Seminrio de concluso de disciplina

Redes Scada Ataques e Consequncias

Segurana da Informao e Criptografia Icaro Saggioro 5 Semestre Sistemas Para Internet Fbio Teixeira, Hellen Gouveia, Rafael Rangel

ndice
1. Introduo .............................................................................................. 2 1.1. 1.2. Redes SCADA .............................................................................. 2 Aplicabilidades ............................................................................ 2

2. Caractersticas ....................................................................................... 3 2.1. 2.2. 2.3. Estrutura e componentes ........................................................... 3 Funcionamento............................................................................ 3 Funcionalidades .......................................................................... 4

3. Vulnerabilidades e Solues ................................................................ 5 3.1. 3.2. 3.3. Vulnerabilidades.......................................................................... 5 Solues ...................................................................................... 5 Falhas do Sistema ....................................................................... 6

3.3.1. Erros Tcnicos ................................................................................. 6 3.3.2. Erros ocasionados por invases .................................................... 6 4. Stuxnet ................................................................................................... 7 4.1. 4.2. 4.3. 4.4. 4.5. 4.6. O que ......................................................................................... 7 Infeco e Propagao ............................................................... 7 Ao ............................................................................................. 8 Ataques ........................................................................................ 8 Criadores ..................................................................................... 9 Contramedidas ............................................................................ 9

5. Concluso ............................................................................................ 10 6. Consideraes finais........................................................................... 11 7. Referncias .......................................................................................... 12

1. Introduo
1.1. Redes SCADA sistema de Superviso e Aquisio de Dados O termo SCADA refere-se a uma arquitetura que interliga sistemas de monitorao e controle de processos industriais, os quais possibilitam que atravs de uma central de controle seja possvel supervisionar todos os acontecimentos de um ambiente industrial. Com essa capacidade de monitorar e controlar proporcionada por esses sistemas, que interligados formam uma rede SCADA, o processo de tomada de deciso torna-se mais gil, o que ocasiona um aumento de qualidade nos produtos e servios oferecidos pelas indstrias que fazem uso desse sistema. A qualidade do produto final apenas uma das diversas vantagens que uma rede SCADA proporciona. Com o monitoramento do processo produtivo (presso, temperatura, vazo,...) possvel manter sempre as mesmas caractersticas ao produto, e caso alguma anomalia surja durante a produo, a interveno, e a correo da mesma feita de forma gil, devido rpida deteco, e ao aviso imediato que o operador recebe do prprio sistema. Ao mencionar o operador do sistema, no se pode deixar de citar que com uma estrutura SCADA no necessrio um grande nmero de funcionrios especializados para supervisionar o processo industrial, j que o prprio sistema se encarrega de checar, desde as variveis de produo at as condies em que se encontram as mquinas e os instrumentos industriais. Outra vantagem dos sistemas SCADA a racionalizao dos recursos energticos, resultado da capacidade de controlar elevadores, sistemas de refrigerao e aquecimento, e outros equipamentos eletroeletrnicos, reduzindo o consumo de energia e consequentemente os gastos. 1.2. Aplicabilidades

Com tantas funes e vantagens, alm da robustez e eficincia, os sistemas SCADA so utilizados em diversas reas, tais como, indstrias (metalrgicas, petroqumicas, nucleares, etc), controle ferrovirio e aerovirio, bombas de gua, fornecimento de energia, sistemas de segurana, e at mesmo em presdios e prdios.

2. Caractersticas
2.1. Estrutura e componentes A estrutura de uma rede SCADA basicamente formada por uma estao central de monitoramento, estaes remotas, sensores e atuadores, os quais so componentes que funcionam nas estaes remotas, e a rede de comunicao. A estao central de monitoramento e controle a principal unidade da estrutura, pois para ela que so enviadas todas as informaes coletadas pelas estaes remotas, possibilitando aos operadores do sistema tomar decises, bem como controlar todo o processo industrial, e tornar rpida a deteco de problemas e anomalias, caso ocorram, e da rpida resoluo dos mesmos. Estaes remotas atuam monitorando os processos locais, e armazenando e enviando os dados coletados estao central. A coleta desses dados, como j foi mencionada, feita pelos sensores, que so componentes que monitoram parmetros, tais como temperatura, velocidade e nveis de lquido, e pelos atuadores, os quais, como o nome j diz, atuam sobre o sistema, ligando, desligando ou movimentando equipamentos. A troca de informao entre a estao central e as estaes remotas feita pela rede de comunicao, a qual pode ser implementada usando cabos, fibras pticas ou rede sem fio. O que determina qual meio de transmisso usar o tamanho da rede, e a necessidade de realizar acessos remotos.

