Notas sobre o PCS Forum Café do Rio de Janeiro

Conforme anunciei no post aí mais abaixo, no último dia 04 de junho aconteceu o PCS Forum Café, evento que reuniu profissionais do setor interessados em criar uma filial do forúm principal aqui no Brasil. Estive lá e resumo aqui para vocês alguns pontos relevantes:

1) Ficou claro que se o Forúm quiser ir para frente aqui no país, terá que se organizar legalmente numa entidade, associação ou organização de modo que possa engariar fundos, realizar treinamentos, eventos projetos e etc.

2) A divulgação da proposta do forúm tem que ser mais clara de forma que outras empresas do setor, por exemplo fornecedores e fabricantes, se juntem a nós também.

3) Todo mundo que estava por lá compartilhou os mesmos problemas, mas o ambiente cultural de cada empresa mostrou-se bastante diferente no que se refere como a automação industrial é gerida em cada uma e a sua relação com à área de TI.

4) Não basta traduzir os padrões internacionais, é preciso tropicalizá-los, adaptando aos requerimentos legais e normas locais.

5) Não existe capacitação de mão-de-obra especializada neste setor sendo feita no país. As universidades, escolas técnicas e centros de treinamento não possuem nenhum curso que trata da segurança da informação para redes e sistemas de automação. O grupo concluiu que é uma das prioridades é tentar fomentar a preparação de pessoal qualificado.

O desenrolar desta histório eu vou publicando por aqui.

Grande abraço.

Buffer Overflow atinge o CitectSCADA

Foi descoberta uma vulnerabilidade de buffer overflow que atinge a suíte de produtos, incluindo HMI, CitectSCADA, desenvolvida pela Citect, que permite ao invasor tomar o controle da aplicação e utilizá-la para comprometer a rede de processos, executar shutdowns ou outras manobras não autorizadas. A vulnerabilidade, que, atinge o serviço ODBC do produto, foi descoberta pela Core Security e um patch para solucionar o problema já se encontra disponível.

Se alguém por aí utiliza este produto, certifique-se de fazer uma análise de risco e considerar logo a aplicação deste patch, pois a vulnerabilidade é crítica. Obviamente que ninguém por aí conecta a sua rede SCADA à Internet, certo? Mas mesmo assim, vale a pena considerar a correção.

O que é curioso neste anúncio é o fato de uma empresa como a Core, grande “pesquisadora” de vulnerabilidades do ambiente de TI, estar aplicando recursos para testar e quebrar a segurança de aplicações e produtos para o ambiente industrial. Isso vai de acordo com a tendência atual: os fabricantes de soluções de TI querem entrar neste nicho, mas é preciso que haja o “fato”, ou seja as vulnerabilidades, para justificar os investimentos. Claro que a Core também quer ser reconhecida como especialista no setor, ganhando créditos da comunidade e potenciais clientes para seus serviços de consultoria. Nada de errado nisso, já que o mercado de segurança para a TI tradicional já está abarrotado de fornecedores e a automação é uma área ainda pouco explorada e repleta de oportunidades (e dinheiro!).

Process Control Systems Forum chega ao Brasil

Com o propósito de reunir profissionais das áreas de automação, controle e segurança da informação em torno do tema de segurança de redes e sistema industriais, o PCSF – Fórum de Gestão de Riscos e Segurança da Informação em Ambientes Industriais – está chegando ao Brasil no final de 2008.

O PCSF é uma organização sem fins lucrativos, composta por representantes dos setores público e privado, governos, agências reguladoras e integradores de sistemas. O objetivo é compartilhar experiências e discutir idéias visando a melhoria da segurança das redes de processo, tanto de legado quanto as mais modernas. Precedendo ao evento, o PCS Forum Café

ISA SP99

Você já conhece a ISA SP99? Não? Por onde tem andando, hein? É um dos temas mais quentes do setor no momento, pois a parte 4 que está em desenvolvimento está gerando muita polêmica. Se não conhece dê uma olhada nela aqui.

Firewalls são fáceis, sistemas de automação é que são difíceis…

Traduzo abaixo, com permissões, um excelente artigo do Dale Paterson do excelente DigitalBond. Alías, vale a pena marcar este site em seu bookmark e visitá-lo com freqüência. Segue o artigo traduzido (com pequenas adaptações, mas sem alterar a mensagem).

“Um refrão comum e continuamente repetido na ISA Expo é que os firewalls padrão TI são muito difíceis de configurar e implantar. 

Cisco Systems desativa área de pesquisa em Segurança Industrial

Deu no blog do Dale Peterson, o excelente Digital Bond, e traduzido aqui com sua permissão.

“A Cisco Systems desativou sua unidade “Critical Infrastructure Assurance Group” (CIAG) numa recente reorganização interna. O CIAG era o grupo onde trabalhavam Matt Franz, Darrin Miller, Andrew Wright e outros, desenvolvendo pesquisas e desenvolvimento de soluções para AGA12, Modbus Firewall, SMART, SAFE, CVSS, etc. O fim deste grupo já era de se esperar, uma vez que a Cisco nunca investiu pesado nos resultados dos trabalhos desta unidade. Talvez porque o segmento represente pouco para eles comercialmente.”

