligência, integração e expertise numa estrutura abrangente Inteligência ● Integração ● ExpertiseInteligência ● Integração ● Expertise  O único fornecedor do mercado com cobertura completa da base de segurança  + de 6.000 engenheiros e consultores de segurança  X-force® Research premiado grupo de pesquisa de segurança  Maior banco de dados de vulnerabilidade na industria 3 Unidade de Segurança da IBM
    4. 4. © 2013 IBM Corporation4 Incidentes SCADA na ficção – Die Hard 4
    5. 5. © 2013 IBM Corporation5 Incidentes SCADA são reais!
    6. 6. © 2013 IBM Corporation6 Segurança em sistemas SCADA é real e preocupante  O número de vulnerabilidades detectadas foi aumentado em 20 vezes (desde 2010 )  50% das vulnerabilidades permitem executar código  Existem exploits públicos para 35% das vulnerabilidades reportadas  41% de vulnerabilidades são Críticas. Mais de 40% de sistemas disponíveis a partir da Internet podem ser invadidos e sabotados por usuários sem conhecimentos avançados (Metasploit ?).  54% e 39% de sistemas disponíveis a partir da Internet na Europa e na América do Norte, respectivamente, estão vulneráveis
    7. 7. © 2013 IBM Corporation7 ICS-CERT Incidents by Sector – Fiscal Year 2012 Segurança em sistemas SCADA é real e preocupante
    8. 8. © 2013 IBM Corporation8 Mitos a respeito de SCADA ”Sistemas SCADA residem em uma rede fisicamente separada, independente e isolada dos demais perímetros corporativos. ” 1
    9. 9. © 2013 IBM Corporation9 Mitos a respeito de SCADA “Conexões entre sistemas SCADA e redes corporativas são protegidas por forte controles de acesso”2
    10. 10. © 2013 IBM Corporation10 Mitos a respeito de SCADA “Conexões a sistemas SCADA requerem conhecimento especializado, dificultando que intrusos acessem e controlem a rede.”3
    11. 11. © 2013 IBM Corporation11 Típico ataque a sistemas SCADA
    12. 12. © 2013 IBM Corporation12 Papel da TI para Segurança em SCADA "Não são os caras de SCADA que não sabem o que estão fazendo. Parte destes sistemas foram criados há mais de 20 anos, e os engenheiros projetaram essas coisas presumindo que deveriam operar de forma isolada. Porém, não estão mais isolados“ Alan Paller, diretor de pesquisa, SANS Institute Segurança para SCADA está geralmente anos atrás da segurança implementada em sistemas tradicionais de tecnologia da informação por causa de seu histórico de isolamento . Muito dos problemas confrontados no mundo SCADA já foram endereçados e mitigados no mundo corporativo de TI. Essas soluções, onde apropriadas, necessitam ser aplicadas às redes e sistemas SCADA para que as redes industriais não reinventem a roda.
    13. 13. © 2013 IBM Corporation13 Os Process Control Systems (PCS) estão migrando para redes TCP/IP • Controles Analógicos e protocolos de status incorporados nos protocolos digitais • Limitações no uso de Criptografia • Gama pobre de protocolos TCP/IP Problemas com as correções de patches incorporados aos sistemas operacionais • Controladoras geralmente rodando em sistemas operacionais desatualizados; • Patches de segurança e atualizações do Sistema Operacional não são aplicados; • Dificuldade na correção das controladoras; • Fabricantes não se responsabilizam pela aplicação de patches e updates caso sistemas industriais venham a apresentar falhas operacionais ou indisponibilidade. 13 Um Mundo TCP/IP Ativado
    14. 14. © 2013 IBM Corporation14 Mudança de controles analógicos para digitais e incorporação de padrões de rede: • Comunicações TCP/IP • Comunicações Wireless Substituição de equipamentos incluem novos recursos “gratuitos”: • Conectividade ativada por padrão; • Podem ser ligados pelos engenheiros de campo. A partir de analógico para digital (+ em rede ) A partir de analógico para digital (+ em rede ) integração de Wireless integração de Wireless Proliferação de Dispositivos de Rede
    15. 15. © 2013 IBM Corporation15 Resultados típicos de Assessments realizados em ambientes SCADA
    16. 16. © 2013 IBM Corporation16 •Redes PCS (Process Control Systems) carecem de segmentação e antivirus. •Sistemas operacionais com instalação padrão permitem exploração de ataque em brechas já conhecidas e difundidas no mundo de TI •A maioria das comunicações IP dentro das redes PCS não são criptografadas. •A maioria dos sistemas PCS possuem limitações para gerar rastreabilidade da trilha de auditoria. Logs não são ativados. •Correções não são, ou não podem ser instaladas nos sistemas SCADA •Nenhum tipo de segurança baseada em host é configurada nos dispositivos SCADA •Muitas organizações ainda implementam forte medidas de segurança física esquecendo da importância da segurança lógica. Descobertas típicas durante Assessments SCADA
