Krypton Solid

Krypton Solid
Krypton Solid

La última tecnología en raciones de 5 minutos

Protección de sistemas instrumentados de seguridad contra ataques de malware

Un ataque recientemente descubierto a los sistemas de control industrial tiene al mundo de la seguridad descubriendo más preguntas que respuestas …

La Conferencia S4 2018 incluso incluyó presentaciones y múltiples conversaciones paralelas sobre el ataque llamado Trisis / Triton / HatMan.

La primera conciencia pública de este ataque se produjo después de que la empresa de ciberseguridad FireEye publicara una publicación de blog al respecto a mediados de diciembre de 2017. El apodo de la empresa para este malware era Triton. Inmediatamente después del anuncio de FireEye, el director ejecutivo de Dragos, Robert Lee, publicó un documento técnico en el que analizaba el malware al que llamó Trisis porque tenía como objetivo los sistemas instrumentados de seguridad Triconex de Schneider Electric.

El 18 de diciembre de 2017, el Centro Nacional de Integración de Comunicaciones y Ciberseguridad (NCCIC) del Departamento de Seguridad Nacional de EE. UU. Publicó su informe de análisis de malware, sistemas de control industrial (ICS) -CERT MAR-17-352-01, «HatMan – Safety System Targeted Malware «, que incluía su resumen del código malicioso Triton / Trisis / HatMan.

Casi a diario se publican nuevos comentarios y análisis de Triton / Trisis / HatMan. Es obvio que el ataque ha generado más preguntas que respuestas, entre ellas: ¿Quién orquestó el ataque? ¿Por qué desarrollaron este código? ¿Cuál fue el propósito del ataque? ¿Se avecinan más ataques de malware?

Una cosa es cierta, según Lee, «Trisis es la primera vez [attack] para apuntar a sistemas instrumentados de seguridad, y es el que más me preocupa «.

¿Qué es un sistema instrumentado de seguridad?

Una forma simple, pero no perfecta, de pensar en los sistemas instrumentados de seguridad (SIS) es considerarlos parte de la configuración de un interruptor de hombre muerto.

Los mecanismos de interruptor de hombre muerto (DMS) se utilizan en una variedad de entornos operativos, como locomotoras, cortadoras de césped, motosierras, quitanieves e incluso para el reabastecimiento de combustible de aviones. La idea es que un operador debe sostener o presionar continuamente el DMS y, si se suelta el interruptor / manija durante el funcionamiento, la máquina dejará de funcionar o pasará a un estado más seguro, como inactivo.

Un control DMS en una locomotora puede ser un pedal de piso, una manija de gatillo o un botón donde el dispositivo debe mantenerse o presionarse continuamente para permitir que la locomotora avance. Si el maquinista que conduce el tren está incapacitado por cualquier motivo, la liberación del DMS hace que el motor funcione al ralentí y, en algunas locomotoras, se aplican los frenos de emergencia. El sistema falla a salvo.

Los interruptores tradicionales de hombre muerto en los trenes se pueden anular con cinta adhesiva, ladrillos pesados ​​u otros métodos y, en casos raros, los interruptores pueden no activarse cuando un ingeniero incapacitado se desploma hacia adelante.

Los sistemas instrumentados de seguridad son más complicados que el interruptor de hombre muerto descrito anteriormente. Sin embargo, el SIS está instalado, de manera óptima en su propia zona de red dedicada, de modo que las operaciones de la planta se pueden cerrar en condiciones extremas de la planta sin intervención humana. En otras palabras, la planta puede fallar.

La literatura de Emerson Process Management señala que los sistemas instrumentados de seguridad «están diseñados específicamente para proteger al personal, los equipos y el medio ambiente al reducir la probabilidad o la gravedad del impacto de un evento de emergencia identificado».

Un SIS se compone de una combinación de sensores, solucionadores lógicos y elementos finales que están separados y son distintos de los otros controles de la planta. Si la planta está fuera de control, el SIS está ahí para cerrar la planta sin depender de la intervención humana.

Algunas configuraciones de SIS incluyen sensores dedicados que apagan las operaciones de la planta, como las refinerías, cuando se exceden ciertas presiones o temperaturas. Otro ejemplo de funcionamiento de un SIS es el apagado automático de un reactor nuclear, llamado SCRAM, cuando el flujo de refrigerante está por debajo de una tasa mínima, etc. Una vez más, no es necesaria la intervención humana.

