View
139
Download
3
Embed Size (px)
Citation preview
A CRESCENTE AMEAÇA CIBERNÉTICA – COMO SE PROTEGER? MARCELO BRANQUINHO, JUNHO DE 2017
• A Crescente Ameaça Cibernética
• Normas de Segurança Cibernética
• Análise de riscos SCADA
• O que descobrimos em nossas Análises de riscos SCADA: Antivirus não é suficiente
• Estratégias para proteção e controle de Malware em redes de automação
Agenda
A CRESCENTE AMEAÇA
CIBERNÉTICA
Hacker evoluíram no tempo
Dados Dados Internet
Criptografia Alvos
Organizado Focado Financiado
Uma pessoa ou grupos pequenos Conhecimento e recursos limitados Ataques básicos
Presente
OBJETIVO: Notoriedade
Internet
P
A
S
S
A
D
O
P
R
E
S
E
N
T
E
OBJETIVO: Lucro, Sabotagem, Conflito
SCADA – Tempestade perfeita para ciberataques
Redes em IP e Servidores Windows
Conectividade Interna, Externa, VPN, Fabricantes, etc..
Baixa maturidade de segurança cibernética
Patches não frequentes Ataques e APT´s específicos
Redes em IP e Servidores Windows
Conectividade Interna, Externa, VPN, Fabricantes, etc..
Baixa maturidade de segurança cibernética
Patches não frequentes
Malware avançado atingindo redes industriais e SCADA
FUD Fully UnDetectable (muitas vezes encurtado para "FUD") significa software incapaz de ser detectado por antivirus convencional quando um scan é executado. O termo é utilizado em círculos “underground” para se referir a código que resulta em veredito “limpo” ou “benigno” para a maioria dos antivirus, ainda que seja uma ferramenta de hacking. Técnicas incluem criptografia e/ou fuzzing de payload.
Ransomware: “sequestro” de dados
12/5/17 – O Ataque Global de Ransomware
• Ransomware Wannacry: empresa de
distribuição de energia foi atingida por
cyberattack, dizem funcionários
• Plantas da Renault e Nissan pararam
por causa do ataque de Ransomware
• Ataque por Ransomware à DB paralisa
sistema de trens alemão
• Serviços públicos do Brasil ficaram fora
do ar
• Mega ataque cibernético deixa 200.000
vítimas em 150 países
Ataque por malware a uma indústria química
• Tempo Estimado: 5 min.
• Utilizando o simulador será realizado um ataque através de infecção por APT:
Durante o ataque a programação dos set points das bombas hidráulicas será alterada
pelo vírus provocando o transbordamento do tanque químico.
Normas de Segurança Cibernética
Norma ANSI/ISA 99 (ou IEC-62443)
• Norma elaborada pela ISA (The Instrumentation Systems
and Automation Society) para estabelecer segurança da
informação em redes industriais
• É um conjunto de boas práticas para minimizar o risco de
redes de sistemas de controle sofrerem Cyber-ataques
ANSI/ISA-TR99.00.02-2004: Programa de segurança de sistemas de controle industriais
1. Análise de Riscos (Assessment & Plan) • Racional do negócio, identificação de riscos, classificação e análise
• Primeira etapa e condição si-ne-qua-non para implementação de
segurança cibernética em redes industriais
2. Endereçando contramedidas (Execute) • Política de Segurança, Organização e Treinamento
• Definir escopo, segurança organizacional, treinamento da
equipe, plano de continuidade de negócios, políticas e
procedimentos
• Selecionar contramedidas de segurança
• Segurança pessoal, segurança física, segmentação de rede,
controle de acesso, autenticação e autorização
• Implementação
• Gerência de riscos e implementação, desenvolvimento e
manutenção de sistemas, gestão da informação e
documentos, planejamento de incidentes
3. Monitorando e controlando (Control) • Compliance
• Revisar, melhorar e manter o CSMS
Norma NIST 800-82
• Norma elaborada pelo NIST
• O documento é um guia para o estabelecimento
de sistemas de controle de segurança para
indústrias (ICS).
