Riscos Cibernéticos para sistemas de gestão de edifícios

As infraestruturas, sistemas da estrutura e a segurança periférica são baseados em computação e, portanto, expõem a organização a muitos riscos possíveis na arena cibernética. A família de sistemas de gestão predial os BMS (Building Management Systems) tornaram-se ao longo dos anos o núcleo da gestão de todos os sistemas prediais desde portas e portões, passando pelos sistemas de iluminação, ar-condicionado e água, detectores e sistemas de alarme, elevadores e sistemas de segurança. Danos a esses sistemas podem causar grandes prejuízos na gestão da edificação e em casos extremos como ferramenta para ataques terroristas.

Por: Alex P. - consultor e especialista em segurança cibernética da Glocal Group

A família BMS inclui infraestruturas de ar-condicionado, sistemas de ventilação, iluminação, eletricidade, água, esgotos, sistemas de segurança e combate a incêndios, estacionamento e Segurança. Como os sistemas atuais são inteligentes e informatizados, na visão do invasor existem algumas oportunidades de ataque possíveis que podem afetar a funcionalidade ou, alternativamente, oportunidades de atacar a organização por meio desses sistemas. Assim, por exemplo, possível manipulação dos sistemas de climatização de forma a influenciar os processos de climatização e ventilação em salas de servidores, alagamentos de prédios, tomada de câmeras, etc. Pior ainda, a capacidade de prejudicar diretamente as pessoas sabotando o sistema de elevadores que fará com que ele desmorone, criando um pânico que levará a uma saída em pânico do prédio em que as pessoas serão feridas e muito mais.

O fato de dentro da organização existirem diferentes funções que confiam ou mantêm os sistemas também contribui para os aspectos de descentralização de responsabilidades, obscurece os processos de trabalho e abre mais possíveis riscos (como a dispersão da responsabilidade pelas áreas de manuseio e interfaces cibernéticas). Alguns riscos de segurança também são criados devido à dependência de fatores externos e de terceiros, incluindo fornecedores de software e hardware, instaladores, técnicos, pessoal de manutenção e outros fatores ao longo do eixo da cadeia de suprimentos. Muitas vezes também há uma desconexão profissional entre os elementos de proteção cibernética na organização e os elementos responsáveis ​​pela segurança física. Essa desconexão decorre principalmente de uma suposição (e talvez também da expectativa de vários elementos da organização, incluindo os elementos de segurança da organização) de que as equipes de TI cobrem, em qualquer caso, os aspectos cibernéticos em uma cobertura organizacional geral. Nesse ínterim, o gerente de segurança da organização é muitas vezes requisitado para questões de segurança relacionadas ao ciberespaço por diversos motivos, incluindo a sensação de proteção e a imunidade dos sistemas.

Tomemos como exemplo um simples evento clássico de instalação de câmeras em uma organização quando o ordenante é o órgão de segurança que, obviamente, caracterizou um plano de implantação de câmeras de segurança com o objetivo de controlar lateralmente a área e a área contra as ameaças. Segundo a maioria, o foco principal estará no plano de implantação de câmeras e nos aspectos físicos e operacionais quando o gerente de segurança da organização nem sempre fornecer todas as entradas necessárias para ameaças cibernéticas. Na ausência de configurações dedicadas para reduzir riscos cibernéticos, as câmeras de segurança podem ser uma vantagem significativa precisamente para o invasor. No teste de falhas, será difícil travar a A culpa é de fatores externos, mas da parte encarregada da operação dos sistemas. Portanto, o gerente de segurança no a organização também deve aperfeiçoar as questões cibernéticas e a imunidade dos sistemas juntamente com os fatores relevantes na organização. Como parte do processo de redução de riscos, na visão do gestor de segurança, existem diversas ações que podem garantir a redução dos riscos cibernéticos. Para fins de ilustração. Neste artigo, nos referiremos a dois sistemas - as câmeras de segurança e os controles de entrada, mas esses exemplos e recomendações são verdadeiros para todos os sistemas de gerenciamento de edifícios.

Incorporação de elementos cibernéticos organizacionais que acompanham o projeto e a atividade - para garantir o envolvimento próximo e próximo desses elementos na atividade.

Um processo preliminar de análise de risco que inclui a avaliação do risco do uso da câmera - esse processo orientará o gerente de segurança sobre como integrar controles que reduzirão o risco. O processo de análise e avaliação de riscos é influenciado, entre outras coisas, pelo modelo (e suas fragilidades), conectividade e conectividade, avaliação de possíveis riscos decorrentes do ambiente e localização (com ênfase nas câmeras externas), e até o nível de avaliação de danos em termos de vazamento de informações dessa câmera (tanto em termos de sensibilidade de segurança, privacidade, etc. ').

