Alcuni spunti dal report “ENISA Threat Landscape Report 2018 – 15 Top Cyberthreats and Trends” con riferimento ai sistemi utilizzati su impianti nell’Industria e Utility

Introduzione Il 29 Gennaio 2019, poche settimane fa, ENISA (European Union Agency For Network and Information Security, www.enisa.europa.eu) ha rilasciato il report dal titolo “ENISA Threat Landscape Report 2018 – 15 Top Cyberthreats and Trends”, o ETL2018, che potete trovare sul sito di ENISA a questo link https://www.enisa.europa.eu/publications/enisa-threat-landscape-report-2018

Si tratta di un documento sullo stato della CyberSecurity nell’Unione Europea ed a livello globale, dal punto di vista degli esperti dell’Agenzia, che stilano ogni anno una fotografia con riferimento a minacce più avvertite, crimini cyber ed altri accadimenti avvenuti nell’anno precedente con impatto sui sistemi.

Il report ETL2018 in sintesi

 

Qui in sintesi, secondo quanto riportano le 139 pagine del report, le principali tendenze del panorama dei cyberthreat del 2018 ed alcuni messaggi da tenere presenti:

  • I messaggi di posta e di phishing sono diventati il ​​principale vettore di infezione da malware.
  • I kit di exploit hanno perso la loro importanza nel panorama del cyberthreat.
  • I Cryptominer sono diventati un importante vettore di monetizzazione per i criminali informatici.
  • Gli Agenti State-Sponsored  sempre di più attaccano le banche usando gli stessi vettori di attacco utilizzati nel crimine informatico.
  • Migliorare Skill e Capability sono l’obiettivo principale di chi si deve difendere. Le organizzazioni pubbliche lottano per fidelizzare il personale a causa della forte concorrenza con l’industria nell’attirare i talenti della sicurezza informatica.
  • L’orientamento tecnico della maggior parte dell’intelligence rivolta al cyberthreat è considerato un ostacolo alla sensibilizzazione del Management.
  • L’intelligence deve rispondere agli attacchi sempre più automatizzati con nuovi approcci e l’utilizzo di strumenti e competenze a loro volta automatizzati.
  • L’emergere di ambienti IoT rimane un problema a causa della mancanza di meccanismi di protezione nei dispositivi e nei servizi IoT di fascia bassa. La necessità di architetture e buone pratiche di protezione IoT generiche è ora ancora più pressante.
  • L’assenza di soluzioni di intelligence cyberthreat per PMI e utenti finali deve essere affrontata sia dai fornitori che dai governi.
Il report ETL2018 ed i sistemi per Industria4.0/Utility4.0

 

Occupandoci da anni del tema OT/ICS cyber security siamo però andati a vedere che cosa si può trovare nel report ETL2018 a proposito di rischi, minacce ed accadimenti relativi a problemi di security per sistemi e reti di automazione, controllo e telecontrollo a presidio di macchinari ed impianti nell’Industria e nelle Utility.

Ecco alcune nostre considerazioni:

Migliorare la visibilità sui sistemi ICS.  

Oggi, uno dei motti più azzeccati per meglio proteggere reti e sistemi di fabbrica è sicuramente “Security-by-Visibility”, in contrapposizione alla “Security-by-obscurity” che per lungo tempo è stato uno dei mantra della Cyber Security industriale, ovvero cercare di “nascondere” il sistema da proteggere, rendendolo meno visibile, e coprirne le caratteristiche per renderlo meno attaccabile.

Nel tempo si è visto che questo tipo di approccio “Security-by-obscurity” non rende il sistema più sicuro.

Quindi ora si preferisce adottare contromisure adeguate alla criticità e importanza del sistema ICS, ed al contempo avere la massima visibilità su quanto succede in rete e sul sistema per accorgersi prima possibile di eventuali anomalie di comportamento che possano dare indizi su eventuali compromissioni in atto e incidenti incombenti.

Nel report a pagina 95 viene riportato che nel febbraio 2018, è stato segnalato il primo episodio di malware di cryptomining (un server utilizzato per svolgere catene di cryptovalute) trovato nei sistemi SCADA di una utility idrica, collegato a Internet.

N.B.: questo incidente non è stato l’unico (vedi figura qui sotto).    

 

 

Questo mette chiaramente due problemi che qui riportiamo:

  • Un sistema collegato a internet, con scarsa protezione perimetrale, è quindi facilmente compromissibile
  • La necessità di avere visibilità su quanto avviene nei sistemi ICS, per accorgersi all’istante se ci sia incorso qualche attività non prevista e potenzialmente malevola
Proteggere il perimetro ICS, ma anche segmentare la rete e segregare asset critici

 

Da sempre suggeriamo di segmentare la rete e segregare in modo adeguato i componenti più critici del sistema di controllo.