2.2.

Funcionamento

A imagem abaixo mostra o funcionamento de uma rede SCADA, onde o Controlador Lgico Programvel (PLC Programmable Logic Controller) controla o fluxo de gua refrigerada, o qual faz parte de um processo industrial.

A princpio, o sistema SCADA l a medida do nvel e do fluxo e envia o valor desejado aos PLCs. Ento o PLC1 compara o valor do fluxo medido com o valor passado pelo sistema SCADA, e age controlando a velocidade da bomba. O PLC2 tambm compara o valor medido do nvel com o valor passado, e age controlando o fluxo.

2.3.

Funcionalidades

Alm das principais funcionalidades (supervisionar, controlar e monitorar) oferecidas pelos sistemas SCADA, deve-se citar a forma de interao entre o usurio e as estaes de controle, a qual feita atravs de uma interface grfica, tambm chamada de Interface Homem Mquina. As telas de sinticos tambm so funcionalidades que facilitam para o operador a monitorao dos processos industriais, j que estas mostram tais processos de forma resumida. Caso algo de anormal acontea em alguma parte do ambiente industrial, o operador recebe um aviso do sistema alertando sobre o evento. Tal aviso uma funcionalidade conhecida como alarme, e muito til, porm, se esses avisos aparecerem com muita frequncia, pode causar certo estresse no operador do sistema. E como todo bom sistema, os sistemas SCADA oferecem a emisso de relatrios, podendo estes serem de alarmes, acessos, alterao de variveis,
4

entre outros fatores que sejam necessrios para o controle ou anlise dos processos industriais.

3. Vulnerabilidades e solues
3.1. Vulnerabilidades Quando as redes SCADA surgiram, elas apresentavam uma arquitetura fechada, ou seja, no estavam ligadas a outras redes, portanto, pode-se dizer que eram mais seguras. Mas com os avanos tecnolgicos, e a nsia de obter mais facilidade e rapidez em todo o processo industrial, as redes SCADA tornaram-se mais abertas, sendo integradas s redes coorporativas (intranet) e at mesmo internet. Essa integrao com outras redes a maior vulnerabilidade de uma rede SCADA, j que no dada a ateno necessria segurana dessas redes, o que torna todo o sistema vulnervel a ataques e invases. Ameaas como vrus e worms no so as mais preocupantes, pois na maioria dos casos, eles so usados para roubar informaes, ou abrir uma brecha para um ataque direto, mas um firewall bem configurado, um antivrus eficiente e uma boa poltica de segurana podem minimizar significantemente os riscos a essas ameaas. J os ataques diretos so os de maior preocupao, pois alm de ter acesso s informaes, o atacante consegue manipular o sistema, o que pode gerar muitos prejuzos. Deve-se salientar que, muitas vezes, a porta de entrada de um cibercriminoso ao sistema SCADA, uma falha de segurana de outra rede que esteja integrada SCADA. 3.2. Solues

Como soluo as vulnerabilidades citadas, recomenda-se investir em softwares como firewalls e antivrus de qualidade, como forma de prevenir que a rede seja infectada e invadida por mal-intencionados. Alm de investir em softwares e em hardwares, preciso tambm treinar as pessoas que trabalham na rede, tanto os que lidam diretamente com os sistemas de controle (SCADA), quanto aos outros usurios das redes que estejam ligadas a rede SCADA, para que saibam como proceder ao fazer uso de um equipamento, para que por um descuido, no venham abrir uma porta para invasores. Para ajudar a educar os usurios, uma boa poltica de segurana muito recomendada, principalmente quando essa abrange punies aos infratores que seguirem as recomendaes dadas.
5