Examinando o significado de conectividade e conectividade FOTA (Firmware Over The Air)/OTA (Over The Air) - Embora pareça um pouco complexo, o processo se resume a examinar a conectividade com a Internet. As capacidades desta comunicação permitem a transferência de informações de forma eficiente e o recebimento de atualizações de hardware e software via Internet. Por outro lado, existem possíveis riscos de comunicação e controle descontrolados por parte do fabricante ou fornecedor, incluindo o recebimento de informações do sistema (principalmente, informações para fins operacionais), bem como a exploração dessa conectividade por uma parte hostil (Men In The Middle) para fins de ataque. A suposição de trabalho é que, como mencionado, essa conectividade pode enfraquecer a organização e até mesmo fornecer ao invasor a capacidade de reunir inteligência assumindo as câmeras nessa conectividade. Portanto, os controles possíveis e o requisito giram em torno da desconexão completa da Internet e neutralização da capacidade OTA, alternativamente em locais onde é necessário o controle remoto da câmera (filiais globais, etc.) um controle baseado em uma arquitetura de confiança zero (Zero Trust Architecture ) com base em processos de verificação para a propriedade deve ser implementado (o computador autorizado a realizar a atividade) e a entidade (o usuário ou parte autorizada para a atividade) aprovada para uso fora ou em alguns casos dentro da organização. A validação cruzada pode ser baseada no endereço IP ou endereço MAC do computador, autenticação biométrica ou autenticação dupla (2FA/MFA) desde que haja necessidade desta comunicação, o monitoramento também deve ser implementado a fim de apontar a exceção e os não aprovados operações.

Alterando as senhas DEFAULT das câmeras - uma das ações importantes tendo em vista que nos processos básicos de ataque o invasor tenta usar as senhas do fabricante (que são publicadas nos sites do fabricante e na Internet), tanto em formato físico mecanismos de ataque e adivinhação de senha e em um ataque usando mecanismos SHODAN e similares.

Implementação de configurações de segurança que existem no software e sistemas da câmera - os fabricantes estão cientes dos riscos e fornecem configurações de segurança profissionais que devem ser implementadas após a revisão e compreensão dos significados.

Analisar possíveis manipulações tecnológicas ou físicas à vista do atacante nas câmeras - a fim de implementar controles compensatórios no processo. Em um estudo realizado na Universidade Ben Gurion em 2018, foi demonstrada outra habilidade manipulativa interessante baseada em enganar um sistema de reconhecimento facial usando maquiagem. Por meio da análise do software da câmera e do processo AML (adversarial machine learning), as entradas foram recebido para o uso de expressões faciais e maquiagem com a finalidade de engrossar e de forma a enganar o sistema. O estudo também é interessante pela falta de destaque que dificulta inundar a exceção (a maquiagem) nos ambientes como um aeroporto, etc. Esta pesquisa e outras habilidades e outros eventos nos mundos de segurança implicam a necessidade de conhecer possíveis manipulações de câmeras de segurança (e sistemas de segurança em geral) e a capacidade de frustrá-las.

Impedindo a capacidade de adulteração com uma combinação de mecanismos antiviolação - com base no processo de análise de risco e priorização de tarefas da seguinte forma: Câmeras externas, câmeras A. Em áreas públicas e no final das câmeras internas que estão, obviamente, em áreas mais controladas e vigiadas.

Processo regular de testes de penetração de robustez - com o objetivo de garantir esses requisitos e examinar as medidas de segurança em torno da proteção das câmeras e os possíveis riscos decorrentes das câmeras.

Riscos decorrentes de sistemas de prevenção de acesso e componentes de leitor de cartão como estudo de caso:

Os sistemas e infraestruturas de controle da organização também requerem um processo de cobertura de risco. Assim, por exemplo, em vista da validade, a capacidade de aproveitar e controlar o sistema de emissão de crachás ou os componentes finais permitem o processo de coleta de informações confidenciais sobre fatores organizacionais, bem como recursos adicionais para manipular permissões, etc. O risco decorre essencialmente dos possíveis hacks para usar diferentes tipos de leitores de tags que abrem oportunidades para riscos de hardware e software para a organização. Nas considerações de equipamento, foram também tidas em conta as considerações do layout organizacional (por exemplo, agências globais) e, por vezes, também a capacidade de identificação com o cartão no posto de trabalho em ambientes não organizacionais. Outra consideração importante, à luz da necessidade de um estoque amplo, é também a consideração de custo. Assim, num estudo de caso sobre o possível apetrechamento e implementação de leitores de cartões numa determinada organização no estrangeiro, surgiram vários possíveis riscos decorrentes da componente leitora de cartões, existindo também o risco da utilização de leitores de cartões (PIV-Personal Identity Verification) desde o próprio uso de componentes de hardware ou software comprometidos ou desprotegidos no ciberespaço O software de hardware inclui comandos e códigos hostis de uma forma que expõe a organização aos seguintes riscos: capacidade de cópia, roubo de dados (incluindo função), permissões, riscos de exposição à privacidade .

