O relatório State of ICS/OT de 2024 mostra o crescimento do setor de cibersegurança desde 2019 e oferece insights sobre como melhorar até o ano de 2029.

Opiniões sobre os cinco controles críticos de segurança cibernética do SANS ICS

O relatório deste ano é organizado com base nos SANS Five ICS Cybersecurity Critical Controls, com perguntas, dados e análises de tendências oferecidas para orientar uma organização sobre como aplicar os controles, que foram publicados originalmente em outubro de 2022 por Rob Lee e Tim Conway.

Não quer ler sobre acesso remoto seguro? Pule! Interessado em incidentes cibernéticos não relacionados a ransomware que impactaram redes ICS/OT? Pule a seção!

Mas se você estiver com pouco tempo, aqui estão as “opiniões relevantes” para usar em sua próxima reunião de segurança (organizados dentro dos Cinco Controles Críticos):

1. Resposta a incidentes de OT

• • Graças ao aumento na detecção específica de ICS/OT, ficamos mais rápidos na detecção de incidentes cibernéticos em nossos ambientes industriais — passando de uma média de “dias” em 2019 para “horas” em 2024.
• • Infelizmente, após a detecção, nossa indústria ainda carece de resposta a incidentes específicos de ICS/OT, com apenas 56% dos entrevistados tendo uma.

2. Arquitetura Defensável

• • Nossa prioridade número um na criação de uma arquitetura defensável ainda são as proteções de rede, incluindo medidas de segurança de limites — o que faz sentido, considerando que o vetor de ataque número um em nossas redes ICS/OT ainda está se voltando da rede de TI corporativa. Nenhum desses fatos mudou drasticamente desde 2019.
• • As categorias de tecnologia mais usadas para arquitetura de segurança cibernética ICS/OT são controles de acesso, detecção e resposta de endpoint (EDR) e segmentação, entre outras. Curiosamente, tanto os controles de acesso quanto o EDR tiveram um crescimento massivo em instalações em ambientes industriais desde 2019.

3. Monitoramento de rede ICS

• • Embora nossa indústria tenha feito muito trabalho recentemente para entender redes ICS/OT e ganhar visibilidade, ainda temos um longo caminho a percorrer. Apenas 12% dos entrevistados tinham capacidades de monitoramento de rede ICS/OT “extensas”. Este foi o indicador número um de quão rápido um incidente cibernético ICS/OT foi detectado.
• • Além do monitoramento de rede ICS, 70% dos entrevistados usam algum tipo de detecção em suas instalações industriais, mesmo que a visibilidade seja limitada.
• • Apenas uma pequena parcela dos entrevistados, no entanto, tem um Security Operations Center (SOC) com capacidades ICS/OT (31%).

4. Acesso remoto seguro

• • Felizmente, a autenticação multifator (MFA) se tornou a norma para acesso remoto em redes ICS/OT, com 75% dos entrevistados aproveitando a tecnologia.
• • Dito isso, recursos básicos como registro e verificação de acesso ainda estão ausentes para muitos profissionais.

5. Gestão de vulnerabilidades baseada em risco

• • Assim como o uso de MFA, realizar avaliações anuais de segurança cibernética específicas de ICS/OT agora pode ser considerado “apostas de mesa” para instalações industriais. Historicamente, 70 a 75% dos entrevistados realizaram essas avaliações anuais desde 2019.
• • Infelizmente, a maioria dessas avaliações é baseada em papel e muito poucas fornecem as descobertas mais técnicas de avaliações de vulnerabilidade ativas ou testes de penetração específicos de ICS/OT.

Além dos Cinco Controles Críticos, o relatório deste ano também se aprofunda na gestão e governança da força de trabalho, com algumas conclusões igualmente surpreendentes:

• • A maioria (52,6%) da força de trabalho de segurança cibernética de ICS/OT trabalhou na área por cinco anos ou menos.
• • A maioria da força de trabalho também não tem certificações relevantes para o trabalho, com apenas 49% detendo (ou tendo tido) uma credencial específica de ICS/OT.

Compreendendo completamente a reação que esta próxima declaração pode provocar, os dados também são claros:

“Os CISOs oficialmente “possuem” a segurança cibernética de ICS/OT.“

Durante anos, e ainda hoje, houve um debate sobre o proprietário dos programas de segurança cibernética ICS/OT e os riscos associados. O argumento contra os CISOs que possuem programas ICS/OT é que instalações individuais podem conhecer melhor seus sistemas e que o CISO historicamente tem sido uma posição centrada em TI com pouca influência na cultura em OT e operações. Ao ensinar ICS418 com o coautor Dean Parsons, a resposta histórica da SANS a esse debate seria “depende”, pois todos nós vimos sucessos e fracassos quando o ICS/OT se reporta a CISOs, CTOs ou VPs de Engenharia.