Tambm muito vlido investir em auditorias realizadas por empresas especializadas em segurana de redes, pois estas possuem a capacidade de detectar e corrigir falhas na segurana, as quais poderiam ser usadas por potenciais atacantes. 3.3. Falhas do sistema 3.3.1. Erros tcnicos Um dos incidentes causados por falha no sistema SCADA foi a exploso de um oleoduto em Bellingham (EUA), no dia 10 de junho de 1999. Segundo o as investigaes realizadas pela percia, a exploso ocorreu devido a um vazamento de gasolina, ocasionado por uma falha no sistema que no detectou a ruptura do oleoduto. O resultado da exploso foram trs mortos, 8 feridos e mais de 26 hectares de vegetao queimados. 3.3.2. Erros ocasionados por invases So diversos os casos de invaso de redes Scada, um bom exemplo o ataque usina nuclear de DavisBesse, Ohio, atravs do worm Slammer, o qual provocou uma sobrecarga na rede, fazendo com que os sistemas ficassem inacessveis por horas. Apesar da existncia de um firewall entre a rede de controle e a rede da empresa, um computador de uma empresa de consultoria de software estava conectado por trs do firewall, o que possibilitou a entrada do worm na rede da usina. Outro exemplo foi a invaso rede SCADA da bomba dgua em Ilinois (Springfield, IL, EUA), o que resultou na destruio da mesma. O atacante invadiu o sistema SCADA, e uma vez tendo o controle da bomba, comeou a deslig-la e lig-la inmeras vezes, e no preciso dizer que uma bomba daquele porte no suporta muitas operaes de liga-desliga. Como os sistemas SCADA esto presentes em diversas reas, no so apenas as indstrias e bombas dgua que esto sujeitas as invases. Existem prises nos Estados Unidos que usam SCADA para abrir e fechar os portes de celas. Nenhum ataque foi realizado, mas pesquisadores, para fins de teste, conseguiram, sem nenhuma dificuldade, abrir os portes sem que os guardas fossem alertados. Esses exemplos demonstram o quo importante a segurana de sistemas SCADA.

4. Stuxnet
4.1. O que Stuxnet o nome do vrus que em 2010 gerou muita repercusso no mundo por ter sido o primeiro vrus desenvolvido para atacar redes SCADA, e principalmente pela arquitetura e modo de agir do mesmo. Por ser um worm, ou seja, um programa auto replicante e de rpida e fcil propagao, j motivo suficiente para se atentar a essa ameaa (Stuxnet). Mas a grande admirao e preocupao dos especialistas em segurana da informao o fato de que esse worm capaz de reprogramar CLPs (controlador lgico programvel) sem que tais mudanas sejam notadas. Esse vrus ataca, principalmente, os sistemas Simatic e Step 7, sistemas SCADA desenvolvidos pela Siemens, e computadores que utilizam Windows como sistema operacional, pois como ser apresentado no decorrer deste trabalho, esse worm se aproveita das vulnerabilidades dos sistemas citados para se propagar e atacar.

4.2.

Infeco e Propagao

A infeco ocorre por meio de dispositivos USB, uma vez que os sistemas SCADA, geralmente, no possuem conexo com a internet. E o uso de dois certificados legtimos, roubados, da Realtek e JMicron (empresas fabricantes de circuitos integrados), garantem uma perfeita estratgia de camuflagem. O vrus possui uma estrutura complexa controlada por um arquivo .dll , o qual contm os cdigos e rotinas que conduzem o worm infeco. O motivo de esse malware atacar mquinas que possuam o Windows como sistema operacional, o fato de que ele explora vulnerabilidades conhecidas como o-day, dia zero, que so problemas de software que no foram descobertos, portanto, no foram resolvidos (exploits). por esse motivo que o stuxnet consegue se propagar sem ser notado. A propagao por meio do sistema de arquivos, ocorre por meio da brecha CVE-2010-2568, que afeta a exibio de atalhos do sistema, ou seja, para que o cdigo nocivo seja executado, no necessrio nenhum clique do usurio, bastava que fosse exibido um atalho referente ao arquivo malicioso. Outra forma de executar os cdigos maliciosos, dessa vez, remotamente, e proporcionar a infeco, atravs da falha MS10-061. Essa falha, que est relacionada ao spooler de impresso, que o responsvel por enviar para a
7

impressora as informaes dos documentos que precisam ser impressos, permite essa execuo de cdigos de forma remota. Mais uma vulnerabilidade do Windows explorada pelo stuxnet a MS08067, que tambm possibilita que sejam executados, remotamente, cdigos arbitrrios (que no podem ser interpretados pelo sistema operacional), ocasionando a propagao do malware s outras mquinas da rede.

4.3.

