Uma estrutura prática para proteger subestações digitais

Para entender melhor como proteger as subestações digitais, vamos considerar a perspectiva do atacante usando o Sistema de Controle Industrial Kill Chain. Essa cadeia de destruição organiza as ações do atacante em uma série de operações que se complementam para produzir o efeito pretendido no final da cadeia (em nosso exemplo na Ucrânia, perda de energia elétrica). Para nossos propósitos, usaremos uma versão condensada da cadeia de mortes, descrevendo as etapas como Preparação, Intrusão, Pivô para OT, Execução de OT e Ataque.

Preparação

Os atacantes começam reunindo informações sobre seu alvo. Para concessionárias, isso pode incluir a identificação da localização das subestações, a compreensão da arquitetura SCADA, a pesquisa de equipamentos do fornecedor e o mapeamento da infraestrutura de rede. Os atacantes ucranianos de 2015 passaram meses estudando seus alvos. Da mesma forma, o ataque do Colonial Pipeline de 2021 começou com um reconhecimento que identificou credenciais de VPN vulneráveis.

Controles defensivos: As concessionárias devem minimizar sua pegada digital limitando as informações publicamente disponíveis sobre configurações de subestações e sistemas de controle. O treinamento de conscientização sobre segurança de funcionários deve enfatizar os riscos de compartilhar excessivamente detalhes operacionais em mídias sociais ou redes profissionais, bem como o tratamento adequado de dados confidenciais.

Intrusão

Os atacantes conseguem entrar no ambiente alvo. Os métodos de entrada comuns incluem e-mails de spear-phishing, atualizações de software comprometidas, unidades USB infectadas ou exploração de sistemas voltados para a Internet. Os atacantes da Ucrânia usaram spear-phishing com anexos maliciosos do Microsoft Office, o que permitiu a instalação do malware BlackEnergy e a base necessária para ações subsequentes.

Controles defensivos: siga as melhores práticas de segurança cibernética de TI corporativa, incluindo soluções robustas de segurança de e-mail com recursos avançados de proteção contra ameaças e sandbox, soluções de antivírus/EDR para estações de trabalho corporativas, sistemas de detecção de intrusão de rede e centros de operações de segurança (entrega de serviços internos ou gerenciados). Garanta que as equipes de OT estejam alinhadas e atualizadas com a estratégia corporativa de segurança cibernética de TI.

Pivot para OT

Tendo obtido acesso às redes corporativas de TI, os atacantes buscam estender seu alcance às redes de OT, como as encontradas em subestações digitais. Isso geralmente é feito por meio da exploração de soluções de acesso remoto inseguras, do roubo de credenciais de usuário válidas de sistemas de TI comprometidos ou da utilização de dispositivos transitórios infectados, como telefones e laptops. O uso de unidades USB infectadas no ataque ao Stuxnet é um exemplo de como até mesmo redes com isolamento aéreo podem ser comprometidas. No ataque à Ucrânia, os atacantes utilizaram credenciais roubadas de sistemas de TI para acessar redes de OT por meio de conexões VPN.

Controles defensivos: Estabeleça políticas rígidas para mídias removíveis e dispositivos externos. Mantenha um inventário de ativos atualizado de todos os softwares e firmwares e mantenha os ativos atualizados com patches de segurança assinados digitalmente (tanto quanto as operações permitirem). As soluções de controle de acesso à rede (NAC) podem impedir que dispositivos não autorizados se conectem às redes das subestações, enquanto a rede entre as redes de TI e OT e as zonas da subestação interromperá o movimento lateral. Implante sistemas de detecção de intrusão industrial (IDS) que entendam os protocolos de OT e possam identificar comunicações anômalas. Proteja o acesso remoto usando autenticação multifator e garanta que o acesso remoto de terceiros (normalmente para manutenção do fornecedor) seja protegido da mesma forma. Elimine as credenciais padrão em todos os IEDs, relés e dispositivos de rede, implementando idealmente o controle de acesso baseado em funções. Por fim, avaliações regulares de vulnerabilidade das redes OT ajudam a identificar pontos fracos antes que os atacantes o façam.

Execute o ataque OT

O estágio final envolve os invasores atingindo seus objetivos, seja roubo de dados, manipulação do sistema ou ações destrutivas. Na Ucrânia, isso significava abrir disjuntores (por meio de HMIs de subestações) para criar quedas de energia. Os atacantes da Ucrânia utilizaram uploads maliciosos de firmware para cortar as comunicações com dispositivos de campo enquanto executavam ataques de negação de serviço em call centers, levando a atrasos nos esforços de recuperação e frustrando os clientes, incapazes de obter respostas.

