Vulnerabilidades escondidas Cibernéticas e Humanas. Utilizando técnicas avançadas de descoberta e formalização do conhecimento.

(1)

Vulnerabilidades escondidas –

Cibernéticas e Humanas. Utilizando técnicas avançadas de descoberta e formalização do conhecimento.

Flavia Santoro Guilherme Neves

(2)

2

Autores

•Guilherme Neves – Graduado em Redes de

Computadores , pós graduado em Segurança da

informação pela UFRJ, Mestrando em Sistemas de apoio a negócios na UNIRIO, especialista em investigação

digital forense e testes de invasão de redes. Autor do livro : Segurança em redes industriais: Análise de

vulnerabilidades, gerência de ataques e erros, evitando catástrofes.

E-mail: guiliherme@doutornet.com.br

(3)

Autores

•FLAVIA SANTORO:

Possui graduação em Engenharia Eletrônica pela Universidade Federal do Rio de Janeiro (1989), mestrado em Engenharia de Sistemas e Computação pela COPPE - Universidade Federal do Rio de Janeiro (1996) e doutorado em Engenharia de Sistemas e Computação pela COPPE - Universidade Federal do Rio de Janeiro (2001). Realizou pós-doutorado na Université Pierre et Marie Curie - Paris VI, França (2004-2005) e na Queensland University of Technology, Austrália (2012-2013). É Professora Associada e membro do Programa de Pós-graduação em Informática da Universidade Federal do Estado do Rio de Janeiro - UNIRIO. Coordena o Núcleo de Pesquisa e Prática em Tecnologia (NP2Tec). Tem experiência na área de Ciência da Computação, com ênfase em Sistemas de Informação, atuando principalmente nos seguintes temas: Gestão de Processos de Negócios, Gestão de Conhecimento, Aprendizagem Colaborativa Apoiada por Computador, e Trabalho Cooperativo Apoiado por Computador.

(4)

Objetivo

• Apresentar as novas ameaças cibernéticas específicas para redes de automação.

• Apresentar os impactos na segurança dos operadores e pacientes.

• Mostrar técnicas automatizadas de descoberta de processos de negócio.

(5)

Sinopse do Trabalho

• O trabalho mostra, através de um estudo de caso, como incluir estas novas ameaças cibernéticas como

vírus, ataques de hackers e crackers na análise de riscos .

• Demonstrar também como elaborar um plano de ação para mitigar os riscos.

(6)

Justificativa de participação/seleção do autor(es) com base na inovação

• Criar um procedimento para auxiliar os Departamentos de Validação de Sistemas a organizar e analisar esta ameaça sem a necessidade de

conhecer a fundo os meandros da atividade hacker.

(7)

Justificativa de participação/seleção do autor(es) com base na inovação

• Debater sobre o quanto as

vulnerabilidades podem ser exploradas e as principais ameaças que resultarão em riscos para a infra estrutura , a segurança do produto e das pessoas.

• Acabar com o mito de que a rede

industrial é segregada e, portanto imune a ataques, hoje esta afirmação está cada

(8)

Incidentes crescentes.

(9)

Principais alvos segundo AKAMAI

2013

• A indústria farmacêutica aparece em destaque com 6% dos ataques

(10)

Área(s) de impacto do trabalho

• Segurança industrial

• Qualidade dos produtos • Espionagem industrial

• Rastreabilidade dos dados • Segurança do paciente

(11)

Posição da ANVISA

• Segundo a RDC17 da ANVISA todo sistema computadorizado que tenha impacto nas boas praticas deve ser validado, passando um processo

onde o ciclo de vida passa por uma detalhada analise de riscos.

(12)

Os Ataques estudados

• Foram estudados 3 tipos de ataques: • Ataque a infra estrutura física

• Ataque de negação de serviços (DoS)

• Ataque do homem no meio.(MTM)

(13)

DoS e DDoS

• Denie of services , negação de serviços.

• Distribute Denie of Services ,

negação de serviços distribuidos.

• Os dois tipos de ataques provocam a paralisação de parte ou toda a infra estrutura industrial.

(14)

Ataques Físicos

• Normalmente provocado por vandalismo e sabotagem de funcionários insatisfeitos .

• Para parte ou toda a infra estrutura mas a recuperação do desastre

costuma ser muito custosa.

(15)

Ataque Man in the midle

• O ataque homem do meio é o mais grave pois pode provocar a alteração da programação da automação sem a percepção do operador .

• Pode influenciar na segurança do paciente.

(16)

Ataque Man in the midle

• O atacante utilizando-se de seu

conhecimento ou de malwares como virus , se conecta na rede altera a

automação , mas mantém as

informações de que está tudo bem para o operador.

