[Segurança] Relatório do SANS sobre o estado de Cibersegurança em ICS/OT

No início deste mês, o SANS Institute lançou a nova edição da sua pesquisa SANS 2024 State of ICS/OT Cybersecurity, que é realizada desde 2017.

Esse estudo mostra o status da ciber segurança dos sistemas de controle industrial (ICS) e de tecnologia operacional (OT) com dados reais do mercado, fruto de entrevistas com mais de 530 profissionais de cibersegurança em empresas do setor industrial e crítica infraestrutura em diversos países ao redor do mundo.

O estudo indicou um progresso significativo em comparação com os relatórios de anos anteriores. Um avanço notável, por exemplo, é a detecção aprimorada de ameaças: embora apenas 33% dos entrevistados tenham utilizado monitoramento específico de TO em 2019, esse indicador aumentou para 52% em 2024.

Apesar deste progresso, ainda existem números que demandam atenção nos níveis de preparação e de pessoal. Apenas 34% dos entrevistados usam ferramentas de segurança específicas para ICS/OT para se prepararem para incidentes cibernéticos. Além disso, mais de metade dos entrevistados (51%) não possui quaisquer certificações profissionais para estes sistemas.

Outra tendência significativa apontada no relatório do SANS é a crescente adoção de soluções em nuvem na área de ICS/OT, que aumentou 15%, especialmente em ambientes não regulamentados. Eles também abordam a adoção da Inteligência Artificial (IA), que ainda é incipiente no setor de controle industrial. Apenas 10% dos entrevistados já estão usando IA em redes de TI empresarial e ICS/OT. Outros 19% estão testando IA em ambientes de laboratório. Já 33% relatam nenhum uso ou teste de IA.

O relatório traz, no início, um destaque aos pontos que acredita serem mais relevantes do estudo:

• Um pouco nebuloso: 26% dos entrevistados agora estão utilizando tecnologias de nuvem para aplicativos ICS/OT, marcando um aumento significativo (+15%) em relação aos anos anteriores.
• Dores crescentes da força de trabalho: 51% dos entrevistados não possuem nenhuma certificação profissional específica sobre ICS/OT, indicando uma necessidade crítica de acesso a programas aprimorados de treinamento e certificação.
• Resposta a incidentes “quem tem e quem não tem”: 56% das organizações têm um plano dedicado de resposta a incidentes para o ambiente de ICS/OT, embora 28% ainda não tenham tal plano.
• MFA para (quase) todos: 75% dos entrevistados implementaram autenticação multifator (MFA) para acesso remoto a sites industriais, mostrando melhoria constante na proteção de pontos de acesso.
• Adoção limitada de IA: apenas 10% dos entrevistados estão atualmente usando IA em suas estratégias de segurança ICS/OT, embora o interesse esteja crescendo.
• Padrões e inteligência lideram a maturidade: Ao longo do relatório, uma coisa fica clara: quanto mais as organizações usam padrões adotados pelo setor e inteligência de ameaças específicas para ICS, mais maduras são suas capacidades cibernéticas gerais.

O relatório é bem extenso e completo, bem didático e com vários gráficos sobre dados relevantes. Abaixo eu separei algumas das estatísticas apresentadas pelo SANS Institute:

OBS: Nos dois gráficos acima, há um erro no título. O primeiro, de fato, apresenta as 5 principais tecnologias de segurança aplicadas ao ambiente de ICS/OT. A segunda, por outro lado, indica as ferramentas específicas de ICS que estão sendo planejadas.

Para saber mais:

• SANS 2024 ICS/OT Survey: The State of ICS/OT Cybersecurity
• Falha a cibersegurança em ambientes ICS/OT (CISO Advisor)

[Segurança] Dicas para um bom pentester

O pessoal do SANS Institute acabou de lançar um poster bem legal, que apresenta as principais dicas para ser um bom pentester.

Batizado de "Building a Better Pen Tester", o poster que está disponível em PDF traz dicas de como trabalhar em cada uma das fazes do teste de invasão: planejamento ("pre-engagement"), varredura ("reconnaissance"), análise de vulnerabilidades, ataques contra senhas ("password attacks"), invasão ("exploitation"), pós invasão ("post-exploitation"), e criação do relatório ("reporting").

O poster também traz dicas de comandos a serem executados nessas fases e, no verso, tem uma lista de principais comandos para algumas ferramentas: nmap, powershell, scapy e metasploit.

[Segurança] Os Controles Críticos de Segurança

O SANS Institute, em conjunto com a NSA e o Center for Internet Security (CIS), mantém o "Critical Security Controls", uma lista com os 20 controles de segurança mais críticos para as organizações. O objetivo é apresentar os principais controles que todas as empresas e entidades devem priorizar no momento de criar e investir em sua infra-estrutura de segurança.

São eles:

1. Inventory of Authorized and Unauthorized Devices
2. Inventory of Authorized and Unauthorized Software
3. Secure Configurations for Hardware and Software on Mobile Devices, Laptops, Workstations, and Servers
4. Continuous Vulnerability Assessment and Remediation
5. Malware Defenses
6. Application Software Security
7. Wireless Access Control
8. Data Recovery Capability
9. Security Skills Assessment and Appropriate Training to Fill Gaps
10. Secure Configurations for Network Devices such as Firewalls, Routers, and Switches
11. Limitation and Control of Network Ports, Protocols, and Services
12. Controlled Use of Administrative Privileges
13. Boundary Defense
14. Maintenance, Monitoring, and Analysis of Audit Logs
15. Controlled Access Based on the Need to Know
16. Account Monitoring and Control
17. Data Protection
18. Incident Response and Management
19. Secure Network Engineering
20. Penetration Tests and Red Team Exercises

Para ajudar a divulgar esta idéia, também existe um poster, disponível para download online, que resume o que é cada um destes controles, além do conteúdo existente na página do projeto.

