Os recentes ataques a empresas de abastecimento de água mostram por que a segurança de tecnologia operacional não pode esperar.

Os recentes ataques ao setor de água mostram por que a segurança de tecnologia operacional não pode esperar.

Infraestrutura crítica A área de tecnologia operacional tornou-se silenciosamente um dos espaços mais disputados na cibersegurança, e este verão tornou isso difícil de ignorar. Uma onda de ciberataques, amplamente considerada ligada ao Irã, embora não formalmente atribuída, atingiu a tecnologia operacional de empresas de abastecimento de água em mais de uma dúzia de estados americanos. Os invasores acessaram controladores lógicos programáveis (CLPs) conectados à internet, os pequenos computadores industriais que abrem válvulas, acionam bombas e mantêm a pressão da água estável, e em vários casos bloquearam o acesso dos operadores ou forçaram as empresas a retornar ao controle manual. Nenhuma água potável foi contaminada e a maioria das interrupções foi resolvida em poucas horas. Mas a campanha ressaltou algo sobre o qual o setor de água vem sendo alertado há anos: a tecnologia operacional, construída décadas antes das práticas modernas de cibersegurança, agora está na mira de agentes estatais.

Sentei-me para conversar com Nick Tausek, Arquiteto de Soluções Líder da Swimlane, sobre por que as empresas de abastecimento de água continuam aparecendo nessa lista, o que é realmente necessário para superar essa lacuna e onde a automação se encaixa em uma solução que muitas empresas não podem arcar de outra forma.

Por que as empresas de abastecimento de água continuam entrando na lista de alvos?

“Existem alguns motivos pelos quais as empresas de abastecimento de água, em particular, são um alvo tão atraente para os atores estatais”, diz Tausek.

• A primeira é de ordem técnica. Esses sistemas tendem a executar tecnologias operacionais antigas, anteriores às práticas modernas de cibersegurança. As recomendações padrão que as equipes de segurança dão a todos — autenticação multifator, senhas fortes, segmentação de rede e princípio do menor privilégio — muitas vezes não se aplicam diretamente a hardware de tecnologia operacional antigo.
• A segunda é econômica. Uma grande parte das empresas de serviços de água dos EUA opera em áreas rurais com orçamentos reduzidos. Muitos presumem que elas são pequenas demais para merecerem o tempo de um adversário. Essa suposição não se sustenta. Como afirma Tausek, “quando um Estado-nação ou um adversário cibernético competente está à procura de alvos, tudo o que estiver conectado à internet é um alvo”.”
• O terceiro motivo é o impacto. Os sistemas de abastecimento de água podem ser comprometidos rapidamente e reparados lentamente. Todos precisamos de água, portanto, o impacto da sua falta se torna uma emergência mais rapidamente do que, por exemplo, uma violação de dados.

5 fundamentos para fortalecer o OT que ninguém pode ignorar.

Questionado sobre o que diria a uma empresa de serviços públicos com orçamento limitado e equipamentos antigos — o que, segundo ele, descreve a maioria das empresas de água do país —, Tausek explicou cinco coisas fáceis de fazer:

1. Separe as redes de OT e TI o máximo possível e use jump boxes em vez de conexões diretas para acessar sistemas de OT que não podem ser atualizados.
2. Nunca exponha dispositivos de tecnologia operacional (OT) à internet pública. Os PLCs, em particular, não devem ser acessíveis ou alcançáveis pela internet aberta, em hipótese alguma.
3. Alterar as senhas padrão em todos os lugares. É uma pequena coisa que continua sendo negligenciada em todo o setor.
4. Aplique autenticação multifatorial e o princípio do menor privilégio sempre que o equipamento o permitir.
5. Especificamente para PLCs: coloque-os atrás de firewalls e gateways com ACLs atualizadas, use acesso à rede de confiança zero sempre que possível, revise as configurações regularmente para detectar alterações não autorizadas e substitua os equipamentos em fim de vida útil quando o orçamento permitir.

Nada disso é conselho exótico. A lacuna não está na informação, mas sim na execução.

