Os sistemas de controle de infraestrutura crítica estão ao nosso redor, ainda que algumas vezes não percebemos. Por trás das redes de energia elétrica, de distribuição de água, ou mesmo de gás estão sistemas automatizados de controle que asseguram o funcionamento otimizado dos equipamentos envolvidos nestes serviços. O mesmo acontece em indústrias, com sistemas que controlam produção, tráfego (de diferentes transportes), produção e transporte de petróleo e assim por diante. Em suma, são sistemas críticos que sustentam operações críticas para nossa sociedade e economia.
São chamados de Sistemas de Controle Industrial (Industrial Control Systems ou ICS), e incluem Sistemas de Supervisão e Aquisição de Dados (conhecidos como SCADA ou Supervisory Control And Data Acquisition) e controladores lógicos programáveis. Não são sistemas novos, pelo contrário, evoluíram pari passu com a tecnologia da informação ao longo das últimas décadas. No entanto, ainda que tenham acompanhado a evolução da TI, sempre foram um mundo apartado da mesma, tanto que inclusive tem nome próprio (OT, de Operations Tecnology – Tecnologia de Operações). Essa divisão de mundos começava na engenharia de desenvolvimento das soluções, passando por sua implementação e chegando na operação dentro das empresas. Isso resultou em protocolos e padrões totalmente diferentes daqueles conhecidos no mundo da TI. Também em ambientes (equipamentos e redes) fisicamente segregados da TI. E gerenciado por especialistas próprios, normalmente em departamentos de engenharia.
Nos últimos anos, no entanto, um processo de convergência de tecnologias aproximou os dois universos e incluíram-se diversos pontos de contato entre o mundo dos Sistemas de Controle Industrial e as redes corporativas de dados (TI) das empresas. Este processo trouxe para o mundo da OT algumas plataformas abertas (hardware e software de servidores, equipamentos de rede e protocolos como TCP/IP, entre outros) resultando na aceleração do desenvolvimento de soluções, redução de custos de aquisição e operação, para citar apenas os benefícios mais evidentes.
Por outro lado, também aproximou perigosamente estes sistemas críticos de ameaças cibernéticas antes não tão evidentes. Ao aproximar-se da TI, a OT tornou-se mais suscetível a ciberataques. Não que antes não o fosse, mas agora é muito mais fácil para um atacante – independentemente de qual seja sua motivação – causar danos em sistemas dessa natureza. Há ferramentas disponíveis na Internet para isso, algumas pagas em bizarros modelos de negócio do crime organizado, mas outras disponíveis gratuitamente.
Por isso sugiro a seguir três medidas urgentes para assegurar a segurança dos sistemas de infraestrutura crítica que estão integrando-se rapidamente às redes corporativas das empresas. A boa notícia é que muitas das melhores práticas e soluções de segurança já disponíveis podem ser adotadas para mitigar os riscos inerentes a sistemas de OT.
- O primeiro e fundamental passo nesse caminho é o de conhecer os riscos. É imprescindível realizar um mapeamento dos ativos que compõe a Tecnologia de Operações, identificar individualmente a criticidade de cada um, quais suas vulnerabilidades, a quais ameaças está sujeito, avaliar o potencial impacto de eventuais incidentes de segurança e, por fim, determinar o nível de risco que representam para a operação. Somente após esta Análise de Riscos se terá em mãos um conjunto adequado de informações para um planejamento consciente de ações de segurança. Os riscos identificados não serão poucos, mas deverão indicar prioridades e guiar os tomadores de decisão no processo de alocar investimentos para mitigá-los. Estas decisões devem ser tomadas sob o ponto de vista estratégico. E recomenda-se um processo de Gestão de Riscos que periodicamente repita o ciclo, pois afinal os riscos não são estáticos. Eles seguem em constante transformação e devem refletir mudanças no cenário da empresa, da tecnologia ou mesmo da sociedade.
- Um segundo passo é o isolamento seletivo dos sistemas. Ou seja, proporcionar um mecanismo de isolamento dos sistemas de maior risco; mas um isolamento lógico, ao contrário daquele físico adotado antigamente. Assim, seletivamente e por software se pode determinar qual tráfego pode e qual não pode acessar os sistemas críticos. A nova abordagem de microssegmentação aplica-se bem a este propósito. Em uma rede, ela permite criar pequenas redes seguras virtuais definidas por software. Com custo de implementação baixo, pode aproveitar o investimento já realizado em hardware e software de rede, mesmo em ambiente heterogêneo com equipamentos de diferentes fabricantes. Seu custo operacional é baixo e propicia maior agilidade em caso de mudanças, pois fragmenta em pequenas partes os sistemas e seus grupos de usuários por software, sendo simples e ágil reconfigurá-los. Usuários e serviços são autorizados por meio de sua identidade, em função do mínimo que precisam saber, limitando a quem de direito o acesso de modo seguro e onde quer que eles estejam, sem lidar com endereçamentos IP e suas máscaras, incalculáveis VLANs e milhares de regras de firewalls.
Soluções avançadas ainda cobrem os microssegmentos com um manto criptográfico que os torna invisíveis aos usuários não autorizados. Ou seja, para quem não tem direito de acesso, aqueles microssegmentos simplesmente não existem, tornando-os imunes às técnicas de descoberta e varreduras usadas pelos criminosos para reconhecimento de ambientes. E alguém conseguiria invadir um sistema que não vê e que não sabe que existe?
- Finalmente, no terceiro passo, deve-se encarregar-se da mitigação dos riscos indicados no primeiro passo por meio de diferentes controles de segurança. Outras soluções tecnológicas ou não tecnológicas, incluindo por exemplo atualização de políticas de segurança, conscientização de usuários, processos de gestão de patches e atualizações de sistemas, gestão de vulnerabilidades, monitoramento de eventos de segurança com correlação de eventos e capacidades analíticas (para identificação de padrões anômalos de acesso e tráfego entre os diferentes sistemas industriais, resposta a incidentes etc.) – conforme apontar o processo de gestão de riscos e suas ações de mitigação.
Em suma, adequar a segurança dos Sistemas de Controle Industrial resulta em aproveitar os benefícios de integrar a OT com a TI para revolucionar produtos, serviços e processos, reduzir custos de desenvolvimento, implantação e operação dos mesmos. E permite fazê-lo de modo a manter os riscos sob controle, assegurando visibilidade dos mesmos e a tomada de ações de mitigação necessárias.
Leonardo Carissimi, lider de Segurança da Unisys para a América Latina.
