Segurança na Internet das Coisas

Nos próximos anos, veremos uma verdadeira explosão
de objetos inteligentes conectados. Serão milhões de sensores,
câmeras e atuadores, fazendo com que tenhamos uma Internet com mais coisas do que
pessoas conectadas. Essa “Internet das coisas” nos permitirá compreender melhor
os  sistemas complexos que compõem nossa sociedade e o nosso planeta.

Mas, por outro lado, essa nova realidade da Internet abrirá novas brechas no
quesito segurança. Cada um desses sensores pode ser, potencialmente, um ponto
de vulnerabilidade, onde um código mal intencionado pode ser inserido, afetando
a segurança dos sistemas. Com um mundo cada vez mais interconectado, um
vírus de software pode afetar a operação de redes integradas de energia
elétrica e causar blackouts que afetem a economia de um país.

Já se fala até em guerra cibernética. O assunto surgiu quando, em 2007, a Internet de toda
Estônia foi derrubada, depois que um
monumento a soldados soviéticos da Segunda Guerra Mundial foi transferido do
centro da capital, Tallin, para um cemitério. Sites de órgãos do governo, bancos
e jornais foram atacados e saíram temporariamente do ar. Já aconteceram diversos casos como esse. Em 2003, um
malware, denominado SQL Hammer, desabilitou a segurança de uma usina nuclear
americana no estado de Ohio.
Em agosto de 2008, quando tropas russas invadiram a Geórgia, vários sites e
servidores do governo desse país foram derrubados por pesados ataques DDoS.

Recentemente, um verme chamado Stuxnet atacou usinas nucleares no
Irã. Sua ação foi devastadora. Infectou mais de 30 mil computadores e deixou a
usina de Bushehr inoperante por várias semanas. Na prática, ele
representou uma quebra de paradigmas, pois abriu uma nova classe de softwares
malware: os que atacam sistemas de controle industriais.

Não está claro se o Stuxnet é um exemplar de
uma nova arma da chamada cyberwarfare (guerra cibernética). Mas é indiscutível
que nesse sofisticado software foram investidos muitos recursos financeiros. Na minha opinião, veremos cada vez mais ataques desse tipo, acionados por crackers apoiados por governos, ou
organizações  terroristas.

O Stuxnet consite, basicamente, em um grande
arquivo .dll, que deve primeiro ser inserido em um computador tradicional, como
um PC, para só então atacar os sistemas industriais. Acredita-se que a sua infecção se deu por um drive USB. Uma boa descrição do verme encontra-se na Wikipedia.
O Stuxnet provou que é perfeitamente possível corromper o firmware e o software
que rodam em sistemas SCADA (Supervisory Control And Data Acquisition) e dispositivos PLC (Programmable Logic
Controller). Não é à toa que o governo americano criou o
Cyber Command para coordenar as atividades de defesa no cyberspace.

Na minha opinião, ainda estamos longe de uma
verdadeira guerra cibernética – isso só acontecerá quando todos os sistemas de um país (energia,
comunicações, transporte, financeiro etc) puderem ser derrubados. Mas existem
elementos críticos que podem ser atacados e, uma vez derrubados,  afetam a economia e o bem estar dos
cidadãos. Um exemplo é uma rede elétrica inteligente (smart grid), que usa chips em
todos os seus pontos – da usina aos medidores inteligentes nas residências e
edifícios. Todos esses pontos precisam ser mantidos de forma segura, pois um
ataque à rede elétrica pode simplesmente paralisar todo um país.

De maneira geral, podemos imaginar um cenário
onde os ataques poderão ocorrer tanto nos limites das redes, quanto nos sensores (que
podem assumir múltiplas formas, como medidores de temperatura, vibração no
solo, ou câmeras de segurança), ou nos servidores que coletam e analisam as
informações geradas por esses sensores.

Do lado dos servidores, já temos muita
coisa em termos de segurança. Afinal, há dezenas de anos que essas máquinas
estão por aí e diversos softwares e processos de segurança já foram criados
para garantir níveis de segurança adequados. Por outro lado, os sensores e
outros dispositivos nas extremidades das redes tendem a ser os elos mais fracos
da cadeia. É necessário colocar mecanismos de segurança que indiquem que os
sensores estejam funcionando adequadamente e que não estejam contaminados por
algum vírus. Além disso, em um mundo cada vez mais móvel, com smartphones e
tablets se multiplicando a cada minuto, mais pontos de acesso – nem sempre
seguros – são inseridos nas redes de informação das empresas.

Os equipamentos nas pontas, como sensores e
outros dispositivos, estavam anteriormente desconectados das redes das empresas.
Eles funcionavam de forma isolada, mas agora, cada vez mais conectados, precisam ser
monitorados de perto. Por serem considerados “atípicos”, não são gerenciados por
TI, mas pelas próprias áreas usuárias, que, de maneira geral, não  implementam políticas, mecanismos de
segurança e controle adequados.

Esse é um espaço para o qual as áreas de segurança e de
TI das empresas devem começar a olhar com atenção. Na verdade, cada vez mais, os
sensores se parecem com os sistemas a que a área de TI está acostumada a usar. Anteriormente, podiam usar como escudo os sistemas proprietários fechados e desconhecidos, mas
agora começam a usar mais intensamente sistemas operacionais, como Linux ou
Windows, e podem se integrar aos sistemas das empresas pela Internet. Não é
impossível imaginar um futuro onde cada sensor terá seu próprio endereço IP (estamos
falando de IP v6) e, portanto, podendo ser diretamente acessável. Se deixados
desprotegidos, podem ser um ponto de ataque que chegará ao coração dos sistemas
da corporação.

Para nos prevenir, temos que começar a olhar
esses sistemas, que compõem o universo que chamamos de tecnologia operacional, de
forma mais abrangente. Embora muitos sensores sejam altamente especializados,
nem todos podem ser acessados por redes de comunicação (muitos são conectados
via interfaces seriais proprietários), 
parte significativa deles já pode, e está sendo, conectada aos sistemas de
informação. Além disso, muitos equipamentos são entregues como appliances.
Nesse caso, o único a fazer um upgrade, ou inserir um código que corrija um
problema de segurança é o próprio fornecedor da tecnologia. Muitas vezes, esses
fornecedores não atualizam os appliances com patches de segurança que cobrem
vulnerabilidades. O Stuxnet, por exemplo, utilizou-se de brechas de
vulnerabilidades no Windows, que já haviam sido detetadas e corrigidas, mas não
tinham sido aplicadas no appliance que operava o sistema de controle da usina.

A área de TI já está acostumada a lidar com fornecedores de hardware e
software e, portanto, deve também se envolver na gestão do ciclo de vida destes
equipamentos.

Na verdade, as políticas de gestão de rede e segurança da informação
criadas para os sistemas de TI devem ser ampliadas para abranger os sensores (tecnologia
operacional) que começam a se conectar às redes da empresa. Pouco a pouco, damos
os primeiros passos na integração entre TI (tecnologia da informação) e TO
(tecnologia operacional). E abre-se um novo desafio para os profissionais de
segurança de sistemas e redes, que agora devem também interagir com os sistemas
da tecnologia operacional.