Onde a higiene fica sem pista de decolagem

Eis o problema: uma empresa de serviços públicos pode fazer tudo o que está nessa lista e ainda assim sofrer uma violação de segurança, porque a segmentação e a higiene de senhas não respondem à pergunta que realmente determina a gravidade do incidente: o que acontece na primeira hora após a descoberta.

Geralmente, trata-se de um processo documentado com algumas dezenas de etapas: isolar o dispositivo afetado, decidir se é necessário recorrer a um sistema de backup, obter a aprovação das pessoas certas, preservar as evidências e, por fim, comprovar a um auditor ou órgão regulador que tudo ocorreu corretamente. Em circunstâncias normais, isso é administrável. No meio de um incidente ativo, com uma equipe pequena e provavelmente sobrecarregada, é exatamente o tipo de processo em que os humanos começam a pular etapas.

O setor tem um nome para a métrica que captura o custo dessa lacuna: tempo de permanência, o intervalo entre o momento em que um invasor entra e o momento em que é efetivamente removido. Quanto maior esse intervalo, mais danos são causados e mais difícil se torna ter certeza de que um ambiente está realmente seguro; muitos incidentes que parecem resolvidos acabam, às vezes um ano depois, revelando-se como nunca totalmente solucionados.

Onde um SoC com inteligência artificial é uma das soluções.

É aqui que a automação conquista seu espaço, não como substituta da segmentação e da higienização, mas como uma das maneiras de reduzir a lacuna essas medidas deixam em aberto.

• Manuais codificados. Um processo de isolamento e failover de trinta etapas é codificado uma única vez e executado da mesma maneira todas as vezes, em vez de depender de quem estiver de plantão se lembrar dele corretamente às 2 da manhã.
•  Gestão de casos com registro de auditoria. Aprovações, coleta de evidências, investigação de alertas e ações corretivas estão integradas em um único sistema, que também pode gerar a documentação que um auditor ou órgão regulador eventualmente solicitará.
• Integração com ferramentas de auditoria. Em vez de gerar mais uma pilha de resultados de testes de penetração sobre os quais uma pequena equipe não tem como agir, uma camada de automação habilitada por IA pode interagir diretamente com as ferramentas que as concessionárias já utilizam e transformar resultados não estruturados em uma lista de pendências priorizada e acionável; exatamente o problema que, segundo Tausek, muitas concessionárias de água enfrentam com sua tecnologia legada.
• Investigação acelerada por IA. Em vez de consultar manualmente diversas ferramentas para confirmar o significado real de um alerta, a IA consegue reunir esse contexto em minutos e confirmar, e não apenas presumir, que o invasor desapareceu por completo, e não apenas está inativo.

O resultado que Tausek destaca é um tempo de permanência visivelmente menor e um tempo de remediação mais rápido, as duas métricas que, segundo ele, seriam as mais importantes. mudar a forma como um incidente como este se desenrola para uma empresa de serviços públicos que os possui em comparação com uma que não os possui.

O que vem a seguir?

Tausek não acredita que este seja um problema isolado das empresas de abastecimento de água. "Nossos adversários estão usando ataques baseados em IA contra tudo que está conectado à internet, não apenas contra empresas de abastecimento de água", afirma. Ele prevê que a complexidade desses ataques continuará aumentando e que organizações que nunca imaginaram ser alvos passarão a descobrir que são.  

Seu argumento final é aquele com o qual vale a pena refletir:

“Não importa se você é da área de TI ou de TO; você se tornará alvo de um ator geopolítico se estiver conectado à internet. A questão é se você saberá disso e se poderá fazer algo a respeito.”

Os ataques a empresas de abastecimento de água deste verão são uma prévia de um padrão que continuará surgindo em todos os lugares onde há algo conectado à internet. As organizações que se recuperarem mais rapidamente do próximo ataque serão aquelas que já sabem que ele aconteceu e já temos um sistema pronto para agir sobre isso.

Perguntas frequentes sobre segurança de tecnologia operacional

A água potável foi contaminada nos ciberataques à companhia de água?

