A Simens liberou um update para o sistema Simatic WinCC, alvo escolhido pelo primeiro vírus escrito para invadir redes SCADA (veja os posts anteriores). Pela documentação que acompanha o update, parece que por hora, trata-se de uma solução ainda paliativa e provisória.
Extraído das instruções do update:
“This Security Update supports you in protecting your SIMATIC system from malware that is
currently being distributed due to a security breach in the Microsoft Windows operating
system.“
Comentário: A culpa não é apenas na Microsoft, como se o “backdoor” no sistema não tivesse lá…
Aqui uma nota interessante:
“Note
If your SIMATIC system is located in a locked room with access restricted to authorized
personnel, you will not have to execute this Security Update.“
Comentário: segurança é uma coisa que a gente pratica em camadas, igual a cebolas e ogros (!). Então, a Siemens está afirmando que se o sistema está localizado numa sala fechada, com acesso restrito apenas o pessoal autorizado, não precisa do update? Calma, as vezes eu sou meio radical, mas não parece uma afirmação idiota? Vejam, qual sistema de automação fica instalado no meio do corredor do escritório com acesso livre para qualquer pessoa? Eu nunca vi. Sim, tem painéis e consoles HMI as vezes instalados pela planta, alguns embutidos numa máquina etc, mas parece que a Siemens está querendo dizer que a única forma de contaminação é via drives USB, já que todas as empresas possuem um perímetro entre a rede corporativa e de automação 100% impenetrável e a prova de falhas, certo? Certo? Ei, certo? Eu discordo. Uma das lições que se pode aprender com a prática de segurança de redes corporativas é que nenhum perímetro é totalmente seguro. Ele pode ser muito seguro, mas nunca 100%. Até os melhores firewalls estão sujeitos a falhas ou erros de configuração. Então, a melhor prática aqui é aplicar as camadas: ok, meu perímetro é seguro, não entra terceiros aqui, meu pessoal é treinado a não usar drives USB ou outras mídias (aliás, já está tudo bloqueado), mas ainda assim vou aplicar o update porque “seguro morreu de velho!” e eu não vou deixar o meu na reta…
Brincadeiras a parte, cabe a cada gestor avaliar os riscos envolvidos. Não aplicar o patch, sigifica que a vulnerabilidade ainda vai continuar por lá, mas riscos não levam em conta apenas a presença da vulnerabilidade. Devemos também calcular a probabilidade dela vir a ser explorada, levando em consideração as ameaças (nesse caso o vírus), o grau de exposição (o sistema está em rede? pessoal usa pen-drives ou outras midias? etc) e o impacto para o negócio caso o ataque tenha sucesso. Se este risco for menor do que o risco de algo sair errado ao se aplicar o patch (sim, updates para corrigir um certo problema, as vezes trazem outros…), então deixe como está. No entanto, se o patch for bem testado e não criar maiores transtornos para ser aplicado, vale a pena. Concorda?
O que será alterado pelo update:
“Scope of delivery
The following actions will be executed during installation of the SIMATIC Security Update:
- Registry settings will be modified to close the Microsoft security hole. This step implements the Microsoft workaround according to Advisory version 1.2.
- SQL Server settings will be adapted to the latest security settings. This step will make for stricter authentication, which means access does not provide administrative access rights any longer.“
Ou seja, seus ícones irão sumir! Claro, a MS ainda não liberou uma correção final, então só vale o “bacalhau” de remover a renderização dos ícones. Imaginem o impacto disso para os operadores! Isso é um grande transtorno. Usuários costumam ser visuais, eles olham a figura do ícone e as vezes nem leem o nome. Tem ícone em que o nome também não ajuda “Atalho para mgrsp.exe” e isso pode criar dificuldades. Por isso, ao perde-los, tenha certeza de que os nomes estejam bem claros. Talvez essa seja a maior razão para Siemens só recomendar o update para sistemas com maior grau de exposição.
A segunda alteração faz-se no banco de dados, removendo a autenticação integrada, o usuário da aplicação perde os direitos administrativos. Não ficou claro se perde apenas os privilégios no Windows ou também na aplicação como um todo. Acho que deveria perder em ambos.
E por último:
“After a Microsoft Security Update has been made available you will receive another SIMATIC Security Update to restore the icons.“
Então em breve será lançado uma solução final. Vamos aguardar a Microsoft. Ela costma liberar seus updates uma vez por mês, na chamada “tuesday patch day”. Em casos muito críticos ela lança um update fora dessa agenda. Em problemas passados, mesmo considerados críticos pela comunidade, ela esperou pela agenda.
Ah, já ia me esquecendo da URL para o update da Siemens: http://support.automation.siemens.com/WW/view/en/43876783
UPDATE 01 – 02/Ago/10: A Microsoft liberou um patch fora do seu ciclo normal de lançamento para fechar uma das vulnerabilidades exploradas pelo Stuxnet. Veja o link http://www.microsoft.com/technet/security/bulletin/MS10-046.mspx
UPDATE 02 – 18/Ago/10: A Siemens atualizou a versão do SIMATIC Security Update. A ferramenta agora tem a capacidade de limpar os arquivos de projeto contaminados pelo vírus, removendo os blocos de programação inseridos por ele.