A questo riguardo lo standard IEC62443, riprendendo il cosiddetto modello PERA (Purdue Enterprise Reference Architecture), approfondito anche in ISA-95 e ISA99, definisce come la suddivisione in Zone deve essere seguita e come limitare al massimo i Conduit che permettano comunicazioni di informazioni tra una zona e l’altra, che dovranno poi essere presidiati adeguatamente.

 

 

Nel report, a pagina 102, risulta che “Il 64% dei principali incidenti che riguardavano sistemi o reti di controllo industriale sono stati ransomware” (nel 2018).

Nella stragrande maggioranza di tali incidenti, il ransomware arriva sulla rete del sistema OT/ICS che gestisce l’impianto o la macchina in fabbrica, come “danno collaterale” di un allegato di email o di una navigazione su un sito infetto aperto improvvidamente da un PC negli uffici di sede.

Quasi sempre una volta arrivato sulla rete di stabilimento, il ransomware ha vita facile a propagarsi, infettare altri PC, bloccare il funzionamento criptando i dischi e rendendo inutilizzabile il sistema, e di conseguenza bloccare i sistemi di automazione e controllo, fermando la produzione o l’erogazione del servizio.

Ora, a nostro modo di vedere qui si evidenziano tre ordini di problemi:

  • Le policy di awareness/training di security delle Aziende coinvolte non sono così efficaci e qualcuno ancora apre allegati di posta infetti o naviga su siti poco raccomandabili
  • Le contromisure tecnologiche di security adottate non sono adeguate a bloccare queste campagne di ransomware
  • Il fatto che un ransomware che colpisce la rete di ufficio venga a propagarsi nella rete di fabbrica evidenzia il fatto che non ci sia una protezione perimetrale nè una corretta segmentazione della rete nè una segregazione adeguata dei computer più critici nei reparti di produzione

E molto probabilmente risulta lacunosa anche la pratica di effettuare correttamente i backup di tutti i sistemi utilizzati in fabbrica (PC, PLC, SCADA, ecc.): questo, anche in caso di incidente, potrebbe limitare i danni a poche ore di fermo, con ripartenze veloci, senza causare giorni e giorni di mancata produzione o erogazione del servizio come purtroppo è successo in molte realtà industriali sia nel 2017 che nel 2018 (come ancora riportato in diverse parti del report ETL2018).

Limitare l’accesso da remoto ai sistemi industriali

 

Nel report ETL2018 si evidenzia come la distribuzione indiscriminata di RAT (Remote Access Tool) sui sistemi ICS sia una pratica diffusa e che procura grosse preoccupazioni.

Uno strumento di amministrazione remota (o RAT) è un programma usato da operatori e da altre persone per connettersi ad un computer remoto attraverso Internet o attraverso un network locale, per svolgere poi determinate attività di manutenzione o anche gestione del sistema senza doversi recare di persona sull’impianto per avere fisicamente accesso al sistema stesso: uno strumento per l’amministrazione remota installato sul sistema ICS e che possa replicare video, tastiera e mouse su un altro PC collegato in rete

Il report ETL2018 a pagina 109 ci ricorda che “Le reti OT di imprese industriali sono un campo di gloria per gli attori di minacce di spionaggio”.

Questi attori utilizzano strumenti di amministrazione remota (RAT) che sono già installati sui sistemi di controllo industriale (ICS). Qui sotto una figura da un recente rapporto che rivela i 20 principali paesi in cui sono stati utilizzati i RAT almeno una volta in incidenti di spionaggio durante il primo semestre del 2018”. (https://securelist.com/threats-posed-by-using-rats-in-ics/88011/)

Dalla seguente figura si evince che Remote Access Tools (che poi sono RDP, Remote Desktop, VNC, Teamviewer, ecc.) sono installati su 40 computer di sistemi ICS sul totale di tutti i computer, e già questo è indicativo e sintomatico dell’usanza di metterlo dappertutto.

Ma se poi scendiamo al dettaglio della ricerca Kaspersky richiamata nel report ETL2018 scopriamo anche che tali tool sono installati legittimamente solo su meno di un terzo dei sistemi ICS: in pratica su quasi il 70% dei sistemi in oggetto tali RAT sono stati installati e sono attivi senza che gli operatori ed i proprietari dei sistemi ne siano a conoscenza!

Quindi nuovamente un problema di scarsa “visibilità” sul sistema ICS.  

