O bloqueio veio de dentro do próprio equipamento

Nas noites de 26 e 27 de julho um operador do Minnesota foi mudar um parâmetro no controlador de uma estação de tratamento de água e descobriu que a palavra-passe já não era a sua. Na mesma janela foram atingidos mais de 30 sistemas municipais de água e saneamento em todo o estado. O Minnesota foi apenas o primeiro a dizê-lo em público. No final da semana o FBI tinha comunicações de empresas de pelo menos sete estados e, na nota conjunta com a agência ambiental EPA de 30 de julho, registou que parte dessa atividade degradou a exploração da água.

Vale a pena dizer com precisão o que fizeram os atacantes, porque não se parece com o que quase toda a gente imagina ao ouvir a palavra intrusão. Alcançados os controladores expostos à internet, mudaram os endereços IP dos equipamentos e depois ativaram e definiram palavras-passe. O FBI descreve o resultado como perda de visibilidade e, nalguns casos, perda de função do equipamento ligado. Nada foi cifrado e não houve pedido de resgate. As empresas mantiveram todos os ficheiros que tinham. O que perderam foi a capacidade de falar com as suas próprias máquinas. Entre os efeitos comunicados ao FBI houve perda de pressão e inundações, e os operadores voltaram a conduzir as instalações à mão.

Leia a segunda instrução, não a primeira

A primeira instrução de ambas as agências é a óbvia: retirar de imediato os controladores da internet pública. A CISA, que em 30 de julho enviou o seu próprio alerta ao setor da água e do saneamento e falou de uma escalada significativa da atividade dirigida aos autómatos programáveis, acrescenta o isolamento físico da rede e a remoção de qualquer equipamento exposto publicamente. O conselho está certo e quase ninguém o vai contestar.

A segunda instrução é a que decide quanto tempo uma instalação fica parada. O FBI pede aos operadores que garantam ter uma cópia de segurança limpa e conhecida da imagem do controlador, caso uma palavra-passe alterada os deixe de fora. A CISA chega ao mesmo ponto através de um arranque a frio que apaga o endereçamento e o programa. Ambos são reposições, não correções. A solução recomendada retira o atacante retirando tudo, e a instalação só regressa quando alguém volta a colocar o programa.

A reposição é um ficheiro, e talvez não seja o senhor a guardá-lo

É aqui que uma estação de água se afasta de uma rede de escritório, e é aqui que a orientação pressupõe em silêncio algo que a maioria dos operadores nunca verificou. Repor um controlador não significa reinstalar o software de um fabricante. Significa carregar o programa escrito para aquela instalação concreta: a lógica de contactos que sabe que este local tem dois furos e uma estação elevatória, que esta bomba não pode trabalhar abaixo daquela pressão, que esta válvula está encravada com aquele alarme. Esse programa existe como ficheiro de projeto e é único para o local.

Na maioria das estações de água europeias a versão em vigor desse ficheiro não está na empresa de água. Está no integrador de sistemas que pôs a linha em serviço, por vezes há anos, ocasionalmente com um engenheiro que entretanto saiu. A empresa é dona do equipamento, paga a manutenção e carrega o dever regulamentar, ao passo que o objeto que faz o equipamento funcionar está guardado por um empreiteiro sem obrigação expressa de o manter atualizado ou de o entregar quando lhe for pedido. O arranjo é invisível enquanto não houver nada para repor. Toda a segunda instrução do FBI assenta nele.

A versão honesta da pergunta não é, portanto, se tem as atualizações em dia. É esta: se um controlador fosse reduzido ao estado de fábrica esta tarde, quem lhe envia o ficheiro, quanto tempo demoraria e alguma vez alguém confirmou que o ficheiro guardado carrega mesmo no equipamento que tem hoje a trabalhar? Um ficheiro de projeto que ficou três anos atrás de alterações não documentadas no local não é uma cópia de segurança. É uma peça de arquivo.

Uma cópia com data não é o mesmo que uma cópia limpa

Há um pormenor na nota do FBI que muda o tratamento a dar às cópias que de facto tem. Pelo menos uma organização comunicou ficheiros de projeto de autómato alterados, depois de ter reparado em discrepâncias na lógica de contactos em várias das suas instalações. Alguém comparou o que estava a correr com o que deveria estar a correr, em mais do que um local, e encontrou uma diferença. Isso não é um bloqueio. É uma edição.

Assim que os ficheiros de programa entram em jogo, ter uma cópia de segurança deixa de bastar, porque uma cópia feita depois do acesso repõe fielmente a versão do atacante. O que passa a mandar é a data. Precisa de uma cópia que consiga datar de antes do acesso mais antigo plausível, e de uma forma de a comparar com o que está hoje no equipamento. Para as empresas que utilizam as séries Allen-Bradley MicroLogix 1100 e 1400 nomeadas pelo FBI, ou os equipamentos da Siemens e da Schneider Electric que a CISA também assinala, essa comparação é trabalho corrente de engenharia. Só é difícil porque quase ninguém tem uma cópia de referência com que comparar.

A NIS2 já lhe pergunta isto, numa alínea que ninguém lê

A água potável e as águas residuais são setores essenciais do anexo I da NIS2, pelo que os operadores europeus estão no degrau mais exigente do regime. A alínea que morde aqui não é o prazo de notificação. É o artigo 21.º, n.º 2, alínea d), que exige segurança da cadeia de abastecimento, incluindo os aspetos de segurança da relação entre uma entidade e os seus fornecedores diretos e prestadores de serviços. Um integrador que guarda a única cópia funcional do programa que comanda uma estação de água potável é exatamente essa relação, e o facto de se tratar de um arquivo guardado e não de uma ligação de rede não a coloca fora da alínea.

Três coisas valem a pena esta semana e nenhuma exige saber quem esteve por trás. Registe, controlador a controlador, quem guarda o ficheiro de projeto em vigor e ao abrigo de que cláusula contratual. Faça a sua própria cópia, guarde-a fora de linha e anote a data. Depois comprove, durante uma paragem programada, que essa cópia carrega num controlador, porque uma reposição não ensaiada é uma convicção e não uma capacidade. Braham, uma localidade do Minnesota com cerca de 1 700 habitantes, regressou em duas horas porque as suas equipas sabiam conduzir a instalação à mão. A condução manual compra-lhe horas. Que a instalação volte aos seus comandos, compra-lho o ficheiro, e só se ele existir.

Leia a seguir: Aplicar o patch ao SharePoint já não fecha a porta  |  A primeira plataforma de agentes de IA que a CISA obriga a corrigir