Ao

Depois de infectar uma mquina, o worm executa suas rotinas at que seja encontrado um equipamento que possua os arquivos do Step7, o qual utilizado para programar os CLPs. Aps encontrar seu alvo, o malware consegue ter acesso ao servidor do banco de dados do aplicativo, devido a uma vulnerabilidade no sistema Step7, pois a empresa fabricante (Siemens) faz uso de uma senha no software base que no pode ser modificada. De forma resumida, o vrus se infiltra em uma das mquinas da rede, usa as vulnerabilidades do sistema operacional (Windows) para se propagar e encontrar a plataforma de controle, sistema da Siemens, facilmente invadida por usar uma senha nica, e que no pode ser mudada, no software base. Depois de todo esse processo, o malware, que obtm acesso a todos os controles industriais gerenciados pelo sistema SCADA, estabelece uma ponte entre o sistema e um servidor remoto, que para onde so enviadas as informaes roubadas, como pesquisas, segredos industriais, projetos, enfim, diversas informaes valiosas para a empresa. E alm de permitir a espionagem industrial, o atacante pode controlar o sistema, alterando variveis do processo industrial, como presso e temperatura, podendo ocasionar a destruio de mquinas e equipamentos, at mesmo exploses.

4.4.

Ataques

O primeiro ataque realizado por esse malware foi o ataque indstria nuclear iraniana. O modo como o vrus conseguiu se infiltrar na rede foi atravs de pen-drives infectados, juntamente com sua alta capacidade de replicao. Bastava que algum usurio simplesmente abrisse uma pasta infectada para que sua mquina fosse infectada tambm. Logo, toda a rede estava tomada por essa praga.
8

Para conseguir que o pen-drive de um funcionrio da indstria fosse infectado, os criadores do vrus o disseminaram na internet, fazendo com que milhares de computadores domsticos fossem infectados, porm, como o foco so as redes SCADA, o vrus inofensivo aos mesmos. O objetivo do worm na indstria nuclear era fazer com que as centrfugas girassem 40% mais rpido por quinze minutos, causando rachaduras nas mesmas. Alm, de tambm gravar dados telemtricos de uma operao normal das centrfugas e depois reproduzir esses registros, fazendo com que a alterao de velocidade passasse despercebida pelos operadores do sistema. Mas a descoberta do vrus pela VirusBlockAda, evitou que uma catstrofe acontecesse, e possibilitou o estudo de tal vrus, para que os softwares de segurana possam oferecer proteo contra ameaas parecidas. At outubro de 2010, a Siemens havia notificado que quinze sistemas industriais tinham sido infectados no mundo todo, porm, em todos os casos a remoo do malware ocorreu com sucesso, e nenhum dos sistemas teve algum impacto ou reao adversa.

4.5.

Criadores

Os criadores do vrus no foram descobertos, porm, especialistas acreditam que o malware foi criado por um grupo de pessoas que possuam um grande conhecimento em diversas reas, como, sistemas SCADA, engenharia, fsica, alm de programao, pois sabiam muito bem o que fazer para ter sucesso na infeco do sistema, e principalmente, o que fazer depois de ter acesso ao mesmo. Alguns especulam que o tal grupo de criadores tenham sido financiados pelo governo de algum pas, provavelmente, que tivesse interesse em prejudicar as indstrias nucleares do Ir.

4.6.

Contramedidas

Uma das principais orientaes para evitar o ataque de worms, principalmente do stuxnet, manter o sistema operacional atualizado, instalar os pacotes de correes, dificultando assim que o malware consiga infectar e se propagar na rede. Manter atualizados antivrus e firewalls, os quais dificultam o ataque externo. Principalmente se a indstria possuir conexo com a internet.

Nesse caso, tambm de grande importncia limitar o acesso a sites externos, e a e-mails. Com a descoberta do vrus, e devido a sua grande engenhosidade, muitas empresas de segurana esto trabalhando para descobrir do que o vrus realmente capaz, e assim, criar ferramentas para preveni-los e combatelos. Para evitar um ataque interno, recomenda-se desabilitar as portas USB, pois como foi exposta, a infeco do stuxnet ocorreu atravs de dispositivos USB. Manter os servidores em um datacenter, limitando o acesso esses somente pessoas autorizadas, como forma de prevenir que um atacante consiga ter acesso aos mesmos e infect-los. A possibilidade de um ataque fsico no pode ser desconsiderada. Mas nenhuma dessas medidas ser to eficaz, se os funcionrios no forem doutrinados a segui-las, e respeit-las. Por isso, importante que haja uma boa poltica de segurana, e treinamento aos funcionrios.