De acuerdo con los estándares establecidos por la Comisión Electrotécnica Internacional en IEC 61511 y la Sociedad Internacional de Automatización ISA S84.01, los sistemas instrumentados de seguridad deben ser separados y distintos, independientes, de otros sistemas de control que operan y controlan los mismos equipos / sistemas. Los controles y sistemas de control contenidos dentro del SIS están dedicados únicamente al funcionamiento adecuado del sistema de seguridad. No se depende de los controles externos ni de la entrada del sensor para que se dispare el SIS.

Arquitectura de sistemas instrumentados de seguridad

Algunos expertos en seguridad de ICS pueden referirse al modelo de referencia de Purdue, o al modelo de Purdue, cuando se habla de la arquitectura de red de ICS. El modelo Purdue es parte de la Arquitectura de referencia empresarial de Purdue, que proporciona un marco para diseñar sistemas de fabricación y que fue desarrollado en la década de 1990 por Theodore Williams y los miembros del Consorcio Industry-Purdue University para la Fabricación Integrada por Computadoras.

El modelo Purdue está destinado a ayudar a los usuarios a comprender una red de producción. El modelo organiza una arquitectura de red de planta industrial en cuatro niveles, más el nivel de proceso físico subyacente, y se ilustra a continuación.

  • Nivel 0: El proceso físico: aquí es donde se realiza el trabajo físico en la planta.
  • Nivel 1: Dispositivos inteligentes: este nivel incluye los sensores, los controladores lógicos programables (PLCS) y los actuadores. Este nivel tiene su propia subzona distinta y separada específicamente para SIS.
  • Nivel 2: Sistemas de control: este nivel es donde se monitorea, controla y supervisa electrónicamente la producción, e incluye las pantallas de video de producción que muestran la interfaz hombre-máquina y los controles y el software en tiempo real.
  • Nivel 3: Sistemas de operaciones de fabricación: este nivel es esencialmente el cerebro de las operaciones de fabricación. Incluye sistemas de ejecución de fabricación, sistemas de gestión del rendimiento de la planta y mantenimiento, historiadores de datos y middleware.
  • Nivel 4: Sistemas de logística empresarial: se encuentra en el lado empresarial de la planta. En este nivel, se llevan a cabo actividades de fabricación relacionadas con el negocio, basándose principalmente en software de planificación de recursos empresariales, como SAP. Aquí es donde se genera el programa de producción de la planta y se monitorea y modifica el inventario de materiales, el envío y el uso.

Básicamente, cuando estás en la planta de fabricación, estás mirando principalmente a los Niveles 0, 1, 2 y 3.

Red ICS, o el modelo Purdue
El modelo Purdue

En el modelo Purdue, el SIS está ubicado en el Nivel 1 y comprende su propia zona de red independiente. Los sistemas de seguridad y protección monitorean los procesos de fabricación y, en condiciones de emergencia, activan y devuelven la planta a un estado seguro cerrando válvulas, apagando quemadores, aumentando el flujo de agua de refrigeración, etc. Estos sistemas de seguridad y protección también incluyen herramientas que monitorean la fabricación. y alertar a un operador de condiciones peligrosas inminentes.

Controlador SIS versus PLC

Debe comprender que, visualmente, un SIS y un controlador lógico programable (PLC) estándar u otra PC industrial pueden tener el mismo aspecto; sin embargo, tienen diferentes funciones y diferentes esquemas de implementación. Los proveedores suelen utilizar su línea actual de PLC y los modifican para cumplir la función de SIS.

Según Clint Bodungen Hackeo expuesto: sistemas de control industrial, «… el SIS generalmente utiliza una serie complicada de sistemas de votación analógicos y digitales 1 de 2 o 2 de 3 para monitorear y responder a las condiciones adversas del proceso. Normalmente, los SIS están diseñados para proporcionar sólo unas pocas funciones básicas … «en comparación con el PLC multifuncional normal en la planta de fabricación.

Es posible que no se instalen sistemas instrumentados de seguridad en todas las plantas; sin embargo, se incluirán en plantas que pueden verse afectadas por piratas informáticos, ciberamenazas, terroristas o atacantes internos, y que podrían resultar en peligros graves, como muerte, lesiones, emisiones ambientales, etc. Por lo tanto, es posible que no vea un SIS en un instalación de fabricación benigna, pero la refinería de al lado tendría más de un SIS en su lugar.