Controles defensivos: implante sistemas instrumentados de segurança (SIS) que operem independentemente dos sistemas de controle. Mantenha backups off-line das configurações e verifique os procedimentos de restauração. Realize exercícios de mesa regulares e exercícios de resposta a incidentes específicos para ambientes de OT, para garantir uma resposta rápida mesmo quando os controles de segurança cibernética falharem.

Ao defender subestações digitais, implementar controles de segurança é apenas metade da batalha e as concessionárias de energia elétrica também devem alinhar os controles com as estruturas regulatórias e setoriais estabelecidas e mapear medidas defensivas de acordo com os requisitos do NERC CIP e com o NIST Cybersecurity Framework (CSF).

Alinhamento NERC CIP

Os padrões de Proteção de Infraestrutura Crítica (CIP) da North American Electric Reliability Corporation fornecem requisitos obrigatórios para a segurança cibernética de sistemas de energia em massa. Os principais padrões relevantes para subestações digitais incluem:

CIP-004 (Pessoal e treinamento): Concentra-se no elemento mais crítico da cibersegurança: os seres humanos. Estabelece os requisitos para contratação, treinamento e integração/desembarque.

CIP-005 (Perímetros de Segurança Eletrônica): aborda as medidas de segmentação de rede e controle de acesso discutidas na defesa contra intrusões e na transição para OT.

CIP-007 (System Security Management): Abrange o “bloqueio e combate” diários da segurança cibernética: gerenciamento de patches, prevenção de malware, monitoramento de eventos de segurança e gerenciamento de contas. Isso inclui as práticas de proteção de terminais, registro e gerenciamento de vulnerabilidades essenciais para a detecção precoce.

CIP-008 (Planejamento de resposta a incidentes): Garante que as organizações desenvolvam, mantenham e pratiquem sua capacidade de responder aos ataques.

CIP-009 (Planejamento de recuperação): Concentra-se em voltar ao “normal” após um ataque. Garante que os procedimentos de backup sejam implantados e verificados e que a restauração seja testada periodicamente quanto à velocidade e precisão.

CIP-010 (Gerenciamento de alterações de configuração): Define configurações de linha de base para ativos e estabelece um processo estruturado de gerenciamento de mudanças para essas linhas de base, incluindo testes de patch para integridade operacional. Também inclui requisitos para avaliações periódicas de vulnerabilidade.

CIP-015 (Monitoramento interno de segurança de rede): O mais novo padrão CIP, aprovado no verão de 2025 e entrará em vigor a partir de outubro de 2028. O CIP-015 tem como objetivo saber o que está acontecendo “na rede”: monitorar redes de OT, detectar qualquer atividade anômala e tomar decisões de resposta informadas.

Integração com o NIST CSF

O NIST Cybersecurity Framework fornece uma abordagem flexível e baseada em riscos, organizada em torno de seis funções principais que representam uma estratégia abrangente de segurança cibernética:

Governar: Estabeleça e monitore a estratégia, as expectativas e as políticas de gerenciamento de riscos de cibersegurança da organização.

Identifique: Crie um entendimento comum do risco de cibersegurança em sistemas, ativos, dados e pessoas. Obtenha visibilidade da postura de segurança atual e dos riscos associados.

Proteja: Implemente os controles técnicos discutidos anteriormente: segmentação de rede, controles de acesso, proteção de terminais etc. Procure reduzir a superfície geral de ataque que um invasor pode utilizar para se firmar na rede.

Detectar: Implemente recursos para identificar corretamente a ocorrência de eventos maliciosos de segurança cibernética em tempo hábil. Utilize dados agregados de uma ampla variedade de ativos para adicionar contexto à visibilidade.

Responder: Ao detectar um ataque cibernético, tome medidas para impedir o progresso dos atacantes, mitigar o impacto e, por fim, expulsá-los da rede.

Recuperar: Depois de neutralizar uma ameaça, restaure quaisquer recursos ou serviços que tenham sido prejudicados devido ao incidente. Utilize as lições aprendidas para informar a futura estratégia de segurança.

Combinando NERC CIP, NIST CSF e controles defensivos

Conclusão

O ataque de 2015 na Ucrânia demonstrou que as subestações digitais representam alvos críticos onde as vulnerabilidades cibernéticas podem se traduzir diretamente em consequências físicas. No entanto, ao entender a cadeia de mortes do atacante e implementar defesas em camadas, os utilitários podem reduzir significativamente seu perfil de risco. Com a adesão das equipes de TI e OT e a aplicação cuidadosa da estratégia, as subestações digitais podem ser colocadas em uma base de segurança excepcionalmente sólida e preparadas para qualquer ataque que os invasores possam tentar a seguir.