La scoperta del primo malware indirizzato su un sistema SIS Il report ETL2018 evidenzia come tra il 2017 ed il 2018 sia stato rilevato il primo malware indirizzato direttamente verso i sistemi di sicurezza delle infrastrutture critiche: Triton, è infatti il primo malware che ha come obiettivo primario i sistemi SIS (Safety Instrumented Systems).

I SIS sono progettati per fermare (shutdown) e mettere in sicurezza i processi industriali quando raggiungono condizioni operative non sicure.

Incidenti mirati su tali sistemi SIS, ce di solito sono utilizzati in impianti pericolosi (raffinerie, piattaforme off-shore, impianti gas, impianti chimici, centrali elettriche, ecc.) potrebbe portare a gravi implicazioni (vi ricordate Stuxnet e Industroyer?).

E si prevede che gli ICS / SCADA saranno sempre più presi di mira da attori di minacce avanzate che abbiano le capacità e l’intenzione di eseguire tali operazioni.   Di Triton/Trisis o hanno parlato diffusamente testate su carta e web (https://bit.ly/2NgBpVL) , anche quelle non proprio della stampa tecnica, in quanto ora è provato che i sistemi di controllo a ultimo presidio dell’incolumità di persone, ambiente ed impianto stesso sono anche loro violabili e controllabili dall’esterno da attori che potrebbero essere comandati dal crimine o da governi ostili.

Gli obiettivi ora sono anche “fisici”: IoT, IIoT e ICS sono “oggetti” e sistemi che gestiscono “oggetti”

 

Come già riporta all’inizio “L’emergere di ambienti IoT rimane un problema a causa della mancanza di meccanismi di protezione nei dispositivi e nei servizi IoT di fascia bassa. La necessità di architetture e buone pratiche di protezione IoT generiche è ora ancora più pressante”.

E ancora, come riportato a pag 25: “Autori di malware sempre più interessati ai dispositivi IoT.

Uno degli eventi degni di nota del 2018 è stato il malware VPNFilter.

VPNFilter è un malware multistadio che ha come target router di casa, piccoli uffici e dispositivi NAS.

Al momento della stesura di questo report, ha compromesso circa 500.000 dispositivi in ​​tutto il mondo, creando così una enorme rete di anonimizzazione per i suoi creatori.

Proprio come quello che è successo con Mirai, si prevede che il malware VPNFilter sarà replicato, come tanti attacchi e vulnerabilità relativi ai dispositivi router e IoT nel corso del 2018.”

Ed a pagina 47: “Dall’altra parte, l’aumento del numero di servizi inter-connessi a livello globale e la loro dipendenza da IOT per eseguire e facilitare tali servizi, hanno sollevato preoccupazioni per le minacce come gli attacchi DoS che potenzialmente possono causare danni su scala nazionale a Aziende e Infrastrutture Critichei.

Un esempio di tali servizi sono gli ospedali collegati ed i servizi connessi. Tuttavia, nonostante le attività di mitigazione e prevenzione in corso in tutto il mondo, le ricerche ci danno un numero di attività DDoS in aumento (del +16%).”

In definitiva “L’incertezza sulla riuscita implementazione della sicurezza informatica e degli standard di qualità continuerà, soprattutto a causa dell’emergere dell’IoT che collega gli spazi cibernetici e fisici. Il panorama delle minacce che emerge dagli attacchi alla supply chain è una delle principali preoccupazioni per la sicurezza informatica, in particolare per i dispositivi a basso costo.”

L’AI (Artificial Intelligence) per la security e l’accoppiata AI+IoT   AI (Artificial Intelligence) viene vista come strumento indispensabile per la protezione e per rimanere al passo di minacce e vulnerabilità (che a loro volta vedono utilizzo di tool AI per la loro ricerca e sviluppo). L’ENISA ha rilasciato nel 2018 un motore di ricerca intelligente per la sicurezza informatica denominato Open-CSAM43: è uno strumento sviluppato mirando al monitoraggio continuo delle fonti, evidenziando trend e notizie riguardanti le minacce alla Cyber security, utilizzando l’intelligenza artificiale (AI).

Le vulnerabilità introdotte dalle tecnologie emergenti, come l’Intelligenza Artificiale (AI) e l’Internet-of-Things (IoT) generano interesse anche da parte dei governi per supportare attività di spionaggio informatico attraverso exploitation.

Un recente rapporto ha rivelato una lettera del governo israeliano indirizzata a sviluppatori di exploit con sede negli Stati Uniti che chiedevano informazioni su “Advanced Vulnerabilities R & D e exploit zero-day su una vasta gamma di piattaforme e tecnologie target per consentire l’uso da parte delle forze dell’ordine e agenzie di sicurezza “.