Em algumas organizações existe um processo de emissão de um crachá para os funcionários. O processo de emissão das tags inclui um processo de registro em uma DATA BASE dedicada e a concessão de permissões horizontais dentro e fora da organização. A utilização da etiqueta permite ainda a utilização e identificação através de um componente de hardware para os computadores da organização. A análise de risco, que por sua natureza também é baseada na análise de incidentes, levantará alguns riscos possíveis no nível da organização. Esses riscos envolvem, entre outras coisas, o processo de adição e associação de bancos de dados, que inclui riscos cibernéticos (e também riscos legais) de vazamento de informações privadas dos funcionários, privilégios e outros detalhes. Este estudo de caso traz uma série de controles que permitem a redução do risco:

O processo de mapeamento dos riscos decorrentes do processo da cadeia de suprimentos nos processos de equipamento.

Integração de controles cibernéticos no processo de aprovação de fornecedores - como o uso de calculadoras para avaliar o risco decorrente dos fornecedores.

Controle dos fornecedores e integração de controles que garantem a redução dos riscos cibernéticos no eixo suporte posteriormente.

Examinar os componentes e software – como crédito usando o mecanismo VirusTotal conforme realizado no evento em questão (estudo de caso). É desejável que o processo de utilização do motor seja realizado offline.

Gerenciamento do processo de cadastro de funcionários e permissões no banco de dados de funcionários em uma rede separada sem acesso à internet - se houver necessidade de permissões globais, devem ser examinados os significados, riscos e controles para reduzir o risco (como criptografia do intermediário, impedindo a capacidade de copiar e codificar). Nesta seção, também será enfatizada a importância jurídica de acordo com a Lei de Bases de Dados.

Controle e baixe informações no próprio cartão.

Controle de autorização - uma vez a cada seis meses.

Criptografia de informações relacionadas a funcionários e processos de autorização.

Capacidade imediata de desativar um cartão de funcionário.

Aplicando mecanismos de monitoramento e prevenção de vazamento de dados (DLP- Data leak Prevention)- Um mecanismo para bloquear o tráfego de dados confidenciais e os processos de monitoramento nos dados - incluindo configurações de monitoramento de perda é a remoção de dados confidenciais da organização para a rede externa por meio dos sistemas DLP. Os processos de DLP devem ser associados e aplicados dessa forma a informações confidenciais e processos relacionados aos sistemas de segurança.

Em alguns incidentes, foi comprovada a capacidade do invasor de superar sistemas estruturais ou sistemas de segurança da organização, como: câmeras de segurança, sistemas de prevenção de acesso, etc. - também por meio de um ataque cibernético. A falta de definições, tais como: impedir a conexão de sistemas não autorizados à rede ou a conexão de sistemas à Internet possibilitou sua exploração com a finalidade de atacar e superar facilmente os sistemas de crença de segurança. Embora poucas definições sejam técnicas, mas na ausência de tratamento por um fator organizacional, então é necessário o envolvimento do gestor de segurança. Definir requisitos cibernéticos para as equipes técnicas reduzirá significativamente os riscos apresentados e possibilitará o funcionamento dos sistemas alto nível operacional.

O escritor é especialista da Glocal Group em segurança e cibernética e consultor de ministérios governamentais, indústrias de defesa e economia. Possui mestrado e conta com autoridades civis e estaduais nos mundos da segurança da informação e cibernética. Entre outras coisas, lida com consultoria para organizações e empresas em gestão de riscos, inovação, planejamento e caracterização de sistemas de segurança tecnológica, preparação de segurança para lidar com ameaças tecnológicas (incluindo treinamento executivo e treinamento prático para equipes técnicas), desenvolvimento de negócios para empresas nas áreas de HLS e cibernética e lidera centros de excelência e programas de treinamento avançado em cibernética e HLS para diversos órgãos dos setores civil, defesa, industrial e acadêmico.