Bem, os dados não mentem, e podemos fornecer alguns insights mais definitivos.

Primeiro, pelo gráfico abaixo, é evidente que desde 2019, os CISOs são altamente favorecidos para serem o “líder” da segurança cibernética ICS/OT:

Todas as outras categorias, como não tão sutilmente descritas acima, são “ruído” para o sinal — os CISOs são os proprietários principais repetidamente.

Enquanto isso, tal tendência influencia positivamente os programas de segurança cibernética ICS/OT. Os dados mostram rotineiramente que um programa de segurança cibernética ICS/OT liderado por CISO tem um orçamento compartilhado de TI-OT, que tende a ser maior do que qualquer instalação/local industrial específico pode gerenciar por conta própria.

Os CISOs também trazem ordem ao caos. Quando um CISO é responsável pela segurança cibernética ICS/OT, 82% de seus programas são mapeados de acordo com padrões, em comparação com 42% em corporações que não possuem políticas de segurança (uma diferença quase duas vezes maior).

Curiosamente, essa correlação tem ramificações maiores. Uma organização que mapeia os padrões de segurança e usa inteligência de ameaças específica de ICS/OT para informar seu programa tende a ser mais rápida na detecção (e resposta a) incidentes de segurança cibernética. Essas empresas têm 53% mais probabilidade de ter documentado todas as conexões externas com seus ambientes industriais.

No final das contas, os dados estão do lado da evolução do “CISO Industrial” para realmente possuir e entender as implicações da segurança cibernética de ICS/OT.

Isso significa que todo CISO industrial será bem-sucedido? Certamente não, e ainda haverá barreiras educacionais e culturais para operar e sustentar esses programas.

O que o futuro reserva?

Assim como nos anos anteriores, o relatório State of ICS/OT Cybersecurity de 2024 analisa os dados por trás de aproximadamente 40 categorias de tecnologia usadas para gerenciar o risco cibernético industrial. Incluímos a lista completa no apêndice, mas nos aprofundamos onde o maior crescimento, provavelmente, acontecerá) ajudar proprietários/operadores de ativos em seus planos de orçamento de 3 a 5 anos) tentar prever tendências com base no crescimento de 2019-2024.

Basta dizer que o futuro parece nublado. Tecnologicamente, isto é, já que 26% dos entrevistados agora estão utilizando tecnologias de nuvem para aplicativos ICS/OT — marcando um aumento significativo (+15%) em relação aos anos anteriores.

Enquanto isso, a inteligência artificial (IA) é um tópico importante para sistemas de TI, mas ainda tem um longo caminho a percorrer (com razão) até que a tecnologia seja alavancada em redes ICS/OT — embora os planos já estejam em andamento em várias organizações que participaram da pesquisa.

Quais os próximos passos?

Após concluir uma retrospectiva de 2019-2024, a pergunta lógica deve ser “como nos preparamos para os próximos cinco anos?” Independentemente do ponto de partida, onde as organizações devem concentrar seu tempo e esforço?

Com base nos dados, os três objetivos a seguir têm as maiores correlações e indicadores de um programa de segurança cibernética ICS/OT maduro e robusto:

• • Adote um programa baseado em padrões com governança centralizada e inteligência de ameaças específica para ICS, o que obviamente levará tempo se ainda não estiver em andamento. Isso também não é relegado apenas a organizações de médio ou grande porte — quando a inteligência de ameaças é centralizada em TI e OT em uma única equipe ou líder sênior, as pequenas organizações também viram rápida maturidade e melhorias em comparação com seus pares;
• • Priorize o desenvolvimento da força de trabalho, especialmente ao considerar a relativa “novidade” para profissionais de segurança de ICS/OT em comparação com seus pares de TI que podem ter passado mais anos em seu campo. Conforme mencionado no início — em nosso primeiro SANS ICS Security Summit, nem tínhamos cursos específicos de ICS. Isso foi há 20 anos. Muita coisa mudou, e a força de trabalho que protege a infraestrutura crítica precisa acompanhar as mudanças tecnológicas e os riscos em nossos ambientes industriais;
• • Avalie a adoção da tecnologia para entender quais tendências tiveram sucesso nos últimos cinco anos e quais tecnologias serão implantadas nos próximos cinco anos. Se houver uma clara maioria de organizações usando uma tecnologia (MFA para acesso remoto, EDR quando possível, segmentação, etc.) e sua organização ainda não a implementou, agora é a hora de usar esses benchmarks para implementar mudanças e proteger melhor suas instalações industriais.