• Estes sistemas incluem controle supervisório e
aquisição de dados em sistemas SCADA,
sistemas de controle distribuídos (DCS), e outras
configurações de sistema para PLCs.
http://csrc.nist.gov/publications/drafts/800-82/draft_sp800-82-fpd.pdf
Normas ISO 27001 / 27002
• Base para a criação de documentos de segurança da informação, como políticas e padrões.
• Usada para análise de segurança física
Análise de riscos SCADA
Análise de Riscos: ponto de partida
Análise estática
Questionários e inspeção
de auditoria de segurança
física e lógica da rede de
automação alinhados com
as boas práticas das
normas ANSI/ISA-99 , NIST
800-82 e ISOs
27001/27002
Análise dinâmica
Coleta de dados
automatizada suportada
por um firewall de
próxima geração
configurado em modo
TAP (não intrusivo) para
a coleta de informações
da rede a nível de
aplicação
Planejamento de Segurança Cibernética Industrial (PSCI) Define objetivos e prazos relativos aos procedimentos de implementação de controles e procedimentos de segurança cibernética para redes industriais e sistemas SCADA
• Baseada na resposta a questionário desenvolvido de acordo com as diretrizes do CSMS (Cyber Security Management System) especificado nas normas ANSI/ISA-99 e NIST 800-82.
• Nesta análise são levantadas as principais vulnerabilidades inerentes à arquiteturas de rede inseguras e/ou em não conformidade com o modelo de defesa em profundidade da norma, fragilidades de aplicativos, sistemas e protocolos, e por fim, falhas no processo de governança de TA da infraestrutura crítica.
Análise de Riscos de Segurança Lógica
• Baseada na resposta a questionário desenvolvido de acordo com as diretrizes de segurança física de datacenters das normas ISO 27001 e ISO 27002
• Objetiva analisar a segurança física do meio ambiente das áreas de TI/TA e é de fundamental importância, visto que, os processos de controle são executados em equipamentos instalados neste(s) ambiente(s)
Análise de Riscos de Segurança Física
• Realizada com o uso de um Firewall de Próxima Geração, permite
analisar vulnerabilidades da rede de controle em camada 7 (aplicação)
• São realizados testes de IPS (Intrusion Prevention System) tradicionais,
com uma abordagem mais compreensiva que leva em consideração
aplicações modernas e suas capacidades, bem como detecta ameaças
como Vírus, Malware e inspeção de conteúdo.
• Os testes dão visibilidade de tráfego e ameaças provenientes da
Internet, bem como demais perímetros de automação como fronteiras
com redes corporativas, sistemas supervisórios, datacenter de
automação, rede de processos, assim como links com terceiros e
conexões externas de VPN ou entidades regulamentadoras que fazem
leitura da capacidade produtiva das plantas de automação.
• Os testes em ambientes de automação seguem o conceito do
espelhamento de tráfego sem gerar impactos ou mudança na topologia
Análise de Riscos Dinâmica
Entregáveis da Análise de Riscos
Relatório de Análise Estática de Riscos (RAER)
Relatório de Análise de Segurança Física (RASF)
Relatório de Visibilidade de Aplicativos e Riscos (RVAR)
Planejamento de Segurança Cibernética Industrial (PSCI)
O que descobrimos em nossas Análises de riscos SCADA: Antivirus não é suficiente.
Antivírus realmente protegem redes industriais?
• Em nossas análises de riscos, durante a análise dinâmica, frequentemente nos
deparamos com soluções de antivírus que não protegem a planta
• Testamos as principais soluções de antivírus disponíveis no mercado brasileiro contra
ataques de baixa complexidade com ferramentas baixadas da Internet.
• Soluções de antivírus testadas:
McAfee Antivirus Plus
Kaspersky Antivirus
Panda Antivirus Pro
Trend Titanium Maximum Security
Norton Antivirus
F-Secure Antivirus
avast! Pro Antivirus
AVG Anti-Virus
Sophos Anti-Virus
Microsoft Security Essentials.