La crisis de un SIS violado

Como se señaló anteriormente en el comentario de Lee con respecto a su preocupación de que Trisis haya violado el SIS, la demostración de que el SIS está siendo violado por malware es muy grave. Trisis / Triton / HatMan en el SIS no puede hacer nada catastrófico por sí mismo; sin embargo, el NCCIC observa «… podría ser muy dañino cuando se combina con malware que impacta el proceso (de fabricación) en conjunto».

Esencialmente, la capacidad de inhabilitar, modificar o inhibir la capacidad de un SIS de fallar de manera segura puede potencialmente resultar en consecuencias físicas, impacto ambiental, lesiones e incluso la muerte.

En el blog de Dragos, una entrada de preguntas frecuentes pregunta retóricamente: «¿Es Trisis un gran negocio?» La respuesta es sí.

  • Trisis es el quinto malware diseñado para ICS conocido después de Stuxnet, Havex, BlackEnergy2 y CrashOverride..
  • Trisis es el primer malware adaptado a ICS conocido públicamente para atacar SIS.
  • Por último, debido a que los SIS están diseñados e implementados específicamente para garantizar la seguridad del proceso de fabricación, el medio ambiente y la vida humana, un ataque al SIS es «… audaz e inquietante».

Sí, el efecto de Trisis es desconcertante y llama la atención sobre la seguridad e integridad del SIS. Sin embargo, un SIS puede ser derrotado sin malware exótico colocando el controlador SIS en bypass, colocando el solucionador lógico en un bucle infinito, cambiando los puntos de disparo y alarma, desconectando la salida de la lógica, falsificando las entradas, etc., según a Asegure el SIS por William L. Mostia. Por lo tanto, esperar a que el malware SIS le solicite que proteja su SIS puede no ser suficiente.

El SIS es fundamental para las operaciones seguras de la planta y debe diseñarse, implementarse y mantenerse con sumo cuidado y supervisión. El ataque Trisis / Triton / HatMan ciertamente ha despertado a la comunidad de seguridad ICS.

Como observó Dale Peterson, fundador y director ejecutivo de Digital Bond, una empresa de seguridad de sistemas de control con sede en Sunrise, Florida, y productor de la conferencia anual S4, estamos en las primeras etapas del análisis de este ataque de malware SIS.

Es necesario recordar a la industria cuánto aprendimos sobre Stuxnet después del trabajo detallado realizado por Ralph Langner, et al .; sin embargo, tomó tiempo y recursos antes de conocer realmente los detalles de Stuxnet. Es posible que debamos ser pacientes con los investigadores de ICS, quienes pueden brindarnos más información sobre este nuevo malware SIS y cómo podemos protegernos mejor.

También te puede interesar...

¿IoT se está volviendo más seguro?

Los nuevos datos nos dicen que las partes interesadas en Internet de las cosas están progresando en lo que respecta a proteger la infraestructura de IoT y los datos que produce, pero aún queda un

LBS impulsa el diseño personalizado de intranet

Brindar un acceso rápido y fácil a los datos localizados puede resultar un desafío para las empresas con oficinas dispersas por todo el mundo. Pero Michael Berg sabe de primera mano lo importante que puede

Compare VMware Workstation Pro con Microsoft Hyper-V

Muchos artículos que comparan las tecnologías de VMware y Microsoft a menudo analizan las ediciones del software para servidores y centros de datos. Sin embargo, hay ediciones de Workstation Pro e Hyper-V que están dirigidas

¿Un partido en el cielo?

Si el Internet de las cosas es el gran éxito de taquilla de este año, la realidad aumentada pronto podría tener un papel destacado como habilitador de tecnología que permite a los trabajadores acceder fácilmente

Cuando necesita y no necesita vCenter Server

¿Tienes la sensación de que te estás perdiendo algo? Eso puede ser cierto si comenzó su proyecto de virtualización… hace algún tiempo, basado en el hipervisor ESXi gratuito y el vSphere Client gratuito. vSphere Client

¿Cómo se compara Microsoft Power Platform con SharePoint?

