Por que não usar SOCs de TI/Híbridos para proteger redes industriais

Po r q u e n ã o s e d eve c o n t rat a r S O C s
d e T I / H í b r i d o s p a ra p ro t ege r re d e s
i n d u s t r i a i s
2 0 2 1 A l l R i g h t s R e s e r v e d
M a rc e l o B ra n q u i n h o
C o o r d e n a d o r d o C C I p a r a o B r a s i l

2021 All Rights Reserved
APRESENTADOR
Marcelo Branquinho
CEO e Fundador da TI Safe
Coordenador do CCI para o Brasil
Engenheiro eletricista com especialização em
sistemas de computação e MBA em gestão
de negócios, sendo fundador e CEO da TI
Safe. Especialista em segurança cibernética
industrial. É autor de diversos livros técnicos
e trabalhos publicados e frequente
apresentador de estudos técnicos em
congressos internacionais. Membro sênior da
ISA Internacional, atua em diversos grupos de
trabalho, como o da atual ISA/ IEC-62443.

AGENDA
• Os ataques estão se intensificando
• Viés operacional diferente entre TI e TO
• Impactos de um ataque Cibernético em TI e TO
• O que é um SOC Industrial (TO), um SOC Corporativo (TI) e um SOC Híbrido?
• Razões pelas quais não se deve usar um SOC de TI/Híbrido para a gestão de segurança de TO
• Gestão de segurança cibernética corporativa integrada TI e TO – O que é e como deve ser feita?
• Estudo de caso: o TI Safe ICS-SOC
• Dúvidas?

OS ATAQUES ESTÃO SE INTENSIFICANDO
O Incident Hub
(https://hub.tisafe.com) consolida
incidentes cibernéticos
industriais publicados desde
1982.
Desde 2018 observamos um
aumento significativo nas
ocorrências.
4

VIÉS OPERACIONAL DIFERENTE ENTRE TI E TO
Tríade de
segurança
Confidencialidade Disponibilidade
Principal pilar da segurança de TI Principal pilar da segurança de TO
Integridade

IMPACTOS DE UM ATAQUE CIBERNÉTICO EM TI E TO
ATAQUE À REDE DE TI ATAQUE À REDE DE TO

O QUE É UM SOC INDUSTRIAL (TO), UM SOC CORPORATIVO (TI) E UM SOC HÍBRIDO?
Rede
corporativa
Rede
de
supervisão
Rede
de
controle
Rede
de
campo
DMZ
SOC deTO SOC híbrido
SOC deTI

RAZÕES PELAS QUAIS NÃO SE DEVE USAR UM SOC DE TI/HÍBRIDO PARA A GESTÃO DE SEGURANÇA DE TO
• Pessoas: a falta de formação apropriada em segurança de TO pode levar a problemas na
operação do SOC. Profissionais de um SOC sem o devido treinamento ou mau
intencionados podem ser alvo de engenharia social e abrir caminho para invasões em
plantas industriais.
• Tecnologias: o uso incorreto de tecnologias de cibersegurança pode levar plantas
industriais ao colapso. Além disso, o compartilhamento de serviços de TI na rede de TO é
uma grave falha de segurança. Redes de TI e TO tem protocolos de comunicação diferentes.
Redes de TO usam protocolos industriais altamente vulneráveis e que precisam ser
protegidos com tecnologias apropriadas.
• Serviços: políticas e procedimentos de segurança comumente usados em segurança de TI
podem parar uma planta de TO se aplicadas de forma incorreta.A resposta a incidentes de
segurança em redes de TI e TO é completamente diferente e é imperativo o profundo
conhecimento em TO e a interação com a equipe do cliente para um bom trabalho. SOCs
que tem acesso simultâneo a redes de TI e TO são um ponto de alto risco para as
empresas.
Não conformidade
com normas
Alto risco para
operação da planta
Vulnerabilidade
para ataques