    17. 17. © 2013 IBM Corporation17 Hackable Backbone Andy Greenberg , 22.08.2007 , 18:00 ET A primeira vez que Scott Lunsford tentou hackear uma planta de energia nuclear, disseram que sería impossível. Não existia nenhuma forma de acesso dos componentes SCADA a partir da Internet – enfatizaram os responsáveis pela operação da unidade nuclear. Lunsford, um pesquisador da IBM Security Systems,provou o contrário. “Foi um dos testes de invasão mais fáceis que já fiz em toda minha vida”, disse o pesquisador. No primeiro dia Lunsford já havia penetrado na rede SCADA. “Depois de uma semana sería possível contorlar a planta inteira e isso realmente é um problema” – disse o pesquisador. Em retrospectiva , Lunsford diz--e a Comissão Nuclear dos EUA concorda - que garantias de regulamentações governamentais o impediu do acionamento de um ataque nuclear. Mas ele afirma que se desejasse acessar os controles através da rede, teria conseguido sabotar o fornecimento de energia para grande parte do país. “Teria sido tão simples como fechar uma válvula," disse ele . http://www.forbes.com/2007/08/22/scada-hackers-infrastructure-tech-security-cx_ag_0822hack_print.html Avaliação de Instalação Nuclear
    18. 18. © 2013 IBM Corporation18 Como a proteger a infraestrutura
    19. 19. © 2013 IBM Corporation19 Control/Office InfrastructureControl/Office Infrastructure Bridge ControlBridge Control Plant Infrastructure Plant Infrastructure Ataques Wireless Ataques Wireless Ataques Wireless RF Ataques Wireless RF Infecções Indiretas de malware Infecções Indiretas de malware Ataques diretos da Internet Ataques diretos da Internet Serviços vulneráveis Serviços vulneráveis Hosts infectados por malware Hosts infectados por malware Ataques indiretos da Internet (ex: VPN) Ataques indiretos da Internet (ex: VPN) Ataques de Mídia removível Ataques de Mídia removível Roubo de credenciais Roubo de credenciais Ataques Incorporados Ataques Incorporados Contaminação do Dispositivo Contaminação do Dispositivo Vetores de Ataque SCADA
    20. 20. © 2013 IBM Corporation20 Control/Office InfrastructureControl/Office Infrastructure Control BridgeControl Bridge Plant Infrastructure Plant Infrastructure Logs e Trilha de Auditoria Logs e Trilha de Auditoria Alertas e Detecção de Anomalias Alertas e Detecção de Anomalias Proteção baseada em host Proteção baseada em host Controle de acesso Controle de acesso Segregação de Redes Segregação de Redes Gerenciamento de Vulnerabilidades Gerenciamento de Vulnerabilidades Prevenção de Intrusos e Virtual Patch Prevenção de Intrusos e Virtual Patch Resposta a Emergência Resposta a Emergência Estratégias de Proteção SCADA
    21. 21. © 2013 IBM Corporation21 Control/Office InfrastructureControl/Office Infrastructure Control BridgeControl Bridge Plant Infrastructure Plant Infrastructure Logs e Trilha de Auditoria Logs e Trilha de Auditoria Alertas e Detecção de Anomalias Alertas e Detecção de Anomalias Proteção baseada em host Proteção baseada em host Controle de acesso Controle de acesso Segregação de Redes Segregação de Redes Gerenciamento de Vulnerabilidades Gerenciamento de Vulnerabilidades Prevenção de Intrusos e Virtual Patch Prevenção de Intrusos e Virtual Patch Resposta a Emergência Resposta a Emergência Estratégias de Proteção SCADA
    22. 22. © 2013 IBM Corporation22 IBM Security Network IPS Protege ambientes bloqueando ameaças mutantes e ataques 0 Day Segregação de redes SCADA
    23. 23. © 2013 IBM Corporation23  Utiliza abordagem baseada em protocolo para capturar muitos ataques "dia-zero" e ameaças mutantes versus IPS de somente assinatura  Oferece proteção contra vulnerabilidades conhecidas quando uma correção está indisponível ou implementado usando uma “correção virtual”  Patch virtual protege os sistemas SCADA uma vez que os sistemas e controladoras não podem receber correções. IBM Security Network IPS Protege ambientes bloqueando ameaças mutantes e ataques 0 Day Segregação de redes SCADA Fontes: Tolly Group, outubro de 2012, IBM X-Force Research and Development Team Hackers incluem novas vulnerabilidades nos kits de exploração Como o IBM IPS pode ajudarComo o IBM IPS pode ajudar
    24. 24. © 2013 IBM Corporation24 IBM Security Network IPS Proteção de ataques específicos de redes SCADA Segregação de redes SCADA Assinaturas do PAM (Protocol Analysis Module) incluídas nativamente na proteção de redes industrais dos sensores de prevenção de intrusos da IBM • Assinaturas nativas dos sistemas de Prevenção de Intrusos da IBM protegem os segmentos de redes industriais inspecionando tráfego e bloqueando o conteúdo malicioso direcionado aos ambientes de automação.
