Vulnerabilidades escondidas –

Cibernéticas e Humanas. Utilizando

técnicas avançadas de descoberta e

formalização do conhecimento.Flavia Santoro

Guilherme Neves

Data: Rio de Janeiro , 29 de outubro de 2013.

2

Autores

•Guilherme Neves – Graduado em Redes de Computadores , pós graduado em Segurança da informação pela UFRJ, Mestrando em Sistemas de apoio a negócios na UNIRIO, especialista em investigação digital forense e testes de invasão de redes. Autor do livro : Segurança em redes industriais: Análise de vulnerabilidades, gerência de ataques e erros, evitando catástrofes.

E-mail: guiliherme@doutornet.com.br

Telefone: 21 8787 1843

3

Autores

•FLAVIA SANTORO:Possui graduação em Engenharia Eletrônica pela Universidade Federal do Riode Janeiro (1989), mestrado em Engenharia de Sistemas e Computação pelaCOPPE - Universidade Federal do Rio de Janeiro (1996) e doutorado emEngenharia de Sistemas e Computação pela COPPE - Universidade Federal doRio de Janeiro (2001). Realizou pós-doutorado na Université Pierre et MarieCurie - Paris VI, França (2004-2005) e na Queensland University ofTechnology, Austrália (2012-2013). É Professora Associada e membro doPrograma de Pós-graduação em Informática da Universidade Federal doEstado do Rio de Janeiro - UNIRIO. Coordena o Núcleo de Pesquisa e Práticaem Tecnologia (NP2Tec). Tem experiência na área de Ciência da Computação,com ênfase em Sistemas de Informação, atuando principalmente nosseguintes temas: Gestão de Processos de Negócios, Gestão de Conhecimento,Aprendizagem Colaborativa Apoiada por Computador, e Trabalho CooperativoApoiado por Computador.

Objetivo

• Apresentar as novas ameaças cibernéticas específicas para redes de automação.

• Apresentar os impactos na segurança dos operadores e pacientes.

• Mostrar técnicas automatizadas de descoberta de processos de negócio.

4

Sinopse do Trabalho

• O trabalho mostra, através de um

estudo de caso, como incluir estas

novas ameaças cibernéticas como

vírus, ataques de hackers e crackers

na análise de riscos .

• Demonstrar também como elaborar

um plano de ação para mitigar os

riscos.

5

Justificativa de participação/seleção do

autor(es) com base na inovação

• Criar um procedimento para auxiliar

os Departamentos de Validação de

Sistemas a organizar e analisar esta

ameaça sem a necessidade de

conhecer a fundo os meandros da

atividade hacker.

6

Justificativa de participação/seleção do

autor(es) com base na inovação

• Debater sobre o quanto as

vulnerabilidades podem ser exploradas e

as principais ameaças que resultarão em

riscos para a infra estrutura , a segurança

do produto e das pessoas.

• Acabar com o mito de que a rede

industrial é segregada e, portanto imune a

ataques, hoje esta afirmação está cada

vez mais, longe da realidade.

7

Incidentes crescentes.

8

Principais alvos segundo AKAMAI

2013

• A indústria

farmacêutica

aparece em

destaque com

6% dos ataques

9

Área(s) de impacto do trabalho

• Segurança industrial

• Qualidade dos produtos

• Espionagem industrial

• Rastreabilidade dos dados

• Segurança do paciente

10

Posição da ANVISA

• Segundo a RDC17 da ANVISA todo

sistema computadorizado que tenha

impacto nas boas praticas deve ser

validado, passando um processo

onde o ciclo de vida passa por uma

detalhada analise de riscos.

11

Os Ataques estudados

• Foram estudados 3 tipos de ataques:

• Ataque a infra estrutura física

• Ataque de negação de serviços

(DoS)

• Ataque do homem no meio.(MTM)

12

DoS e DDoS

• Denie of services , negação de

serviços.

• Distribute Denie of Services ,

negação de serviços distribuidos.

• Os dois tipos de ataques provocam a

paralisação de parte ou toda a infra

estrutura industrial.

13

Ataques Físicos

• Normalmente provocado por

vandalismo e sabotagem de

funcionários insatisfeitos .

• Para parte ou toda a infra estrutura

mas a recuperação do desastre

costuma ser muito custosa.

14

Ataque Man in the midle

• O ataque homem do meio é o mais

grave pois pode provocar a alteração

da programação da automação sem

a percepção do operador .

• Pode influenciar na segurança do

paciente.

• Qualidade do produto.

15

Ataque Man in the midle

• O atacante utilizando-se de seu

conhecimento ou de malwares como

virus , se conecta na rede altera a

automação , mas mantém as

informações de que está tudo bem

para o operador.

16

STUXNET a primeira arma cibernética.

• Stuxnet , é um worm, criado especificamente para

atacar sistemas industriais , principalmente os

sistemas baseados no Step7 da Siemens.

(symantec)

• Stuxnet busca por sistemas de controle industriais e

então modifica seus códigos para permitir que os

atacantes tomem o controle desses sistemas sem

que os operadores percebam. Em outras palavras,

essa ameaça foi criada para permitir que hackers

manipulem equipamentos físicos, o que o torna

extremamente perigoso.

