SicuraMente

Eric Byres a Milano il 24 Ottobre 2011: si parla di mondi "post STUXNET"

AIIC (Associazione Italiana Esperti Infrastrutture Critiche) organizza a Milano il 24 ottobre 2011 ore 14.30-17.30 un incontro con uno dei più famosi esperti nel mondo della Cyber Security di reti e sistemi di controllo nell’industria e nelle infrastrutture.

Eric Byres, già professore e ricercatore presso BCIT (British Columbia Institute of Technology) di Vancouver, Canada ed oggi fondatore, CTO e VP Engineering di Byres Security è conosciuto come vero specialista di SCADA security con background da ingegnere di controllo di processo.
Eric è un esperto di Stuxnet (il Malware apparso l’anno scorso e che ha colpito in tutto il mondo impianti industriali ed infrastrutture) sul quale ha fatto ricerche ed ha scritto molti saggi ed articoli. Come ricercatore prima ed imprenditore poi ha raggiunto molteplici successi ed è stato insignito di premi e riconoscimenti quali ISA Fellowship e SANS Institute Security Leadership Award.
Eric partecipa attivamente alla definizione di standard di security industriale quali ISA99, IEC TC65/WG13, ecc. (per Bio e referenze vedi).

Riflessioni ed approfondimenti su attacco RSA

Tutti si ricorderanno dell'attacco ("extremely sophisticated cyberattack") subito dal colosso RSA lo scorso marzo (qui la lettera aperta ai propri clienti da parte RSA).

Tutto faceva supporre che eravamo di fronte ad un nuovo APT, un advanced persistent threat ai danni della società che fa della sicurezza il proprio core business con organizzazioni, agenzie governative ed istituzioni di tutto il mondo.

Un APT attack che si conclude sfruttando uno zero-day exploit relativo ad una vulnerabilità di Adobe Flash.

The email was crafted well enough to trick one of the employees to retrieve it from their Junk mail folder, and open the attached excel file. It was a spreadsheet titled “2011 Recruitment plan.xls.(*)

(*) Anatomy of an attack, RSA blog

In un primo momento l'allarme sembrava essere rientrato e che nessuno dei clienti RSA era a rischio.

Dopo qualche mese (fine maggio)  la Lockheed Martin (U.S. Defence contractor) denunciava il tentativo di intromissione ai propri sistemi tramite l'utilizzo di chiavi duplicate generate dal SecurID RSA.

Dopo qualche giorno, è la volta di un altro gigante della difesa americana. Ecco quanto si legge su wired:

“L-3 Communications has been actively targeted with penetration attacks leveraging the compromised information,” read an April 6 e-mail from an executive at L-3’s Stratus Group to the group’s 5,000 workers, one of whom shared the contents with Wired.com on condition of anonymity.

 Dopo qualche giorno anche la Northrop Grumman disabilita l'accesso remoto senza preavviso lasciando trasparire un ennesimo caso di intrusione.

A questo punto, con una seconda lettera aperta, RSA ammette la compromissione ed il furto di informazioni riservate (e l'utilizzo delle informazioni carpite nell'attacco alla Lockheed, ndr)

"Against this backdrop of increasingly frequent attacks, on Thursday, June 2, 2011, we were able to confirm that information taken from RSA in March had been used as an element of an attempted broader attack on Lockheed Martin, a major U.S. government defense contractor. Lockheed Martin has stated that this attack was thwarted."

e l'imminente sostituzione dei token SecurID emessi.

Fino a qui, specialmente per gli addetti ai lavori, è solo un riepilogo, spero gradito, di una vicenda molto grave sulla quale si è detto relativamente poco:

un APT attack, un "extremely sophisticated attack" che si conclude sfruttando uno zero-day exploit relativo ad una vulnerabilità di Adobe Flash.

Manca un capitolo: sappiamo che, lato client, tutto è partito da una mail...

"The email was crafted well enough to trick one of the employees to retrieve it from their Junk mail folder, and open the attached excel file. It was a spreadsheet titled “2011 Recruitment plan.xls."(*)

(*) Anatomy of an attack, RSA blog

Purtroppo non sono stati forniti da RSA ulteriori dettagli su questa "crafted well enough" email.