5. Concluso
Sistemas SCADA so de grande importncia no mbito industrial, pois oferecem facilidade, praticidade e eficincia no gerenciamento de toda atividade industrial. Podendo at mesmo, o uso de solues SCADA serem consideradas indispensveis, pois garantem uma preciso no controle de variveis do processo industrial muito maior, garantindo que os produtos tenham qualidade e caractersticas padronizadas. Outra vantagem, j citada, desse tipo de sistema, a economia de gastos, tanto de energia, gua e recursos, quanto de mo-de-obra, pois fato que o trabalho que necessitaria de muitos funcionrios, como por exemplo, controlar o funcionamento de mquinas, ou inspecionar a situao fsica das mesmas, desempenhado pelo SCADA com muita eficincia e rapidez. Mas, como todo sistema, os SCADAs tambm possuem falhas, que podem ser tcnicas, como foi exposto no exemplo da exploso de um oleoduto em Bellingham, que , tanto de responsabilidade da empresa desenvolvedora do sistema, como tambm da prpria empresa que faz uso do mesmo, pois, nesse caso do oleoduto, a empresa no atentou para as falhas que o sistema havia apresentado.
10

E falhas de segurana, as quais deixam o sistema e todo o ambiente industrial, vulnerveis a ataques cibernticos, que podem causar estragos lgicos, fsicos e consequentemente, econmicos. Como o caso do vrus Stuxnet, que foi criado exclusivamente para atacar esse tipo de arquitetura (SCADA), se aproveitando de todas as brechas e vulnerabilidades da mesma. Atravs do ataque indstria nuclear do ir foi constatado o quanto o malware denominado stuxnet eficaz, e o quo banal parecia a segurana desse tipo de sistema, para as indstrias. Apesar da possibilidade de que algo pior acontecesse devido a esse ataque a indstria iraniana, deve-se extrair um ponto positivo, a descoberta desse worm tem proporcionado aos especialista em segurana da informao, uma viso de como ser as armas de uma possvel guerra ciberntica, e estarem preparados para oferecer proteo, e at mesmo, contra-ataque.

6. Consideraes finais
Apesar de j fazer dois anos da descoberta do vrus Stuxnet, ainda no se pode afirmar com certeza quem so os seus criadores. O jornal The New York Times divulgou uma matria, onde afirma que o worm foi desenvolvido pelos governos dos Estados Unidos e Israel, e em outra matria, chega a dar detalhes da operao chamada Olympic Games, a qual teve como resultado o malware stuxnet, com direito a depoimentos de oficiais que participaram da operao. Outras matrias relacionadas ao stuxnet, dizem que outros malwares derivaram do worm que atacou a indstria nuclear do Ir, como por exemplo, o Duqu, o qual possui partes de seu cdigo muito semelhantes ao do stuxnet, porm, ele no capaz de alterar as rotinas da indstria, apenas possibilita o acesso remoto aos atacantes, para que esses possam roubar dados importantes. Especialistas da Kaspersky chegaram a mencionar uma plataforma apelidada de Tilded, a qual, segundo eles, formada por vrios worms, dentre eles o Stuxnet e Duqu, onde cada worm tem uma funo, um completando o outro. O diretor de pesquisas da Kaspersky, Raiu, definiu essa plataforma como um lego, onde voc pode usar os componentes para montar qualquer coisa.
11

7. Referncias
http://www.projetoderedes.com.br/artigos/artigo_redes_de_supervisao_e_contr ole.php http://pt.wikipedia.org/wiki/Scada http://www.ebah.com.br/content/ABAAAelEQAF/ex-progr-scada http://www.slideshare.net/tisafe/apresentao-tcnica-segurana-scada-realizadano-isa-show-2011 http://pt.scribd.com/doc/39225096/32/ACOES-DA-PREFEITURA http://www.gris.dcc.ufrj.br/news/falhas-nos-sistemas-scada-sao-exploradaspara-abrir-portas-de-prisao http://terramagazine.terra.com.br/silviomeira/blog/2011/11/19/o-ataque-bombadgua/ http://infrasecurity.wordpress.com/2010/07/22/novo-virus-usa-vulnerabilidadedo-windows-para-atacar-redes-scada/ http://www.tecmundo.com.br/virus/5878-stuxnet-o-virus-dapesada.htm#ixzz1Ju2h18OR http://adrenaline.uol.com.br/seguranca/artigos/122/stuxnet-do-que-elerealmente-e-capaz.html?pg=1

http://adrenaline.uol.com.br/seguranca/noticias/10893/stuxnet-e-apenas-umade-cinco-armas-digitais.html http://adrenaline.uol.com.br/seguranca/noticias/10179/symantec-encontra-novaameaca-relacionada-ao-stuxnet.html http://adrenaline.uol.com.br/seguranca/noticias/12792/presidente-obamasabotou-programa-nuclear-iraniano-com-o-stuxnet.html http://adrenaline.uol.com.br/seguranca/noticias/7326/stuxnet-foi-criado-porestados-unidos-e-israel.html

12