Ex-chefe da NSA diz que controladores de sistemas de água não deveriam estar na internet

Pelo menos 12 sistemas de tratamento de água nos Estados Unidos foram invadidos, provavelmente pelo Irã, e o país precisa melhorar sua defesa cibernética. A avaliação é do general reformado Paul Nakasone, ex-chefe da NSA, em declaração a jornalistas durante o DEF CON.

"Precisamos ter padrões mais altos", disse Nakasone. "Esses PLCs não deveriam estar conectados à internet."

O que aconteceu

No fim de julho, o FBI informou que investigava ataques conduzidos por "agentes cibernéticos maliciosos" contra dispositivos de tecnologia operacional (OT), incluindo controladores lógicos programáveis, os PLCs. Esses equipamentos monitoram dados de sensores (como o nível de tanques) e podem ligar e desligar bombas. Segundo a reportagem do The Register, grupos ligados ao Irã têm mirado esses dispositivos há anos.

Parte da comunidade de segurança privada aponta o Irã como responsável pelos ataques recentes que perturbaram instalações de água e de tratamento de esgoto. "Eu ficaria chocada se não fosse o Irã", disse Cynthia Kaiser, SVP do Halcyon Ransomware Research Center, ao The Register no DEF CON. "É quase certo que é o Irã."

Vale registrar a ressalva: nem o FBI nem a administração Trump atribuíram oficialmente os ataques ao Irã. Nakasone afirmou acreditar que as autoridades estão adotando uma "abordagem cautelosa" quanto à atribuição, embora tenha citado o histórico iraniano de atacar PLCs de instalações de água.

A superfície de ataque

O ponto central da fala de Nakasone é estrutural. Os sistemas de água dos EUA formam uma superfície de ataque enorme, distribuída entre instalações historicamente subfinanciadas, com equipes de TI reduzidas e, muitas vezes, nenhum profissional dedicado a cibersegurança.

"Temos 50 mil municípios de água diferentes nos Estados Unidos, 90% da nossa água vem desses 50 mil", disse Nakasone. Para ele, defender esse universo exige parcerias, e ele citou o projeto DEF CON Franklin, lançado há dois anos no evento, no qual hackers voluntários ajudam a proteger instalações de água. Nakasone também é diretor-fundador do Institute of National Security da Vanderbilt University e trabalha no Project Chimera, uma plataforma de cibersegurança construída sobre tecnologias de código aberto para reforçar a resiliência de infraestrutura crítica.

O que muda para quem constrói software no Brasil

O Brasil compartilha o mesmo problema de fundo: infraestrutura crítica pulverizada e desigual em maturidade de segurança. O saneamento no país é operado por dezenas de companhias estaduais e centenas de prestadores municipais, cada um com nível próprio de investimento em TI e OT. A tese de Nakasone (tirar PLCs da internet pública) vale para quem projeta e mantém sistemas de automação em qualquer setor de infraestrutura por aqui, de água a energia.

Para desenvolvedores e times de engenharia que tocam projetos de IoT industrial ou SCADA no Brasil, alguns pontos práticos ficam evidentes na cobertura:

• Exposição direta de OT à internet é risco de arquitetura, não só de configuração. Se um PLC pode ser alcançado da rede pública, o problema começou na topologia. Segmentação de rede e redes isoladas para OT são o ponto de partida.
• Inventário e visibilidade importam. Boa parte das instalações vulneráveis sequer tem gente dedicada a segurança. Antes de defender, é preciso saber o que está conectado.
• A abordagem de parcerias e código aberto citada por Nakasone, com o DEF CON Franklin e o Project Chimera, aponta um caminho de baixo custo relevante para operadores brasileiros com orçamento apertado.

O debate se conecta ao arcabouço regulatório local. A LGPD trata de dados pessoais, mas a proteção de infraestrutura crítica ainda depende de iniciativas setoriais e da Política Nacional de Segurança da Informação. O caso norte-americano é um lembrete de que sistemas ciberfísicos expostos à internet são alvo concreto, não hipótese.

Fonte: Hacker News