Não. Na onda de ataques que atingiu os sistemas de controle de abastecimento de água em mais de uma dúzia de estados americanos neste verão, nenhuma água potável foi contaminada e a maioria das interrupções foi resolvida em poucas horas. Os invasores obtiveram acesso a controladores lógicos programáveis (CLPs) conectados à internet e, em vários casos, bloquearam o acesso dos operadores aos controles ou forçaram as concessionárias a operar manualmente, mas o abastecimento de água em si permaneceu seguro.

O que é um PLC e por que os atacantes o visam?

Um controlador lógico programável (CLP) é um pequeno computador industrial que executa os processos físicos dentro de uma estação de tratamento de água: abrir válvulas, acionar bombas e manter a pressão da água constante. Os CLPs atraem ataques porque muitos estão expostos à internet, funcionam com tecnologia operacional desenvolvida antes da existência das práticas modernas de segurança cibernética e, uma vez comprometidos, concedem ao invasor controle direto sobre a infraestrutura física.

Por que as empresas de serviços de água são alvos frequentes de ciberataques patrocinados por Estados-nação?

Segundo Nick Tausek, arquiteto de soluções líder da Swimlane, as empresas de abastecimento de água são alvos por três motivos. Sua tecnologia operacional é anterior às práticas modernas de segurança cibernética. Muitas empresas presumem que seus orçamentos pequenos e rurais as tornam inofensivas a ataques, uma suposição que atores estatais não compartilham. Além disso, os sistemas de água podem ser comprometidos rapidamente, mas reparados lentamente, de modo que o impacto se transforma rapidamente em uma emergência.

O que é segurança OT e como ela difere da segurança de TI?

A segurança de OT (tecnologia operacional) protege os sistemas que executam processos físicos, como bombas, válvulas e controladores industriais, enquanto a segurança de TI protege computadores, redes e dados. O hardware de OT geralmente tem décadas de existência e não foi projetado com a segurança cibernética em mente, portanto, práticas padrão de TI, como MFA (autenticação multifator) e privilégio mínimo, nem sempre se aplicam diretamente e precisam ser adaptadas aos recursos disponíveis no equipamento.

Como as empresas de abastecimento de água podem fortalecer seus sistemas de tecnologia operacional (OT) contra ataques?

Tausek descreve cinco etapas que não exigem um grande orçamento. Segregue as redes de OT e TI e use jump boxes em vez de conexões diretas. Nunca exponha dispositivos de OT, especialmente PLCs, à internet pública. Altere as senhas padrão. Aplique autenticação multifator e o princípio do menor privilégio sempre que o equipamento permitir. E, especificamente para PLCs, use firewalls, gateways, acesso à rede de confiança zero, revisões de configuração regulares e substitua equipamentos em fim de vida útil sempre que possível.

O que é tempo de permanência e por que ele é importante em incidentes de segurança de tecnologia operacional?

O tempo de permanência é o intervalo entre o momento em que um invasor entra em um sistema e o momento em que é efetivamente removido. Quanto maior esse intervalo, mais danos um invasor pode causar e mais difícil se torna ter certeza de que o ambiente está realmente seguro. Alguns incidentes que parecem resolvidos acabam, às vezes um ano depois, revelando-se como nunca tendo sido completamente solucionados.

O que é um SOC com inteligência artificial e como ele ajuda a reduzir a lacuna de segurança em tecnologia operacional?

Um SOC (centro de operações de segurança) com inteligência artificial codifica manuais de resposta a incidentes, gerencia casos com um registro de auditoria integrado, integra-se às ferramentas de auditoria já utilizadas pela empresa de serviços públicos e usa IA para investigar alertas e confirmar a resolução. A Swimlane aponta para um menor tempo de permanência e uma resolução mais rápida como resultados mensuráveis, preenchendo a lacuna que a segmentação de rede e a higiene de senhas, por si só, deixam em aberto.

Isso é um problema apenas para as empresas de abastecimento de água, ou afeta outros setores?

Isso afeta qualquer organização conectada à internet. Como Tausek afirma, “não importa se você é da área de TI ou de TO; você se tornará alvo de um agente geopolítico se estiver conectado à internet”. Ele prevê que os ataques baseados em IA continuarão aumentando em complexidade em todos os setores, não apenas em empresas de serviços públicos de água.