17

Superfície do ataque em fev 2011

18

Cenário

19

• Este trabalho contempla a metodologia degerenciamento de riscos utilizada no sistemade controle embarcado do túnel dedespirogenização – Esterilização por ar secoutilizado para esterilizar vidros e outrosmateriais não sensíveis ao calor.

• Contempla a análise do risco para a máquinade lavagem de frascos , próxima etapa deprodução .

Rede analisada

20

Separando os segmentos críticos

21

•Para elaborar a Especificação de Requisitos do usuário , deve-se separar a rede ou os elementos ativos .•Separamos os pontos de conexão que são os principais alvos dos ataques.•Analisamos cada segmento separadamente e depois as combinações entre eles.

Alguns riscos levantados

22

Evento (sempre é uma

falha)

Efeito no pior caso. (usar

criterios de severidade,

inpactos no paciente,

qualidade do produto

ou rastreabilidade e

integridade dos dados.

Controles Atuais

Ava

lia

çã

o d

a

Se

ve

rid

ad

e

Se

ve

rid

ad

e

Ava

lia

çã

o d

a

Pro

ba

bilid

ad

e

de

Oc

orr

ên

cia

Pro

ba

bilid

ad

e

de

oc

orr

ên

cia

Ava

lia

çã

o d

o

risc

o

Cla

sse

de

ris

co

Ava

lia

çã

o d

a

De

tec

tib

ilid

ad

e

De

tec

tib

ilid

ad

e

Ava

lia

çã

o d

a

Prio

rid

ad

e d

o

Ris

co

Prio

rid

ad

e d

o

Ris

co Ações propostas para

risco e/ou prioridade

media e alta.

Ataque Man in the

Midle ativo GATEWAY

PW/WFI

adulteração de dados

de processo ,

possibilidade de

produzair produto fora

da especificação

antivirus , monitoramento

da rede.

3 ALTA 1 BAIXA 3 RISCO

MÉDIO 3 BAIXA 9 MÉDIA

verificar sofware ids, e

criar pentestes peródicos.

Ataque a infra estrutua

física GATEWAY

PW/WFI

perda de informações

de processo

não tem

3 ALTA 2 MÉDIA 6 RISCO

ALTO 3 BAIXA 18 ALTA

colocar controle de

acesso a porta da sala

de controle da sala de

aguas.

ataque DoS PLC

TUNEL

Parada do tunel com

quebra de frascos.

antivirus , monitoramento

da rede. 3 ALTA 1 BAIXA 3 RISCO

MÉDIO 3 BAIXA 9 MÉDIA

verificar sofware ids, e

criar pentestes peródicos.

Ataque Man in the

Midle ativo PLC

TUNEL

adulteração de dados

de processo ,

possibilidade de não

esterelizar frascos ou

explosão de frascos

antivirus , monitoramento

da rede.

3 ALTA 1 BAIXA 3 RISCO

MÉDIO 3 BAIXA 9 MÉDIA

verificar sofware ids, e

criar pentestes peródicos.

Ataque a infra estrutua

física PLC TUNEL

Parada do tunel com

quebra de frascos.

não tem

3 ALTA 1 BAIXA 3 RISCO

MÉDIO 3 BAIXA 9 MÉDIA

colcoar controle de

acesso na porta da sala

dos plcs no mesanino.

Ataque Man in the

Midle ativo T2250

adulteração de dados

do processo impedindo

a reconsiliação dos

dados de pocesso

antivirus , monitoramento

da rede. 2 MÉDIA 1 BAIXA 2

RISCO

BAIXO 3 BAIXA 6 MÉDIA

verificar sofware ids, e

criar pentestes peródicos.

Recomendações Gerais do CERT USA

23

• Restringir o acesso local a rede de automação

• Restringir o acesso físico a redes e dispositivos de automação.

• Proteger os componentes individuais da rede de automação contra exploração de vulnerabilidades.

• Manter a funcionalidade durante condições adversas e contingencias.

• A restauração do sistema depois de um incidente garantindo que nada foi alterado.

Recomendações da ANVISA

24

• Verificação de dados no próprio sistema visando o controle e redução da probabilidade de entrada de dados incorretos;

• Meios que permitam identificar a entrada de dados pelo usuário aumentando a detecção de erros (Trilha de auditoria).

• Aplicação de testes rigorosos comprovando que o sistema desempenha suas funcionalidades corretamente em condições de erros ou que possua condições de tratamento para os mesmos.

• Problemas com mapeamento de

processos e regras de negócios.

• POPs e Its desatualizadas.

• Operadores que não seguem o POP.

• Evidencia falha de treinamento.

• Processos legados que só estão na

cabeça das pessoas.

25

Vulnerabilidades Humanas

Processos intensivos em

conhecimento

• Como transformar conhecimento tácito em

explícito ?

• Como levantar processos e

procedimentos sem parar a empresa?

• Como garantir a conformidade com a

regulação ?

26

Apoio

27

Parcerias