    25. 25. © 2013 IBM Corporation25 IBM Security Network IPS Proteção de ataques específicos de redes SCADA Segregação de redes SCADA Importação de assinaturas oficiais SNORT/SourceFire ou assinaturas mantidas pela comunidade. Dezenas de assinaturas criadas pela comunidade de pesquisa e desenvolvimento de segurança em redes industrais para proteção de unidades industriais. • Mecanismo de inspeção SNORT acrescenta segundo nível de proteção contra ataques direcionados a redes SCADA. As regras podem ser modificadas ou novas regras podem ser criadas utilizando-se a sintaxe SNORT para proteção de sistemas ou cenários específicos.
    26. 26. © 2013 IBM Corporation26 IBM Security Network IPS Proteção de ataques específicos de redes SCADA Segregação de redes SCADA • Exemplo de criação de assinatura personalizada SNORT para monitoração da condição de Reboot ou Restart de uma PLC a partir de um cliente não autorizado. alert tcp !$ENIP_CLIENT 44818 -> $ENIP_SERVER any (msg:”SCADA_IDS: ENIP/CIP – Reboot or Restart from Unauthorized Client”; flags:PA; cip_service:5; reference:scada,1111501.htm, classtype:attempted-dos; sid:1111501; rev:1; priority:1;)
    27. 27. © 2013 IBM Corporation27 IBM Security Network IPS A inteligência da IBM no bloqueio de ataques a sistemas industriais Prevenção de Intrusos e Patch Virtual sistemas SCADA Stuxnet: “Malware” orientado a sistemas de automação industrial que monitora centrífugas nucleares iranianas, arquitetado de forma sofisticada, levantando suspeitas diversas sobre a natureza da ação  Sofisticado:  Inclui exploits para 4 vulnerabilidades (0-day) sem patches  Inclui componentess assinados certificados digitais roubados  Disseminados através de diversos vetores, incluindo pen-drives  Infectou máquinas de desenvolvimento c/rootkit que esconde tanto o “malware” como as mudanças que ele faz nos programas sendo desenvolvidos  Dirigido:  Modifica códigos nos controladores lógicos programáveis - PLCs  Modificações só acontecem em determinadas circunstâncias (drivers de alguns fornecedores, operando em condições específicas de frequência, etc  Danos colaterais  – Infecção pode se espalhar de forma generalizada
    28. 28. © 2013 IBM Corporation28 IBM Security Network IPS A inteligência da IBM no bloqueio de ataques a sistemas industriais Prevenção de Intrusos e Patch Virtual sistemas SCADA •CVE-2008-4250 (MS-08-067) – Windows Server Service NetPathCanonicalize() Vulnerability •CVE-2010-2568 (MS-10-046) - Windows Shell LNK Vulnerability •CVE-2010-2729 (MS-10-061) – Windows Print Spooler Service Vulnerability •CVE-2010-2743 (MS-10-073) – Windows Win32K Keyboard Layout Vulnerability •CVE-2010-2772 - Siemens SIMATIC WinCC Default Password Vulnerability •CVE-xxxx-xxxx (MS-xx-xxx) – Windows Task Scheduler Vulnerability
    29. 29. © 2013 IBM Corporation29 IBM Security Network IPS A inteligência da IBM no bloqueio de ataques a sistemas industriais Prevenção de Intrusos e Patch Virtual sistemas SCADA 29 29 29
    30. 30. © 2013 IBM Corporation30 Virtual Patch – Proteção Preventiva vs. Reativa Proteção baseada em pesquisa sobre vulnerabilidades Proteger contra exploits é reativo • Tarde demais na maioria dos casos • Vulnerável a variações dos exploits Proteger contra vulnerabilidades e comportamentos maliciosos é preventivo • Para ameaças na sua raiz • Menor número de assinaturas para gerenciar (menor TCO) • Requer pesquisa e desenvolvimento excelentes Prevenção de Intrusos e Patch Virtual sistemas SCADA
    31. 31. © 2013 IBM Corporation31  Redes podem ser construídas com uma zona de segurança "SCADA" isoladas e segmentadas das demais redes com uso de um IPS Next Generation.  Acesso para a zona SCADA pode ser autenticado pelo usuário, e não o endereço IP. A capacidade de políticas de segurança com a identidade do usuário fornecem não apenas de acesso apropriados para a zona , mas também um relatório e trilha de auditoria.  Os usuários não autorizados são negados.  Inspeção SSL garante a visibilidade de tráfego criprografado. Prevenção de Intrusos e controle de acesso SCADA Controle de acesso granular a partir do entendimento de aplicações web, cliente x server e dos diversos comportamentos de uma aplicação. Pare o mau uso da rede corporativa bloqueando sites que introduzem risco e custos indevidos Políticas flexíveis de controle de acesso à rede Limite o uso de redes sociais, compartilhamento de arquivos e webmail para usuários comuns IBM Security Network IPS Next Generation IPS