Conheça a nova plataforma integrada de Cibersegurança da Clavis

Pensando em uma maneira de englobar todas as frentes de Cibersegurança, a Clavis criou uma plataforma inovadora para integração das diferentes ferramentas utilizadas pelos profissionais de Cibersegurança em seu dia a dia. A novidade foi apresentada durante o Mind The Sec, feira realizada em São Paulo, em setembro de 2024. A Plataforma de Segurança Clavis unifica as operações de segurança, permitindo que as equipes coordenem, automatizem e respondam a incidentes de forma mais eficiente e proativa. Ela atua como um centro de comando, unificando o gerenciamento de segurança, a resposta a incidentes e a gestão de vulnerabilidades baseada em risco.

Um diferencial da plataforma de segurança é o fato de que ela é desenvolvida com tecnologia própria. Por este motivo, a Clavis é reconhecida pelo Ministério da Defesa como “Empresa Estratégica de Defesa”. Essa característica implica diversas vantagens técnicas e comerciais.

“Do ponto de vista técnico, ser o detentor da tecnologia permite uma enorme flexibilidade na integração de novas ferramentas e na construção de inteligência de detecção. Se você tem um ativo estratégico para a condução de seu negócio – qualquer que ele seja – nós conseguimos dar visibilidade para os eventos de segurança associados a esse ativo”, explica Leonardo Pinheiro, CTO da Clavis.

A Clavis trouxe outra novidade para a Mind The Sec: um protótipo de inteligência artificial que potencializa a geração de insights de segurança aos clientes e usuários. O Clavis AI permite que o usuário da Plataforma faça consultas sobre aspectos de segurança do ambiente monitorado e obtenha dicas sobre como aprimorar a segurança de seus ativos e corrigir falhas.

Leonardo Pinheiro exemplifica: “Eu posso perguntar ao Clavis AI, por exemplo, quais computadores têm uma determinada vulnerabilidade e como mitigar os riscos associados àquela vulnerabilidade. E ainda posso fazer consultas que correlacionem diversas visões de segurança: vulnerabilidades, exposições, alertas, comportamento humano etc. O potencial é ilimitado!”.  Agora, a Clavis se prepara para iniciar um roadshow em que apresentará a nova Plataforma em eventos por todo o país, além da realização de seminários online.

Cibersegurança e IA em ICS/OT: considerações para o presente e o futuro

A integração de IA aos processos de engenharia e segurança cibernética de ICS/OT apresenta oportunidades para maior eficiência, resiliência e segurança.

Principais perguntas sobre IA em ICS/OT: abordamos perguntas comuns, observando que a IA não é uma prioridade imediata para a maioria dos ambientes de ICS em seus níveis de maturidade atuais, pois requer habilidades específicas e aumentará equipes maduras em vez de substituir funções humanas. Organizações em amadurecimento são melhores para implementar completamente controles específicos de ICS práticos priorizados imediatamente primeiro, com uma equipe humana de segurança cibernética bem estabelecida e treinada em ICS, conforme detalhado nos Cinco controles críticos de segurança cibernética de ICS.

Desafios e considerações para IA quando é hora de ICS: ao implementar IA para defesa e engenharia de ICS/OT, as equipes enfrentam desafios como qualidade de dados, lacunas de habilidades de IA e possíveis problemas de precisão do modelo de IA. Depois de concluir os Cinco controles críticos de segurança cibernética de ICS, o sucesso com IA requer dados de alta qualidade, administradores de IA qualificados e uma boa compreensão do impacto na segurança e nas operações quando a IA falha.

Integração de IA em ICS/OT: com conjuntos de habilidades adequados em vigor, a IA pode ser implantada e alavancada na segurança cibernética de ICS/OT para ajudar a melhorar a detecção de ameaças, resposta a incidentes, gerenciamento de vulnerabilidades e resiliência, em que a supervisão humana responsável é crucial.

Ao adotar a IA criteriosamente e em conjunto com a expertise humana (que tem TI, segurança de ICS/OT e conhecimento de engenharia), as organizações podem aproveitar seu poder transformador com recursos adicionais atribuídos, ao mesmo tempo em que garantem a robustez e resiliência de seus sistemas de infraestrutura crítica.

Estudo de caso de IA da ICS

Para este post, daremos uma breve olhada em como uma subestação elétrica, por exemplo, pode desejar considerar alavancar IA, tanto para funções de engenharia quanto de segurança cibernética de ICS. A suposição é que a instalação elétrica tenha uma equipe de segurança cibernética de ICS bem estabelecida que:

1. Priorize operações de segurança e engenharia;
2. Habilite defensores humanos que entendam segurança de TI;
3. Entenda segurança específica de ICS/OT e como os sistemas de engenharia operam;
4. Acompanhe e entenda técnicas de ataque adversário para sistemas de controle.