RAZÕES PELAS QUAIS NÃO SE DEVE USAR UM SOC DE TI/HÍBRIDO PARA A
GESTÃO DE SEGURANÇA DE PLANTAS INDUSTRIAIS (TO)
PESSOAS

O SOC DE TO TEM QUE SABER PROTEGER SISTEMAS LEGADO E ATIVOS INDUSTRIAIS
Alto risco para

A EQUIPE TÉCNICA DO SOC DE TO TEM SKILLS DIFERENTES DA DE UM SOC DE TI
TO
D
ISPONIBILIDADE
Nível
Purdue
Infraestrutura Segurança
4
TCP/IP networks, MS (AD, CA, etc.)
Infraestructure, Cloud, ERP, VoIP, etc.
SIEM,VPN, access control, NGFW,
backup, SOC tools, feeds, security
gateways, pentesting....
3 MES, SAP PI
Unidirectional gateways, remote access
tools
2
Supervisory systems, industrial
protocols, automation engineering
tools
EPP, Zero Trust Architecture, Data
encryption
1
PLCs, IEDs, RTUs, automation
networks, serial communication
Industrial firewalls, Industrial IDS
0 Sensors and actuators, electronics Hardware security, physical security
TI
C
ONFIDENCIALIDADE
Algumas dicas úteis:
• A equipe técnica do SOC
Industrial é parceira e detém as
certificações técnicas dos
fabricantes das soluções que
existem na sua planta e que
serão gerenciadas
remotamente? Procure pela
empresa no website do
fabricante.
• A empresa que provê os
serviços tem atestados de
capacidade técnica emitidos por
pessoas jurídicas do seu
segmento com serviços de
SOC 100% TO?
• Entreviste a equipe do SOC de
TO e verifique se eles
realmente entendem de
automação industrial. Este
conhecimento será fundamental
no trabalho diário.
Alto risco para

TECNOLOGIAS

A APLICAÇÃO INCORRETA DE
SOLUÇÕES DE SEGURANÇA
CIBERNÉTICA DE TI EM TO PODE
TER CONSEQUÊNCIAS
DESASTROSAS
A norma ISA/IEC 62443-1-1 adverte no item 4.3.2:
“As organizações que implementam soluções de segurança cibernética de tecnologia da informação (TI)
para lidar com a segurança de sistemas de controle industriais podem não compreender totalmente os
resultados da decisão.
Embora muitos aplicativos de TI de negócios e soluções de segurança possam ser aplicados em sistemas
industriais, eles precisam ser aplicados de maneira apropriada para eliminar consequências inadvertidas.
Por esse motivo, a abordagem usada para definir os requisitos do sistema precisa ser baseada em uma
combinação de requisitos funcionais e avaliação de risco, muitas vezes incluindo também a consciência de
questões operacionais. “
Não conformidade
com normas
Alto risco para

O SOC INDUSTRIAL DEVE
TER ACESSO RESTRITO À REDE
DE TO E NUNCA À REDE DE
TI
ISA/IEC 62443-3-3 SR 5.1, item 10.3.3 (2)
De acordo com a norma, “Os sistemas de controle
devem ter a capacidade de fornecer serviços de
rede para as redes de sistemas de controle
críticas, sem conexão com redes de sistemas de
não-controle (redes de TI, corporativas e
externas).”.
De forma objetiva, os serviços e dados das redes
externas necessários à operação das redes de
controle devem ser depositados em servidores
intermediários situados em uma DMZ entre as
redes de TI e TO.
Nunca devera haver conexão direta entre
servidores e clientes localizados na rede de TI com
máquinas na rede de TO.
Assim sendo, o SOC Industrial deve ter sua
atuação limitada às redes de TO, incluindo esta
DMZ limítrofe, mas nunca a ativos localizados na
rede de TI.
Não conformidade
com normas
Vulnerabilidade
para ataques