    32. 32. © 2013 IBM Corporation32 Prevenção de Intrusos e detecção de anomalias SCADA IBM Security Network IPS Next Generation IPS Fluxos de rede podem ser enviados ao QRadar para análise avançada, correlação e detecção de anomalias Contexto de identidade relaciona usuários e grupos às suas atividades de rede, indo além de políticas baseadas apenas em endereço IP Contexto de aplicação classifica totalmente o tráfego de rede, independente de porta, protocolo ou técnicas de evasão Aumente a Segurança Reduza Custos Habilite a Inovação
    33. 33. © 2013 IBM Corporation33 •Plataforma auxilia no processo de entendimento de vulnerabilidades existentes em equipamentos de rede, aplicações e sistemas operacionais; •Determina os pontos vulneráveis topologias de rede SCADA, como existência de PLCs com sistemas operacionais desatualizados; •Organiza as vulnerabilidades encontradas por grupos, ativos e severidades no painel central; •Exibe feeds em tempo real de notícias e informações sobre existência de vulnerabilidades e advisories de diversos fabricantes. Gerenciamento de Vulnerabilidades SCADA IBM Security QRadar Vulnerability Manager Security Intelligence
    34. 34. © 2013 IBM Corporation34 •Monitoramento de ameaças e resposta a incidentes de segurança de rede e operações de data centers, incluindo os sistemas de SCADA; •Segurança interna com visibilidade em tempo real dos eventos e ameaças direcionadas as redes e sistemas SCADA; •Agregação e correlação de logs para análise de diferentes tecnologias e fornecedores; •Inteligência na visibilidade do Fluxo de Rede em busca de anomalias a partir da correlação dos fluxos com eventos de auditoria de sistemas operacionais, equipamentos de conectividade e aplicações. •Auditoria de conformidade, relatórios e apontamentos de suporte NERC, CIP, FERC, etc. Log de Auditoria e Inteligência SCADA IBM Security QRadar Security Intelligence
    35. 35. © 2013 IBM Corporation35 Dicas do IBM X-Force As estratégias a seguir são recomendadas para ajudar a proteger seus SCADA ambiente contra ataques: • Conheça seu ambiente SCADA Quais são as senhas e eles são fortes? • Capture e armazene dados para análise e futuro forense • Implemente uma VPN para facilitar o gerenciamento de acesso e de segurança • Se utilizar WLAN, utilize uma infra - estrutura wireless criptografadas, de preferência WPA ou WPA2 • Ativar os firewalls e as outras ACLs para permitir que apenas acesso de saída para um número muito limitado de sites. Monitore e acompanhe de perto os acessos. • Implementar IPS de rede para bloquear possíveis ataques e utilizar o conceito de Virtual Patching. • Executar análises de vulnerabilidades nas redes corporativas e perímetros SCADA
    36. 36. © 2013 IBM Corporation36 Links úteis Folder Soluções de Segurança IBM (em português) http://www.ibm.com/common/ssi/cgi-bin/ssialias? subtype=BR&infotype=PM&appname=SWGE_WG_WG_BRPT&htmlfid=WGB03004BRPT&attachment=WGB03004BRPT.PDF Tolly report (em português) Avaliação Comparativa de Eficácia e Desempenho do Sistema de Prevenção contra Intrusão para Segurança de Redes GX7800 da IBM ftp://public.dhe.ibm.com/software/security/br/pdf/Tolly_report_IBM_IPS_GX7800_PORT.pdf Relatório semestral X-Force Riscos e Tendências de Segurança (Março 2013) (em português) https://www.ibm.com/services/forms/signup.do?source=swg-xforce13br Website (em inglês) : www.ibm.com/security Website (em português) : www.ibm.com/software/products/br/pt/category/SWI00?lnk=mhso
    37. 37. © 2013 IBM Corporation37

    ×