IA em Segurança cibernética para sistemas de energia elétrica

Instalações de energia elétrica, como muitos outros ambientes de infraestrutura crítica, enfrentam desafios únicos de segurança cibernética devido à natureza importante de suas operações, e que elas são muito diferentes de TI. A IA pode desempenhar um papel no enfrentamento de alguns desses desafios, como segue.

1. Detecção e resposta aprimoradas a ameaças: algoritmos de IA agora incorporados em ferramentas específicas de ICS, como SIEMs com reconhecimento de ICS e ferramentas de visibilidade de rede com reconhecimento de protocolo ICS, podem analisar grandes quantidades de dados de várias fontes dentro do sistema de controle. Por exemplo, a maioria pode fornecer visibilidade passiva e segura ao tráfego de rede de protocolo específico de ICS, instruções do sistema de controle industrial, registros de equipamentos de engenharia (PLCs, RTUs, IEDs, relés de controle de proteção, etc.) e métricas operacionais de historiadores de dados para identificar potenciais ameaças cibernéticas.

Exemplo: uma concessionária de energia pode implantar esses controles de segurança com reconhecimento de ICS para monitorar o tráfego de rede do sistema de controle para atividades incomuns, como fluxos de dados inesperados entre dispositivos de controle como HMI <-> PLCs, comunicações de/para historiadores, estações de trabalho de engenharia <-> PLCs etc. Por exemplo, um padrão de comunicação anormal entre uma estação de trabalho de engenharia e PLCs de produção e/ou sistemas de segurança ativos pode ser sinalizado como um indicador potencial de alterações não autorizadas ou potencial manipulação lógica, ataques de living off the land ou outro acesso não autorizado a dispositivos de controle. Um humano precisa estar por dentro aqui – alavancando a IA e essas ferramentas como apenas isso – uma ferramenta – para detectar e ajudar a analisar, não bloquear automaticamente instruções no tráfego de redes sem supervisão humana. Ao detectar anomalias precocemente, ou padrões que indiquem um ataque ou pré-posição de ferramentas de ataque, a IA pode alertar membros da equipe de segurança treinados específicos do ICS em tempo quase real, permitindo respostas rápidas, coordenadas e seguras a ameaças dentro da rede do sistema de controle. É muito importante reconhecer o fato de que TI e ICS/OT não são a mesma coisa. Portanto, ações padrão de TI, como descartar tráfego suspeito ou conceitos padrão de “bloqueio”, NÃO são recomendadas, com ou sem IA para ambientes ICS. Falsos positivos comumente impedem e interrompem as operações de segurança e engenharia.

2. Análise preditiva de ameaças: a IA pode ajudar a prever potenciais ameaças futuras com base em dados históricos de ataques, inteligência de ameaças específicas do setor e tendências de ataques em uma região específica. Essa capacidade preditiva permite que as organizações ajustem proativamente sua postura de segurança cibernética, como alterando os controles de rede ou atualizando os protocolos de segurança antes que um ataque ocorra.

Exemplo: a IA pode ser usada para analisar a inteligência de ameaças do ICS de incidentes cibernéticos passados ​​e prever ameaças futuras reconhecendo padrões em vetores e técnicas de ataque e ativos críticos que são implantados. Por exemplo, dados históricos mostram uma tendência de ataques de phishing visando as credenciais administrativas de operadores de sistemas de controle em redes de TI tradicionais, então alavancando contas válidas para tentar mudar da TI para o ambiente do ICS (que compõe aproximadamente 40% das ameaças aos ambientes do ICS). Com essas informações em mente, a IA pode ser usada para prever ameaças potenciais usando este e outros vetores já observados, onde a organização pode então tomar medidas preventivas, como reforçar os controles de acesso através dos limites da rede, acesso remoto adequado (seguro), treinamento de conscientização de segurança específico de engenharia e atividades dedicadas de caça a ameaças do ICS.

3. Gerenciamento e priorização de vulnerabilidades: a IA pode ajudar a priorizar vulnerabilidades avaliando seu impacto potencial nos sistemas de controle da organização, considerando fatores como criticidade do dispositivo de engenharia, nível de exposição que é muito diferente do que em redes de TI tradicionais e dados históricos de exploração. Isso permite uma abordagem mais estratégica para o gerenciamento de patches dentro do ICS que se concentra em riscos e prioridades de segurança. Uma abordagem baseada em risco específica do ICS reduz o risco de forma prática e alinhada com janelas de manutenção de engenharia programadas, o patch de segurança do ICS reduz o tempo de inatividade desnecessário da engenharia. Essa abordagem exige que humanos configurem e ajustem mecanismos de modelagem de IA.

