Protocolos industriais seguros, whitelisting de protocolos e fortificação de servidores de comunicação para aumentar a segurança das comunicações industriais

Um dos traços diferenciadores mais importantes existentes entre as redes IT e as redes OT é a utilização do que se denomina protocolo industrial nas redes de operação para comunicar dispositivos de campo entre si (PLC, RTU, controladores de forma horizontal) ou comunicar estes dispositivos com sistemas de tempo real (tipo HMI, SCADA, MES de forma vertical).

Estes protocolos, entre os quais se encontram, por exemplo, Modbus, Profibus, OPC, Ethernet/IP, DNP3, etc., caracterizam-se, entre outras coisas, por serem muito heterogéneos (ao contrário do que acontece no âmbito das tecnologias de informação no ambiente corporativo, onde organizações como a IETF e a ISCO, através dos seus RFC, padronizam a prática totalidade dos protocolos, no âmbito industrial cada fabricante define o seu próprio) e por não serem seguros.

Ou seja, as comunicações nos ambientes OT através da maioria dos protocolos industriais carecem da possibilidade de autenticação, autorização, encriptação e/ou auditabilidade. Isto faz com que as tecnologias e arquiteturas de comunicações industriais sejam um objetivo claro de ataques que podem afetar principalmente a integridade e a disponibilidade dos sistemas de controlo, afetando negativamente a normal execução dos processos de produção. A suplantação entre mestres e escravos que falam um determinado protocolo, o “sniffing” de protocolos para alterar as funções ou objetos típicos de um protocolo, a realização de ações não permitidas ou ataques de negação de serviço são apenas algumas das ameaças associadas ao comportamento não seguro das comunicações industriais.

Tendo em conta este contexto, a indústria dispõe de três formas básicas de assegurar as comunicações industriais:

1. Utilizar especificações associadas a protocolos industriais seguros.
2. Incorporar tecnologias específicas que dotem de segurança protocolos industriais não seguros.
3. Fortificar os servidores que centralizam as comunicações industriais.

Atualmente, as especificações mais conhecidas no âmbito industrial que proporcionam segurança aos protocolos são as seguintes: A realizada pela OPC Foundation através de OPC UA (Open Connectivity Unified Architecture) e a realizada pela IEC (International Electrotechnical Commission) através da série IEC 62351, que dota de segurança, por sua vez, a série de protocolos TC 57, entre os quais se incluem os IEC 60870-5 series, IEC 60870-6 series, IEC 61850 series, IEC 61970 series e os IEC 61968 series.

No que diz respeito às tecnologias específicas que dotam de segurança protocolos industriais não seguros, é possível levar a cabo a segregação de redes e/ou assegurar a integridade dos protocolos utilizando o que se denomina whitelisting de protocolos. Ou seja, trata-se de incluir tecnologias que assegurem que a comunicação entre os dispositivos de campo entre si ou entre os dispositivos e os sistemas de tempo real se realiza utilizando um determinado protocolo no qual foi realizada uma lista branca de funções e objetos específicos associados ao protocolo selecionado. Por outro lado, a utilização de padrões tradicionalmente vinculados aos ambientes IT como OpenVPN pode ser uma boa prática para encriptar e autenticar protocolos industriais. Neste caso, a solução passa por criar redes privadas virtuais (VPN) entre os dispositivos de campo e os sistemas de tempo real para que esta comunicação não se realize de forma clara. Neste ponto, será crucial avaliar o atraso nas latências das comunicações. Também existem tecnologias que permitem encriptar e autenticar utilizando chaves simétricas como AES256 tráfego industrial, tornando-o seguro.

No que diz respeito a fortificar servidores de comunicação, é conhecido que cada vez se implementam servidores dedicados a centralizar as comunicações industriais. Com a irrupção da especificação/tecnologia OPC, isto é uma prática habitual. Estes servidores, que se implementam tanto em formato tradicional como virtualizado, devem estar física e logicamente protegidos. A sua alteração, ataque ou mau funcionamento afetaria a visibilidade da fábrica e dos processos. Uma forma tradicional de assegurar a disponibilidade dos servidores de comunicação é recorrer a procedimentos que permitam que os servidores sejam tolerantes a falhas. Entre elas, a mais conhecida é a de implementar arquiteturas redundantes de servidores de comunicação. Em paralelo, acontece que nestes servidores dedicados de comunicação industrial não foi instalado nenhum tipo de solução antimalware, já que o fabricante do servidor OPC não o recomenda e/ou suporta, são críticos e, em muitas ocasiões, não podem ser parados nem reiniciados para realizar atualizações e/ou estão isolados e não podem ser atualizados pela rede. Nestes casos, a utilização de ferramentas de análise de malware realizada de forma manual e não invasiva (sem instalar agentes) ou a instalação de software específico que permita realizar “whitelisting” ou “lockdown” de aplicações são soluções que permitem também fortificar os servidores de comunicação industrial.