E-SET NOD32 Antivirus
Resultados dos testes
Os resultados obtidos foram compilados em uma matriz (próximo slide). A partir da análise desta
matriz foi possível observar que:
• A grande maioria das detecções foi baseada em heurística.
• A grande maioria das soluções de antivírus não foi capaz de detectar a ameaça na memória.
• Apenas duas soluções reagiram por comportamento: Sophos Antivirus 7 e Panda AntiVirus
• Nenhuma solução que conseguiu detectar um ataque foi capaz de pará-lo.
• Nenhuma das soluções conseguiu a nota máxima.
• Nenhuma das soluções conseguiu detectar mais de uma amostra de malware criada em
laboratório pela equipe da TI Safe (ataques 10,11 e 12).
• Alguns produtos comerciais não foram capazes de detectar nenhuma amostra de malware
criada em laboratório pela equipe da TI Safe (ataques 10,11 e 12).
• Em termos de heurística, há soluções comerciais que tiveram desempenho inferior a soluções
gratuitas e outras que tiveram desempenho equivalente.
• Todos os candidatos falharam em prevenir o ataque pelo applet Java (ataque 16).
Matriz de resultados dos testes
McAfee Antivirus Plus
2012
Kaspersky Antivirus
2012
Panda Antivirus Pro
2012
Trend Titanium
Maximum SecurityNorton Antivirus 2012 F-Secure Antivirus 2012 avast! Pro Antivirus 6
AVG Anti-Virus FREE
2012Sophos Anti-Virus 7
Microsoft Security
EssentialsE-SET NOD32 Antivirus 5
1 EICAR EICAR test file EICAR-Test-File EICAR-AV-TEST-FILE Eicar_test_file EICAR Test String Trojan.Generic.6567028 EICAR Test-NOT virus!!! EICAR_Test EICAR-AV-Test DOS/EICAR_Test_File Eicar test file
2Metasploit EXE Default Template (no
encryption)Swrort.f Trojan.Win32.Generic Suspicious File TROJ_SWRORT.SME Packed.Generic.347 Backdoor.Shell.AC Win32:SwPatch Win32/Heur Mal/EncPk-ACE Trojan.Win32/Swrort.A
a variant of Win32/Rozena.AA
trojan
3Metasploit EXE Default Template
(shikata_ga_nai)Swrort.d Trojan.Win32.Generic Suspicious File TROJ_SWRORT.SME Packed.Generic.347 Backdoor.Shell.AC Win32:SwPatch Win32/Heur Mal/Swrort-C Trojan.Win32/Swrort.A
a variant of Win32/Rozena.AH
trojan
4Metasploit EXE Notepad Template (no
encryption)Swrort.f Trojan.Win32.Generic Trj/Genetic.gen - - Backdoor.Shell.AC Win32:SwPatch - Mal/Swrort-C Trojan.Win32/Swrort.A
a variant of Win32/Rozena.AA
trojan
5Metasploit EXE Notepad Template
(shikata_ga_nai)Swrort.d Trojan.Win32.Generic Trj/Genetic.gen - - Backdoor.Shell.AC Win32:SwPatch Win32/Heur Mal/Swrort-C Trojan.Win32/Swrort.A
a variant of Win32/Rozena.AH
trojan
6Metasploit EXE SkypePortable Template
(shikata_ga_nai)Swrort.d Trojan.Win32.Generic - - - Backdoor.Shell.AC Win32:SwPatch - Mal/Swrort-C Trojan.Win32/Swrort.A
a variant of Win32/Rozena.AH
trojan
7Metasploit LOOP-VBS Default Template
(no encryption)Swrort.f Trojan.Win32.Generic Script Blocked TROJ_SWRORT.SME Packed.Generic.347 Backdoor.Shell.AC Win32:SwPatch - Mal/Swrort-C Trojan.Win32/Swrort.A
a variant of Win32/Rozena.AA
trojan
8Metasploit LOOP-VBS Default Template
(shikata_ga_nai)Swrort.f Trojan.Win32.Generic Script Blocked TROJ_SWRORT.SME Packed.Generic.347 Backdoor.Shell.AC Win32:SwPatch - Mal/Swrort-C Trojan.Win32/Swrort.A