(17)

STUXNET a primeira arma cibernética.

• Stuxnet , é um worm, criado especificamente para atacar sistemas industriais , principalmente os sistemas baseados no Step7 da Siemens. (symantec)

• Stuxnet busca por sistemas de controle industriais e então modifica seus códigos para permitir que os atacantes tomem o controle desses sistemas sem que os operadores percebam. Em outras palavras, essa ameaça foi criada para permitir que hackers manipulem equipamentos físicos, o que o torna extremamente perigoso.

(18)

Superfície do ataque em fev 2011

(19)

Cenário

• Este trabalho contempla a metodologia de gerenciamento de riscos utilizada no sistema de controle embarcado do túnel de despirogenização – Esterilização por ar seco utilizado para esterilizar vidros e outros materiais não sensíveis ao calor.

• Contempla a análise do risco para a máquina de lavagem de frascos , próxima etapa de produção .

(20)

Rede analisada

(21)

Separando os segmentos críticos

•Para elaborar a Especificação de Requisitos do usuário , deve-se separar a rede ou os elementos ativos .

•Separamos os pontos de conexão que são os principais alvos dos ataques.

•Analisamos cada segmento separadamente e depois as combinações entre eles.

(22)

Alguns riscos levantados

22

Evento (sempre é uma falha)

Efeito no pior caso. (usar criterios de severidade, inpactos no paciente, qualidade do produto ou rastreabilidade e integridade dos dados.

Controles Atuais A v a li a ç ã o d a S e v e ri d a d e S e v e ri d a d e A v a li a ç ã o d a P ro b a b il id a d e d e O c o rr ê n c ia P ro b a b il id a d e d e o c o rr ê n c ia A v a li a ç ã o d o ri s c o C la s s e d e r is c o A v a li a ç ã o d a D e te c ti b il id a d e D e te c ti b il id a d e A v a li a ç ã o d a P ri o ri d a d e d o R is c o P ri o ri d a d e d o R is c

o Ações propostas para

risco e/ou prioridade media e alta.

Ataque Man in the Midle ativo GATEWAY

PW/WFI

adulteração de dados de processo , possibilidade de produzair produto fora da especificação

antivirus , monitoramento da rede.

3 ALTA 1 BAIXA 3 RISCO

MÉDIO 3 BAIXA 9 MÉDIA

verificar sofware ids, e criar pentestes peródicos.

Ataque a infra estrutua física GATEWAY

PW/WFI

perda de informações de processo

não tem

3 ALTA 2 MÉDIA 6 RISCO

ALTO 3 BAIXA 18 ALTA

colocar controle de acesso a porta da sala de controle da sala de aguas.

ataque DoS PLC TUNEL

Parada do tunel com quebra de frascos.

antivirus , monitoramento

da rede. 3 ALTA 1 BAIXA 3 RISCO

Ataque Man in the Midle ativo PLC TUNEL adulteração de dados de processo , possibilidade de não esterelizar frascos ou explosão de frascos antivirus , monitoramento da rede.

Ataque a infra estrutua física PLC TUNEL

Parada do tunel com quebra de frascos.

não tem

colcoar controle de acesso na porta da sala dos plcs no mesanino.

Ataque Man in the Midle ativo T2250 adulteração de dados do processo impedindo a reconsiliação dos dados de pocesso antivirus , monitoramento da rede.

2 MÉDIA 1 BAIXA 2 RISCO

BAIXO 3 BAIXA 6 MÉDIA

(23)

Recomendações Gerais do CERT USA • Restringir o acesso local a rede de automação

• Restringir o acesso físico a redes e dispositivos de

automação.

• Proteger os componentes individuais da rede de

automação contra exploração de vulnerabilidades.

• Manter a funcionalidade durante condições adversas e

contingencias.

• A restauração do sistema depois de um incidente

(24)

Recomendações da ANVISA

24

• Verificação de dados no próprio sistema visando o controle e redução da probabilidade de entrada de dados incorretos; • Meios que permitam identificar a entrada de dados pelo

usuário aumentando a detecção de erros (Trilha de auditoria).

• Aplicação de testes rigorosos comprovando que o sistema desempenha suas funcionalidades corretamente em

condições de erros ou que possua condições de tratamento para os mesmos.

(25)

• Problemas com mapeamento de processos e regras de negócios. • POPs e Its desatualizadas.

• Operadores que não seguem o POP. • Evidencia falha de treinamento.

• Processos legados que só estão na

(26)

Processos intensivos em

conhecimento

• Como transformar conhecimento tácito em explícito ?

• Como levantar processos e

procedimentos sem parar a empresa? • Como garantir a conformidade com a

regulação ?

(27)