Las organizaciones que compran el plan Office 365 E5 obtienen muchos beneficios, que incluyen más de 23 cargas de trabajo y servicios diferentes. Estos servicios incluyen correo electrónico alojado, almacenamiento en la nube, SharePoint, PowerApps,

Estrategias clave para ayudar a migrar a microservicios

Una migración a microservicios suele estar impulsada por demandas de flexibilidad, productividad y escalabilidad. Sin embargo, el hecho de que las empresas quieran estos beneficios no significa que sus empresas o equipos de TI estén

Las pymes y la gran oportunidad de video en la nube

Cuando la mayoría de las personas comentan los beneficios de la nube para la videovigilancia, tienden a hacerlo desde la perspectiva de los usuarios finales empresariales. Las inversiones empresariales en tecnología de cámaras pueden ascender

Arquitectura CLR

.NET Framework CLR está estrechamente integrado con el motor de base de datos de SQL Server 2005. De hecho, el motor de la base de datos de SQL Server aloja CLR. Este estrecho nivel de

Último controlador GeForce 398.82 Bluescreens PC

¡Ay! Tan pronto como instalé el último controlador Nvidia GeForce, es decir, 398.82 con una fecha de lanzamiento de 8/1, mi PC arrojó un bloqueo de pantalla azul en mi camino. El detalle de Reliability

Colaboradores de SearchERP

Jawad Akhtar es un experto en logística y gestión de la cadena de suministro (SCM) de SAP y se especializa en ventas y entregas comerciales. Sarah Amsler es editora gerente del equipo de contenido de

Manejo de quejas de clientes en el call center

¿Cuál es la mejor manera para que un agente de un centro de llamadas maneje a un cliente que está frustrado, alguien que está siendo difícil y usa un lenguaje soez? Me gustaría asesorar a

Startup Komprise llega a un acuerdo de revendedor con IBM

Komprise alcanzó su primer acuerdo importante de revendedor, asociándose con IBM para ofrecer el software Komprise Intelligent Data Management con la cartera de almacenamiento del proveedor. Los clientes pueden usar el software Komprise para mover

6 señales de que necesita servicios de ciencia de datos

Los científicos de datos brindan experiencia que es esencial para aumentar el ROI para las implementaciones industriales de IoT; sin embargo, es difícil encontrar y retener profesionales exitosos y experimentados. Según los analistas de PwC,

Reducir los costos de energía del centro de datos

¡Gracias por unirte! Accede a tu Pro + Contenido a continuación. Mayo de 2015 Reducir los costos de energía del centro de datos Controlar los costos de energía es una de las principales preocupaciones de

NoMo Snipping Tool Pruebe Screen Sketch en su lugar

Con el próximo lanzamiento de Windows 10 este otoño, Versión 1809, es posible que la herramienta Recortes ya no exista. Aquellos que ejecutan la versión Skip Ahead de Insider Preview pueden ver una advertencia a

Cómo conectarse con otros proveedores de servicios

Hay una joya escondida detrás de sus relaciones con otros colegas de la industria: la asociación. Construir una sociedad con otros tiene muchos beneficios para usted y la otra parte. Junto con estos beneficios, también

Explicación de PeopleSoft 9.2 Update Manager

El lanzamiento del año pasado de PeopleSoft 9.2 aseguró a los usuarios inquietos que Oracle Corp. no estaba abandonando la línea de productos heredados por las nuevas ofertas financieras y de gestión de capital humano

¿Cómo funciona CAPTCHA para mejorar la seguridad web?

¿Qué es CAPTCHA (prueba pública de Turing completamente automatizada para diferenciar las computadoras y los humanos)? Un CAPTCHA es un tipo de sistema de desafío-respuesta diseñado para diferenciar a los humanos de los programas informáticos

Cinco predicciones para Internet de las cosas en 2017

Internet de las cosas sigue demostrando su relevancia en la estrategia de transformación digital de las organizaciones. Empresas grandes y pequeñas invirtieron en él en 2016 y están aprovechando las oportunidades para extender los usos

¿Qué es Android 3.0 Honeycomb?

Android 3.0 Honeycomb es un sistema operativo móvil propiedad de Google y diseñado específicamente para tabletas. Apareciendo por primera vez en Motorola Xoom en febrero de 2011, Android 3.0 Honeycomb también está disponible en otras

Procesos de automatización para entrega continua

Entrega continua es un proceso diseñado para acelerar drásticamente la entrega de software a producción. Martin Fowler define la entrega continua como un enfoque para crear software de modo que esté listo para su lanzamiento

Deja un comentario