a variant of Win32/Rozena.AH
trojan
9 Shellcodexec Default w/ VBS launcher Generic.tfr!iTrojan.Win32.Genome
.vrrgTrj/CI.A - Trojan.Gen Trojan.Generic.6567028 Win32:Malware-gen Trojan Generic22.KPM Mal/Generic.L -
Win32/ShellcodeRunner.A
trojan
10TI Safe Modded Shellcodeexec (w/ VBS
launcher)- - Script Blocked - - - - - - - -
11TI Safe Modded Shellcodeexec (Custom
EXE w/ embedded payload)- - - - - Backdoor.Shell.AC - Trojan Generic22.SND - Trojan.Win32/Swrort.A -
12 TI Safe Custom Payload Launcher - - - - - - - - Mal/FakeAV-FS - -
13 Metasploit PDF (adobe_utilprintf) Exploit.PDF.bk.gen Exploit.JS.Pdfka.cil - HEUR_PDFEXP.BBloodhound.Exploit.21
3Exploit.PDF-JS.Gen JS:Pdfka-gen Script/Exploit Troj/PDFJs-B Trojan.Win32/Swrort.A JS/Exploit.Pdfka.NOO trojan
14Metasploit PDF
(adobe_pdf_embedded_exe)Swrort.f Trojan.Win32.Generic Suspicious File TROJ_SWRORT.SME Bloodhound.PDF.24 Exploit.PDF-Dropper.Gen Win32:SwPatch Exploit.PDF Mal/Swrort-C Trojan.Win32/Swrort.A PDF/Exploit.Pidief.PFW trojan
15Metasploit PDF
(adobe_pdf_embedded_exe_nojs)Swrort.f Trojan.Win32.Generic Suspicious File TROJ_PIDIEF.SMEO Bloodhound.PDF.24 Exploit.PDF-Dropper.Gen PDF:Launchr-C Exploit Mal/Swrort-C Trojan.Win32/Swrort.A PDF/Exploit.Pidief.PFT trojan
16 Metasploit Java Applet - - - - - - - - - - -
Ataques Executados
Soluções de Antivirus Testadas
Estratégias para proteção e
controle de Malware em redes de
automação
Requerimentos de um sistema de controle
SSR-1 Sistema NO STOP
SSR-2 Segurança em arquitetura fechada de rede
SSR-3 Sem aplicação frequente e regular de patches
SSR-4 Guarda impacto mínimo na performance de sistemas
SSR-5 De fácil instalação e não é operado por T.I.
Kaspersky KICS: A solução completa
• A Kaspersky Industrial CyberSecurity (KICS) é
uma suíte de tecnologias desenvolvida para a
segurança cibernética industrial em camadas,
incluindo servidores SCADA, interfaces homem-
máquina (IHM), estações de engenharia, PLCs,
conexões de rede e pessoas – sem impactos na
continuidade operacional e consistência do
processo tecnológico.
• A KICS foi projetada especificamente para
proteger ambientes industriais complexos que
contêm uma grande variedade de sistemas
proprietários. Trata-se de uma solução de
segurança altamente flexível que pode ser
ajustada às necessidades de cada instalação.
SOC – Security Operations Center/ICS MSS
• SOC TI Safe (SOC – Security Operation
Center) - Monitora/gerencia ambientes de
segurança cibernética de TI e TA
remotamente, através dos serviços de ICS
MSS.
• ICS MSS (Managed Security Services):
serviços gerenciados de segurança para
sistemas de controle industriais. Detecta e
trata vulnerabilidades em ambientes de TI e
de TA de forma rápida, o que é fundamental
para evitar e mitigar ataques cibernéticos.
• Conta com experiente equipe em detectar
imediatamente ataques cibernéticos e
realizar as contramedidas necessárias e
cobertura 24 x 7 x 365.
• Suporte local no cliente quando necessário.
MAIO DE 2018 - SALVADOR
Contatos