Exemplo: Em um cenário de uma subestação de sistema de energia de produção, ferramentas de IA que analisam dados de vulnerabilidade e inventário de ativos podem ser usadas para detectar uma vulnerabilidade em um relé de controle de proteção crítico que pode interromper a distribuição de energia se explorado. Além disso, pode priorizar esse ativo crítico em vez de um ativo menos crítico, garantindo que os esforços de patch ou solução alternativa sejam focados onde mais importam – com base na inteligência de ameaças específica do ICS, com base na criticidade do dispositivo para o ICS geral e processo de engenharia. Um sistema de energia neste exemplo.

IA para Engenharia e Manutenção Preventiva

O uso de IA se estende além da segurança cibernética, oferecendo benefícios à engenharia e manutenção para operações de energia elétrica, por exemplo. Veja como:

1. Manutenção preditiva: a IA pode analisar dados de sensores e sistemas de monitoramento, em níveis mais baixos do Modelo Purdue dentro de sistemas de geração, transmissão e distribuição de energia, para ajudar a prever quando a manutenção pode ser necessária para o equipamento. Ao identificar falhas potenciais antes que elas ocorram, a IA pode ajudar as equipes de engenharia a planejar e programar atividades de manutenção proativamente, reduzindo interrupções não planejadas e estendendo a vida útil de equipamentos críticos de engenharia.

Exemplo: algoritmos de IA podem analisar dados de vibração de turbinas ou leituras de temperatura de transformadores para prever quando a manutenção pode ser necessária. Por exemplo, se configurado corretamente e gerenciado com segurança, um modelo de IA específico pode ajudar a detectar um aumento gradual na frequência de vibração em uma turbina, indicando que um rolamento provavelmente falhará antes do esperado. Esse insight preditivo permite que as equipes de manutenção primeiro verifiquem se os dados são precisos e, em seguida, programem reparos durante interrupções planejadas. Essa abordagem planejada reduz o tempo de inatividade e os custos de manutenção, evitando a necessidade de reagir a avarias inesperadas.

2. Otimização de Processos: A IA pode aumentar a eficiência da geração de energia analisando dados operacionais em tempo real e identificando oportunidades de otimização. Isso pode incluir o ajuste do uso de energia, minimizando perdas e ajustando parâmetros operacionais para melhorar a produção e a estabilidade geral.

Exemplo: Em uma usina de energia de ciclo combinado, a IA pode analisar dados de geradores de vapor de recuperação de calor, turbinas a gás e sistemas de resfriamento. Por exemplo, a IA pode recomendar a operação de turbinas com uma carga ligeiramente reduzida durante altas temperaturas ambientes para reduzir a demanda de resfriamento, resultando em menor consumo de combustível sem sacrificar a produção de energia. Esse tipo de ajuste preditivo pode levar a economias significativas de custos e melhor eficiência da planta.

Observação: Dados do sensor do sistema de controle, dados do historiador, outros dados do sistema de controle e registros de segurança devem ser armazenados em um local seguro com listas de controle de acesso apropriadas protegendo-os. E esses dados devem ser protegidos em redes confiáveis.

Conclusão

Concluindo, a integração da IA ​​em processos de engenharia e segurança cibernética de ICS/OT apresenta às organizações de energia elétrica (e outras operações de ICS) oportunidades para maior eficiência, resiliência e segurança. Os recursos da IA ​​em detecção de ameaças, manutenção preditiva e otimização de processos podem modernizar os sistemas de controle e melhorar as operações – quando cautela e priorização são aplicadas adequadamente.

Para concretizar esses benefícios, as organizações devem garantir que tenham pessoal qualificado, conjuntos de dados de alta qualidade e modelos de IA gerenciados, além de uma compreensão das limitações da IA ​​e do potencial impacto ou imprecisões que podem ocorrer. Com planejamento cuidadoso e supervisão humana responsável, a IA pode ser uma ferramenta transformadora, aumentando as equipes de engenharia e segurança cibernética de ICS existentes em ambientes de ICS/OT. À medida que a IA continua a evoluir, é essencial que as organizações se mantenham informadas, aproveitem a orientação de especialistas, coloquem a segurança e a engenharia em primeiro lugar, sempre, e equipem suas equipes estabelecidas com os recursos necessários para navegar neste cenário complexo de forma eficaz, no momento certo.

Para saber mais, clique aqui.