O SOC DE TO DEVE
PROTEGER REDES COM
PROTOCOLOS DIFERENTES E
INSEGUROS
• Redes de automação utilizam protocolos de rede não usuais no mundo
de TI chamados protocolos industriais, que exigem resposta em tempo real e
não possuem qualquer recurso de segurança como criptografia e
autenticação.
• Profissionais de segurança de TI são acostumados com a segurança de
ataques em TCP/IP e desconhecem os riscos de ataques em protocolos
industriais, não sendo costumeiro o monitoramento deles.
• Além disso, misturar eventos de TI e TO em uma única tela de
monitoramento não deve ser feito pois as quantidades de eventos são muito
diferentes e os alertas de TO podem facilmente se perder em uma
quantidade gigante de dados de TI.
• A visibilidade fornecida por ferramentas de SIEM tradicionais de TI é
limitada no ponto de vista da TO. Um SOC de TO deve usar ferramentas de
monitoramento específicas para redes de TO que levem em consideração as
diferenças básicas da análise e monitoramento de dados em ambientes
industriais e que sejam capazes de correlacionar eventos de redes de
automação (por exemplo, correlacional eventos de Firewalls com os de
anomalias detectadas por IDSs industriais.
Arquitetura de referência para monitoramento emTO
Alto risco para
Rede
corporativa
Rede
de
supervisão
Rede
de
controle
Rede
de
campo
DMZ
Monitoramento
e
gestão
de
sistemas
de
segurança
de
TO
Monitoramento
e
gestão
de
sistemas
de
segurança
de
TI
Sistema
de
Tickets
de
riscos
corporativos

POLÍTICAS E PROCEDIMENTOS APLICADOS À
SEGURANÇA DE TI PODEM PARAR UMA PLANTA
INDUSTRIAL
Políticas de segurança de TI não são aplicáveis àTO (senhas,
patches, etc).A implementação de políticas erradas afeta
diretamente a disponibilidade da planta industrial.
Procedimentos de segurança corriqueiros para um SOC de
TI como a Análise deVulnerabilidades e Pentest devem ser
evitados em redes de TO.
Coleta e análise de dados de redes de automação devem ser
feitas SEMPRE de forma não intrusiva e que não afete de
nenhuma forma a operação da planta.
Alto risco para
Vulnerabilidade
para ataques

SERVIÇOS

O SOC DE TO DEVE TER FOCO NA PREVENÇÃO COM AÇÕES DE RESPOSTA SEMPRE A 4 MÃOS
Preparação
• As built
• Processos de
contingência
• Controles de
segurança
Detecção e Análise
• Análise de logs
• Identificação da
atividade de
ameaças
• Análise de impacto
Contenção,
Erradicação e
Recuperação
• Respostas físicas
• Respostas
cibernéticas
Atividades Pós-
incidente
• Ajuste de
controles
• Documentação
• O trabalho diário de um SOC de TO é preventivo e as ações de segurança
devem ser feitas sempre em alinhamento com a equipe do cliente.
• Não existem respostas imediatas a incidentes nem automatizações de
atualizações e aplicações como em SOCs de TI.
• Respostas erradas a eventos monitorados por um SOC com pessoal
despreparado podem levar à paradas operacionais em redes críticas.
Alto risco para

O SOC DE TO REQUER
RECURSOS INEXISTENTES EM
UM SOC DE TI
• Um SOC Industrial precisa ter um laboratório de
segurança com simuladores capazes de testar novas versões
de sistemas operacionais e atualizações das soluções de
segurança cibernética antes de aplica-las em plantas
industriais.
• SOCs deTI não possuem laboratórios industriais e nem
equipe de P&D certificada para conduzir testes e
homologações em redes de automação.
• É uma terrível imprudência aplicar soluções de segurança
em máquinas da rede de TO sem antes testá-las em
ambiente adequado.
Alto risco para

SOCS HÍBRIDOSTEM
MOTIVAÇÃO COMERCIAL E
PODEM SER USADOS PARA
SABOTAGEM
A norma ISA/IEC 62443-1-1, item 4.3.2:
“É possível definir padrões para troca de modelos e informação que
permita a comunidade de TO compartilhar informação de forma
consistente. Entretanto, esta habilidade de troca de informação
aumenta a vulnerabilidade ao uso indevido e ataques por indivíduos
com intenções maliciosas e introduz risco potencial às empresas
que usam sistemas de controle de automação.”
Não conformidade
com normas
Alto risco para
Vulnerabilidade
para ataques

GESTÃO DE SEGURANÇA CIBERNÉTICA
CORPORATIVA INTEGRADA TI E TO
O que é e como deve ser feita?

