Aspecte generale ale testării de penetrare în ICS/SCADA

Aspecte generale ale testării de penetrare în ICS/SCADA

Procesul de realizare a unei evaluări de securitate cibernetică în ICS este inițiat cel mai adesea printr-o întâlnire între liderul echipei tehnice și persoanele-cheie din cadrul organizației ICS. Se vor purta discuții despre arhitectura de nivel înalt, modul în care este configurat sistemul, ce servere ICS și alte componente-cheie sunt prezente și poziția lor în diagramele de rețea. După prezentarea structurii ICS, discuțiile se vor concentra pe identificarea vectorilor de atac incluși în planul de testare.

În etapa de pre-evaluare, vor fi stabilite și regulile de angajament ale evaluării. Aceste reguli includ declarații privind problemele cunoscute și o listă de procese și adrese IP care vor fi excluse din testare. Se stabilesc, de asemenea, persoanele de contact responsabile pe durata testării, precum și un calendar al testelor.

Odată ce testul începe, configurația sistemului va rămâne neschimbată.

Niveluri de informare

Testele de penetrare simulează un atacator al cărui țintă este o companie sau un obiect de interes particular. De regulă, testerii au cunoștințe reduse sau inexistente despre rețeaua companiei. Echipele de evaluare a securității primesc acces direct la țintă, cu niveluri variate de informare.

Cantitatea de informații dezvăluite testerilor poate varia de la absența totală a informațiilor până la dezvăluirea completă a diagramelor de rețea, codului sursă, adreselor IP și așa mai departe. Aceste abordări sunt cunoscute sub numele de black-box testing versus white-box testing. Tot ceea ce se situează între cele două extreme este cunoscut sub denumirea de gray-box testing.

Beneficiarii ICS pot solicita teste de penetrare de tip black-box pentru a obține certificarea de securitate sau pentru a îndeplini cerințele de autoevaluare reglementară. Cu toate acestea, orice atac real asupra unui sistem va necesita cel mai probabil un anumit nivel de cunoaștere a sistemului, iar orice atacator intern ar dispune de cel puțin la fel de multe informații ca și beneficiarii sistemului. În cele mai multe cazuri, este preferabil să se ia în considerare scenariul cel mai nefavorabil și să se furnizeze testerilor cât mai multe informații posibil, presupunând că orice atacator a obținut deja aceste informații.

Gray-box testing este, în general, soluția optimă pentru compararea avantajelor testării black-box și white-box, în funcție de situație.

Definirea scopului testelor de penetrare în infrastructuri ICS

Un test tipic de penetrare în securitatea cibernetică se concentrează pe mediul IT / corporativ și pe vulnerabilitățile expuse lumii exterioare care pot permite unui atacator neautorizat accesul prin Internet. Aceste teste legate de Internet sunt mai puțin frecvente în evaluarea ICS. Componentele SCADA sunt considerate ținte principale pentru atacurile cibernetice.

Protocoalele utilizate în ICS diferă de cele din IT. Mulți furnizori ICS utilizează protocoale proprietare pentru comunicarea între procese. Aceste protocoale au fost dezvoltate când sistemele ICS erau izolate de mediul corporativ, iar securitatea nu era luată în considerare. De asemenea, faptul că protocoalele erau proprietare i-a determinat pe unii furnizori să creadă în mod eronat că un atacator nu le-ar putea exploata. Comunicațiile cu dispozitivele portabile folosesc adesea protocoale publice standard, precum Distributed Network Protocol 3.0 (DNP) și Modbus.

Aceste protocoale au fost dezvoltate inițial pentru conexiuni seriale, dar au fost suprapuse peste TCP/IP pentru comoditatea și eficiența comunicațiilor LAN/WAN. Multe dintre aceste protocoale industriale nu dispun de mijloace de autentificare sau verificare a integrității, iar unele protocoale industriale sunt publicate cu informații disponibile liber pe Internet. Având în vedere că sistemele ICS nu mai sunt izolate de mediul corporativ / IT, aceste protocoale nesecurizate pun în pericol sistemele critice.

Aspecte privind impactul testelor de penetrare

Testele tipice de penetrare caută vulnerabilități IT cunoscute care pot fi exploatate (adesea cu exploit-uri publicate) pentru a obține acces neautorizat la rețea. Testerii de penetrare încearcă de obicei să exploateze efectiv vulnerabilitățile pentru a pătrunde în sistem. Semnificația accesului neautorizat este determinată de impactul asupra celor trei obiective de securitate definite pentru informații și sisteme informaționale: confidențialitate, integritate și disponibilitate (CIA). Conform unui standard federal de procesare a informațiilor, pierderea confidențialității înseamnă dezvăluirea neautorizată a informațiilor, pierderea integrității înseamnă modificarea sau distrugerea neautorizată a informațiilor, iar pierderea disponibilității înseamnă întreruperea accesului la sau a utilizării informațiilor sau a sistemului informațional. Pentru sistemele IT obișnuite, obiectivele de securitate CIA sunt enumerate în ordinea importanței, confidențialitatea fiind considerată cea mai importantă. În general, cea mai semnificativă diferență între domeniul ICS și domeniile IT corporative este cerința ridicată de disponibilitate pentru funcționalitățile de monitorizare și control.

Securitatea cibernetică reprezintă protecția informațiilor transmise și stocate pe un calculator din rețea. Obiectivele securității cibernetice sunt următoarele:

• Protejarea confidențialității informațiilor private;

• Asigurarea disponibilității informațiilor pentru utilizatorii autorizați într-un mod oportun (autentificare, non-repudiere);

• Protejarea integrității informațiilor (adică acuratețe, fiabilitate și validitate).

Vulnerabilitățile sunt adesea exploatate în cadrul unei evaluări de securitate cibernetică ICS. Cu toate acestea, orice dezvoltare de exploit-uri se realizează într-un mediu de evaluare sau dezvoltare și niciodată pe un sistem activ. Pentru ICS, obiectivele de securitate CIA sunt în ordine inversă, disponibilitatea fiind considerată cea mai importantă. Personalul din industrie poate folosi adesea termenul „securitate” atribuit disponibilității și fiabilității.

Sistemele care controlează infrastructura critică trebuie să funcționeze continuu, iar impactul unei defecțiuni poate avea efecte catastrofale. Deoarece sănătatea și siguranța publică pot fi puse în pericol, vulnerabilitățile descoperite în cadrul evaluării de securitate cibernetică ICS nu sunt niciodată exploatate, cu excepția cazului în care testul poate fi efectuat pe componente izolate sau offline. Echipa va colabora cu inginerii ICS și alți angajați ai fabricii pentru a determina impactul potențial al vulnerabilităților identificate în ICS.

Nimic nu trebuie făcut în rețeaua ICS activă care să interfereze cu sau să perturbe cronologia operațiunilor sistemului. În mediul ICS, obiectivele de securitate ale lumii IT sunt înlocuite de sănătatea și siguranța umană, disponibilitatea sistemului și oportunitatea și integritatea datelor. Aceasta este diferența majoră între evaluările ICS și securitatea IT. Această diferență se aplică și strategiilor de atenuare. Nicio soluție de securitate cibernetică nu poate fi implementată în rețeaua ICS dacă interferează cu capacitatea de răspuns a sistemului.