[Segurança] Data Privacy Day

Hoje, 28 de janeiro, é o Data Privacy Day, um dia para marcar necessidade de conscientização sobre a privacidade de nossos dados. No Twitter, foi usada a hashtag #dataprivacyday para divulgar informações sobre este assunto.

O pessoal do SANS Institute compartilhou um pequeno vídeo de conscientização sobre a importância da provicidade online:



O vídeo é destinado as empresas e destaca a responsabilidade e o cuidado que elas devem ter quando manipulam informações pessoais online. O vídeo também dá algumas dicas, como por exemplo...

• Limitar a quantidade de informações pessoais que você coleta, usa e compartilha (exemplo, em cadastro de usuários).
• Somente compartilhe (e dê acesso) a informações pessoais para usuários que tenham real necessidade de acessá-las para executarem seu trabalho (o princípio do "need to known").
• Somente armazene estas informações em sistemas seguros e autorizados (já vi empresas aonde o pessoal do call center colocava em uma pasta pública da rede vários screenshots das telas de atendimento com informações de clientes!).
• Quando não precisar usar a informação, armazene em um sistema seguro ou destrua-a completamente. Além do mais, evite armazenar informações que não sejam essenciais. Uma opção, por exemplo, é armazenar apenas uma parte do dado, que pode ser usada posteriormente (por exemplo, somente os últimos 4 dígitos do cartão de crédito se houver necessidade de verificar uma transação depois que ela for executada).

[Segurança] Os 25 erros mais comuns em aplicações

O SANS Institute, junto com um grupo formado por mais de 30 empresas e entidades relacionados ao mercado de segurança, publicou nesta semana o documento "CWE/SANS TOP 25 Most Dangerous Programming Errors", uma lista com os 25 erros de programação de software "mais perigosos" para a segurança dos sistemas.

Entre as empresas e entidades que fizeram parte deste esforço, destacam-se a Symantec, Microsoft, Oracle, Secunia, VeriSign, RSA, Red Hat, a NSA (National Security Agency), o DHS (US Department of Homeland Security), o OWASP, a University of California at Davis e a Purdue University. O MITRE e o SANS Institute foram responsável por coordenar a iniciativa.

São falhas normalmente cometidas pelos desenvolvedores de software que causam os principais problemas de segurança nas aplicações web. A lista está disponibilizada no site do SANS, juntamente com as orientações sobre o que são e como evitar estes erros. Os 25 principais problemas selecionados pelos especialistas, divididos em 3 categorias, são os seguintes:

• CATEGORY: Insecure Interaction Between Components
  
  • CWE-20: Improper Input Validation
    
  • CWE-116: Improper Encoding or Escaping of Output
    
  • CWE-89: Failure to Preserve SQL Query Structure (aka 'SQL Injection')
    
  • CWE-79: Failure to Preserve Web Page Structure (aka 'Cross-site Scripting' - XSS)
    
  • CWE-78: Failure to Preserve OS Command Structure (aka 'OS Command Injection')
    
  • CWE-319: Cleartext Transmission of Sensitive Information
    
  • CWE-352: Cross-Site Request Forgery (CSRF)
    
  • CWE-362: Race Condition
    
  • CWE-209: Error Message Information Leak
  
  
• CATEGORY: Risky Resource Management
  
  • CWE-119: Failure to Constrain Operations within the Bounds of a Memory Buffer [Buffer overflows]
    
  • CWE-642: External Control of Critical State Data
    
  • CWE-73: External Control of File Name or Path
    
  • CWE-426: Untrusted Search Path
    
  • CWE-94: Failure to Control Generation of Code (aka 'Code Injection')
    
  • CWE-494: Download of [third-party] Code Without Integrity Check
    
  • CWE-404: Improper Resource Shutdown or Release
    
  • CWE-665: Improper Initialization
    
  • CWE-682: Incorrect Calculation [over the inputs that are used in numeric calculations]
  
  
• CATEGORY: Porous Defenses
  
  • CWE-285: Improper Access Control (Authorization)
    
  • CWE-327: Use of a Broken or Risky Cryptographic Algorithm
    
  • CWE-259: Hard-Coded Password
    
  • CWE-732: Insecure Permission Assignment for Critical Resource
    
  • CWE-330: Use of Insufficiently Random Values
    
  • CWE-250: Execution with Unnecessary Privileges
    
  • CWE-602: Client-Side Enforcement of Server-Side Security

Esta lista, apresentada com detalhes no site do SANS pode ser de grande utilidade para auxiliar desenvolvedores e auditores de código. Esta não é a primeira nem a única tentativa de orientar os desenvolvedores sobre como desenvolver metodologias de codificação segura (ou pelo menos apresentar algum recurso simples e didático para orientá-los sobre as principais falhas que costumam ocasionar bugs de segurança). Uma ótima fonte de informações, que eu já comentei anteriormente, é o projeto OWASP (Open Web Application Security Project).