PROVEDORES DE SOC DE TI E TO DEVEM SER DIFERENTES
• Aumenta a segurança e
inviabiliza ataques
coordenados vindos da TI em
direção à TO
• Impede que erros de
configuração sejam
propagados entre redes
distintas
• Estabelece melhor
governança, de modo a TO e
TI controlarem suas bordas
de redes de
forma independente.
Rede
corporativa
Rede
de
supervisão
Rede
de
controle
Rede
de
campo
DMZ
Criminoso cibernético
Firewall de borda
Firewall de TA
Sistema
compartilhado
Estação de
engenharia
PLCs
Dispositivos
de campo
Internet
Redes
externas
Fornecedores WAN
SOC de TO
SOC de TI

MODELO DE GESTÃO INTEGRADA DE SEGURANÇA DETI ETO
Os SOCs de TI e TO devem ser integrados em alto
nível através de uma gestão corporativa de
segurança para toda a empresa.
Experiências aprendidas e informações relevantes de
ataques devem ser compartilhadas.
Um comitê de segurança cibernética corporativa
deve ser estabelecido para estabelecer um processo
integrado de gestão de riscos.
A alta gestão da empresa precisa estar ciente dos riscos e fornecer
suporte para que as áreas possam implementar os controles
necessários.
Para que os projetos sejam efetivos, pessoas e orçamentos precisam
ser disponibilizados para implementar e manter os controles de
segurança.
Indicadores chave precisam ser estabelecidos para vincular as ações
de segurança ao desempenho do negócio.
Integra pessoas com
profundo
conhecimento dos
sistemas de TO da
empresa.
Sua principal
atribuição é assegurar
a implantação de
controles de acordo
com as políticas de
cibersegurança
industrial. Pode ser
terceirizado para um
SOC de TO externo.
Fornecem suporte à
segurança de TO
relativo a
infraestrutura,
incluindo alocação de
espaço em Data
Centers, links de
conexão,
configurações de
serviços corporativos
associados a TO,
entre outros.
Os colaboradores são
peça chave para o
estabelecimento da
segurança cibernética
na empresa.
Além de adotarem as
políticas de segurança,
serão responsáveis
por observar e relatar
potenciais riscos à
operação.
Profissionais
terceirizados e
fornecedores devem
estar cientes das
diretivas da empresa
para segurança
cibernética industrial
e aplicar em suas
funções.
Esse comitê deve estar ciente sobre os potenciais impactos que a
operação indevida de sistemas de TO podem causar sobre a empresa
como um todo.
Sua principal responsabilidade é alinhar os riscos cibernéticos em
riscos corporativos.
A principal
responsabilidade do
RH é assegurar que
colaboradores estão
cientes das diretivas
de segurança
cibernética industrial
e, quando necessário,
tomar as medidas
cabíveis contra
aqueles que
infringirem as
mesmas.
Integra pessoas de
diferentes áreas da
empresa. O foco
desse grupo é
direcionar as ações de
corporativa com base
nos riscos de TI e nas
melhores práticas.
Pode ser terceirizado
para um SOC de TI
externo.
As equipes locais são
representadas
realizam operações de
industrial com o líder
de segurança
cibernética industrial.
Gestão da Empresa
Segurança Cibernética
Corporativa (TI)
Segurança Cibernética
Industrial (TO)
Equipes de
infraestrutura
Colaboradores Terceiros RH Equipes locais
Comitê de Segurança
Cibernética
Corporativa

