Falhas de Segurança em Produtos de Tecnologia Operacional

No mundo de hoje, muitas máquinas e sistemas que fazem nossos serviços essenciais, como eletricidade e água, dependem de algo chamado Tecnologia Operacional (OT). Esses sistemas controlam e monitoram processos importantes em indústrias como manufatura e energia. No entanto, investigações recentes mostraram que muitos desses produtos de OT têm sérios problemas de segurança.

#Problemas Encontrados nos Produtos de OT

Um estudo analisou 45 tipos diferentes de produtos de OT de dez grandes empresas. Os resultados foram alarmantes: cada produto tinha pelo menos uma fraqueza de segurança. No total, foram relatadas 53 fraquezas diferentes, principalmente por causa de designs inseguros e práticas de segurança ruins. Essas fraquezas podem permitir que atacantes desliguem dispositivos, mudem suas configurações ou até rodem códigos prejudiciais.

#Certificações e Realidade

Curiosamente, muitos desses produtos problemáticos também tinham certificações de segurança. Isso levanta questões sobre quão eficazes são essas certificações. Só porque um produto é certificado, não significa que seja totalmente seguro. Parece que alguns produtos parecem seguros no papel, mas, na real, têm vulnerabilidades que poderiam ser facilmente exploradas.

#O que é Tecnologia Operacional?

Tecnologia Operacional se refere ao hardware e software que controlam e monitoram máquinas e processos diretamente. Isso inclui sistemas chamados Sistemas de Controle Industrial (ICS), que desempenham um papel crucial na gestão de processos vitais para as indústrias. ICS pode incluir sistemas de Controle e Aquisição de Dados (SCADA), que gerenciam processos físicos à distância, comunicando-se com dispositivos específicos.

Outro aspecto importante desses sistemas são suas interfaces, conhecidas como Interfaces homem-máquina (HMIs). HMIs permitem que operadores vejam e controlem processos graficamente, o que é essencial para gerenciar operações complexas.

#Estudo dos Produtos

Para entender melhor a segurança desses produtos de OT, o estudo se aprofundou nos detalhes técnicos de cada um. Eles analisaram manuais de instalação e documentos regulatórios para compreender as características de programação e segurança envolvidas. O estudo prestou atenção especial a vários componentes de software e examinou como eles se comunicavam por redes.

#Fraquezas Encontradas

As descobertas revelaram várias fraquezas em geral. Alguns problemas comuns incluíram:

1. Problemas de Autenticação: Muitos dispositivos não tinham checagens adequadas para confirmar identidades de usuários antes de permitir acesso.
2. Proteção de Dados Fraca: Certas informações sensíveis não eram devidamente criptografadas, facilitando o roubo por atacantes.
3. Falta de Medidas de Controle: Alguns dispositivos permitiam mudanças não autorizadas nas configurações, o que poderia atrapalhar operações.

Uma das categorias mais preocupantes de vulnerabilidades era a capacidade de manipular dispositivos, afetando suas configurações e operações críticas. Também havia problemas sérios que permitiam que atacantes assumissem o controle dos dispositivos remotamente.

#Engenharia Reversa para Segurança

Para avaliar a robustez desses sistemas, o estudo incluiu engenharia reversa dos protocolos usados nas comunicações entre dispositivos. Eles analisaram como os dados são estruturados e o que significam para identificar falhas. Isso incluiu avaliar como bem os dispositivos protegiam operações sensíveis de acessos não autorizados.

#Protocolos de Teste

Os pesquisadores seguiram um processo rigoroso para garantir precisão. Eles validaram suas descobertas por meio de vários métodos para eliminar erros. Seguiram práticas responsáveis de relato e comunicaram suas descobertas aos fornecedores. No entanto, algumas desavenças surgiram, com alguns fornecedores contestando certas vulnerabilidades. Em casos de conflito, os pesquisadores se envolveram em discussões para garantir clareza.

#Composição de Software

A investigação revelou que uma parte significativa do software foi escrita em C++, uma linguagem de programação complexa. Outras linguagens incluíram C, Delphi e Visual Basic. Em termos de firmware, foi principalmente composta de assembly e C/C++. Essa complexidade aumenta o desafio de garantir segurança, já que vulnerabilidades podem estar profundamente embutidas em estruturas de código intricadas.

#Indústrias Comuns Atingidas

Produtos de OT vulneráveis foram encontrados em várias indústrias-chave, incluindo tratamento de água, petróleo e gás, e geração de energia. A manufatura foi o setor mais afetado, com uma presença notável na saúde e varejo também. Essas descobertas destacam a natureza disseminada das vulnerabilidades em infraestrutura crítica.

#Exposição Pública de Dispositivos Vulneráveis

O estudo usou fontes de dados online para identificar quantos desses dispositivos vulneráveis estavam expostos à internet. Foram encontrados milhares de dispositivos acessíveis publicamente, o que cria um risco significativo. Os produtos mais expostos eram de empresas renomadas, com uma concentração notável localizada na Europa.

#Certificações de Segurança Enganosas

Uma preocupação significativa é que muitos produtos inseguros possuem certificações que supostamente garantem sua segurança. Por exemplo, mais de 70% dos produtos examinados tinham certificações que alinhavam-se a vários padrões de segurança. No entanto, foi descoberto que alguns produtos alegavam certificações mais altas do que realmente tinham. Essa discrepância sugere uma falha na confiabilidade das certificações de segurança.

#Medidas de Segurança Ambíguas

Muitos dos padrões de segurança não são claramente definidos, tornando difícil a interpretação. Por exemplo, termos que descrevem diferentes níveis de segurança muitas vezes são vagos. Sem uma compreensão concreta do que esses níveis envolvem, é desafiador avaliar a segurança de um produto de forma precisa.

#Limitações nos Testes

Os processos de teste para essas certificações às vezes não cobrem todos os aspectos de um produto. Em muitos casos, apenas certas áreas são avaliadas, deixando outras fraquezas potenciais sem exploração. Isso pode resultar em certificações sendo concedidas mesmo quando riscos significativos permanecem não abordados.

#Gestão de Risco Inadequada

Há uma lacuna notável na comunicação sobre os riscos associados a dispositivos de OT. Os fornecedores frequentemente não compartilham informações suficientes sobre como seus produtos podem ser explorados. Empresas que usam esses dispositivos podem confiar nas orientações dos fornecedores, mas essa informação é muitas vezes incompleta ou atrasada. Essa falta de transparência pode deixar os usuários vulneráveis a ataques.

#Desafios nas Vulnerabilidades da Cadeia de Suprimentos

Um sistema comum de tempo de execução usado por vários fornecedores levantou sinalizadores vermelhos devido às suas fraquezas de segurança. A complexidade das cadeias de suprimento de produtos muitas vezes obscurece os reais riscos, dificultando a rastreabilidade de vulnerabilidades entre diferentes fabricantes. Algumas vulnerabilidades descobertas em um produto de um fornecedor podem passar despercebidas em outros que utilizam os mesmos componentes.

#Conclusão

Essas descobertas pintam um quadro preocupante do estado da segurança nos produtos de Tecnologia Operacional. Apesar dos esforços para melhorar a segurança, muitos sistemas continuam vulneráveis por design. A presença de certificações de segurança não garante segurança, uma vez que muitos produtos certificados ainda revelam falhas sérias. A pesquisa sublinha a necessidade de uma reformulação na forma como a segurança é avaliada e comunicada em setores de infraestrutura crítica. Sem melhorias significativas, o risco de ciberataques em serviços essenciais pode continuar a crescer.