Mais hype: Ataque simulado contra uma rede SCADA faz gerador explodir.

Quando falamos de segurança, seja em que área for, temos que cuidar para não misturar mito e realidade, evitar o sensacionalismo, as discussões inflamadas sem base real. O risco é cair no descrédito, como o no conto do menino que sempre inventava histórias e quando finalmente o lobo apareceu, ninguém acreditou nele. A segurança da informação tradicional em TI passou por esta fase, agora quem passa é a segurança em SCADA. Assim como no post abaixo, vou relatar mais um caso pra ser esquecido, pois é sensacionalismo puro. Uma apelação covarde. Vamos a notícia…

Saiu na CNN a seguinte manchete “Mouse click could plunge city into darkness, experts say“, traduzindo “Especialistas alertam: um clique de mouse pode trazer cidades de volta para idade das trevas”, é no mínimo exagerado, para não dizer hilário. A reportagem trata de um vídeo, recém produzido pelo DHS (U.S. Department of Homeland Security) que retrata a simulação de um ataque de hackers (no caso com motivações terroristas) contra uma plata crítica para infra-estrutura americana. No vídeo, um gerador entra em pane, produz muita fumaça e vai pelos ares. Até aí seria uma boa simulação, mas as coisas nem sempre são tão simples. Detalhes de como a simulação foi conduzida vazaram na Internet por um dos técnicos que deram consultoria aos testes, mostrando quanta “apelação” foi feita para resultar em algo que desse um noticiário preocupante.  Quem reporta isso é o Bruce Schneier em seu blog. Aqui segue uma parte do email divulgado:

“By the way — they were unable to hurt the generator you see in the video but did destroy the shaft that drives it and the power unit. They triggered the event from 30 miles away! Then they extrapolated the theory that a malfunctioning generator can destroy not only generators at the power company but the power glitches on the grid would destroy motors many miles away on the electric grid that pump water or gasoline (through pipelines).“

Ou seja, durante o simulado, não conseguiram danificar o gerador…

E também:

“By the way, the vulnerability they hypothesize is completely bogus but I won’t say more about the details. Gitmo is still too hot for me this time of year. “

Sem comentários, o cara está com medo de revelar mais detalhes com medo de parar em Guantânamo (base militar americana onde são mantidos prisioneiros supostos terroristas).

Apenas mais um media hype…

Olá amigos leitores! Estou voltando aos poucos após este longo (pra mim breve…) recesso. Para aqueles que mandaram email de parabéns pelo filhão, meu muito obrigado. Alías, ele vai indo muito bem. Fazendo o que os bebês fazem de melhor!

Vou começar hoje com um link para o artigo recentemente publicado no site Internet Evolution, sobre “como é fácil invadir uma rede SCADA”. Li o artigo inteiro, mais de uma vez. Mas não porque ele seja bom, mas porque tentei encontrar algo novo ou útil ali, mas nada… Apenas hype, ou seja, um título inflamado – “How to take down the Power Grid” – mais parece uma receita de bolo sobre como criar o caos total e conseguir world domination. Após ler, você vai concluir que…

Panasonic lança notebooks certificados para uso militar e industrial

Este post é meio off-topic, porque não trata exatamente de segurança, mas acho que vale a pena a divulgação do meu novo sonho de consumo: este novo Toughbook-30 da Panasonic. Olha a foto do bichinho aí:

Para quem já teve o infortúnio de tentar usar um notebook comum na selva, no deserto ou apenas na praia já percebeu que a poeirada, umidade e outros contaminantes como graxa é óleo tornam esta tarefa impossível. Sim, eu sei que existem diversas opções de notebooks especiais disponíveis por aí. Eu já até usei alguns, e até mesmo o que parece ter sido uma brincadeira da Dell que nos forneceu alguns notebooks comuns equipados com “camisinhas” (calma, não é essa aí não… É apenas uma capa de silicone transparente que é colada sobre o teclado, protegendo-o de líquidos e pó…). Os outros específicos que usei em campo se mostraram pesados, lentos e sem opção de expansão e upgrades. Nem dava para rodar os joguinhos nas horas livres! Outro problema que enfrentamos era com a manutenção e assistência técnica, pois como os equipamentos eram produzidos por empresas especializadas com pouca ou nenhuma representação internacional, qualquer manutenção a máquina tinha que ser enviada para fora. Séculos depois, retornava.

SCADA Security é tema cada vez mais comum em conferências hackers

Para aqueles que ainda acreditam que as redes industriais são seguras porque se baseiam em protocolos e produtos desconhecidos da grande maioria – principalmente da grande maioria de script kiddies e hackers – aqui vai um alerta: o tema de segurança em rede de processos é cada vez mais freqüente no “sub-mundo” e nas conferências de segurança. Prova disso é o recente talk dado por um cara da TippingPoint na conferência LayerOne 2007. Ele não apresentou nada que já não fosse esperado: que os protocolos modbus e etc são inseguros, que os produtos – PLCs e RTUs inclusos – tem um stack TCP/IP ruim e vulnerável etc. etc. etc… mas teve uma repercussão muito negativa. Veja porque adiante.