PORQUE É MELHORTERCEIRIZAR A GESTÃO DE
SEGURANÇA INDUSTRIAL PARA UM SOC DE TO?
Gestão através de um típico SOC interno Gestão através de um SOC Industrial (TO)
Profissionais internos Time de elite de segurança cibernética industrial
Normalmente sobrecarregados com tarefas de TI e
TO 100% focado em segurança cibernética industrial
Dependente dos funcionários Sempre disponível e escalável
Nível técnico Junior ou Médio Nível especialista
Suvesso de detecção indeterminado Detecção de 100% das ameaças cibernéticas potenciais
Níveis 4,3 Níveis 4,3,2,1,0
Poucas certificações de segurança de TO
Time amplamente certificado e com experiência de
projetos
Alto custo financeiro para implementação e
manutenção
Preços competitivos e compatíveis com os serviços
prestados

ESTUDO DE CASO
OTI SAFE ICS-SOC
SOC 100% de TO desde sua concepção

TI SAFE ICS-SOC
FACTS & FIGURES
• Em operação plena desde 2017
• Mais de 300 zonas de TO monitoradas 24x7
• ~100 tickets resolvidos por semana
• Proteção da distribuição de energia de 50
milhões de brasileiros

CLIENTE
ICS-SOC (VEJA O VÍDEO)
SERVIÇOS DO TI SAFE ICS-SOC
MONITORAMENTO E RESPOSTA
ARQUITETURA DE SEGURANÇA
LABORATÓRIO DE SEGURANÇA
GESTÃO
DE
RISCOS
VPN
TECNOLOGIAS
DE SEGURANÇA
CIBERNÉTICA
NO CLIENTE

DESENVOLVIMENTO CONTÍNUO DAS COMPETÊNCIAS DA EQUIPE
De modo a manter a equipe
integrada e atualizada, a TI Safe
estabeleceu um processo
contínuo de desenvolvimento de
competências com base no TI
Safe Body of Knowledge
(TISBoK).
Todos os técnicos estudam,
experimentam e praticam as
funções relativas trabalho da TI
Safe, o que amplifica a gestão de
conhecimento e confere
flexibilidade e agilidade para a
equipe.
Capacitação
• Segurança cibernética industrial
• Treinamento em soluções de
segurança
• Participações em eventos
Desenvolvimento
• Participação em
atividades de P&D
• Elaboração de
apresentações técnicas
• Suporte à documentação
de projetos
Atuação em
campo
• Desempenho de funções
diversas em projetos da
TI Safe
• Atendimento
supervisionado de
chamados do ICS-SOC
Atitudes

RELACIONAMENTO COM ECOSSISTEMA DE TO
• A TI Safe estabelece e
mantém relações de parceria
tecnológica com diversas
entidades, desde fabricantes a
órgãos de defesa
• Participamos de fóruns
desses parceiros e auxiliamos
na definição de padrões de
mercado
• Temos acesso direto aos
desenvolvedores dos
sistemas de segurança que
nossos clientes usam
• Recentemente, o ICS-SOC
da TI Safe foi homologado
pelo Eletrobrás CEPEL para a
proteção do SAGE
Fornecedores de segurança cibernética
• Palo Alto Networks
• Nozomi
• Claroty
• CiberX
• Thales
• Commvault
• Kaspersky
• Tenable
• IBM
Fabricantes de automação
• Siemens
• ABB
• Honeywell
• GE
Entidades de pesquisa, ensino, reguladoras e defesa
• ONS
• Cepel
• ISA
• ABNT
• SENAI
• UFRJ
• CDCIBER
• NATO

Obrigado
2 0 2 1 A l l R i g h t s R e s e r v e d
Marcelo.Branquinho@tisafe.com
https://www.cci-es.org/
@info_CCI
https://www.linkedin.com/in/centrociberseguridadindustrial/

Por que não usar SOCs de TI/Híbridos para proteger redes industriais

Recomendados

Recomendados

Mais conteúdo relacionado

Mais procurados

Mais procurados (20)

Semelhante a Por que não usar SOCs de TI/Híbridos para proteger redes industriais

Semelhante a Por que não usar SOCs de TI/Híbridos para proteger redes industriais (20)

Mais de TI Safe

Mais de TI Safe (20)

Por que não usar SOCs de TI/Híbridos para proteger redes industriais