Alla F-Secure sono riusciti a risalire alla mail ed al file incriminato. Come?

Attenti al "MORTO"

Un nuovo Worm avvistato in rete: si chiama "Morto" ed attacca PC e server Windows, utilizzando DLL che lo diffondono attraverso le reti. Questo worm cerca privilegi "deboli" (come ad esempio password "comuni" usate da amministratori) per avere accesso a sessioni RDP (Remote Desktop).

Lo segnala Jonathan Pollet di Redtiger Security, specialista di security industriale ed esperto di SCADA security, che, pur iniziando a trovare le reti dei sistemi di controllo adeguatamente segmentate secondo lo standard ISA99, in molti assessment ha constatato come vengano ignorate le regole base per rendere più forti le credenziali per accesso ai sistemi Windows (password corte e scontate, a volte quelle di default, non vengono mai cambiate, ecc.) rendendo spesso inutili contromisure adottate per proteggerli. 

Jonathan Pollet, fondatore e presidente di Red Tiger Security è stato recentemente in Italia, invitato da AIIC a Roma a parlare su Advanced Persistent Threats (APC) e sui danni provocati da Stuxnet ed altre minaccie ai sistemi di controllo utilizzati nell'industria e nelle infrastrutture a livello internazionale.

http://www.redtigersecurity.com/security-briefings/2011/8/31/morto-worm-tries-weak-passwords-and-default-account-names-to.html 

Incidenti di security industriale? su RISI (The Repository of Industrial Security Incidents)

   

 

RISI è il database in cui vengono segnalati incidenti di security industriale che provocano "problemi" a reti e sistemi di controllo ed automazione nell'industria e nelle infrastruttura. Riportando un incidente si posso fornire preziose informazioni agli esperti che curano il database: sono poi loro ad analizzarli e correlarli con altri eventuali incidenti, per poi segnalare trend e le migliori strategie di protezione e rimedio per evitare guai ad altre industrie ed infrastrutture che potrebbero trovarsi in situazioni similari. Segnalando incidenti si ha diritto a consultare gratuitamente il RISI. Il riserbo e la riservatezza per chi segnala sono assicurati dai gestori del sito: non vengono infatti tracciati indirizzo IP ed email, ed è facoltativo fornire le proprie credenziali.

Qui il form per la segnalazione: http://www.securityincidents.org/survey.asp  

 

Parti dal presupposto che il tuo sistema SCADA abbia già una breccia...

 

  è questo titolo dell'articolo segnalato dal  "maestro" Eric Byres sul suo blog.

Parte da una constatazione: anche se (quasi) sempre ci sono firewall a proteggere le reti SCADA, non sono mai isolate dal resto ("...US Department of Homeland Security vulnerability assessments show an average of 11 direct connections between the control network and the enterprise network.")

ecco quindi due preziosi consigli: 

"My message to ICS and SCADA operators is this: you need to do two things about cyber security to make your plant safer and more reliable:

1. Learn about and start implementing defense-in-depth strategies so you have a process to contain an infection or breach. The ANSI/ISA-99 and IEC-62443 standards are a good place to start. 

2. Be a change agent in your organization. Start the ball rolling to develop the 10 Key Practices that Hayden mentions for dealing with security system breaches."

 

Security Summit 2011: opinioni, riflessioni e tendenze

Dopo il live twitting della seconda giornata del Security Summit 2011 (#SecuritySummit2011) a Roma in molti mi hanno chiesto opinioni, pareri, sensazioni e tendenze in ambito sicurezza.

Questa volta non voglio entrare nei dettagli dei contenuti della conferenza ma vorrei fornire una chiave di lettura di un po' più alto respiro possibilmente utile a chi non ha potuto partecipare e per chi ha voglia di confrontare le opinioni.

Gli argomenti trattati, come al solito in questa maratona di due giorni che è giunta alla terza edizione capitolina, sono stati tanti e spaziano dalla privacy ai proof of concept di attacchi 0-day, dalla mobilità e dalle botnet di dispositivi mobili ai sistemi documentali il tutto chiaramente nell'ottica del mantenimento della sicurezza informativa.

Anche a seguito di confronti informali e tavole rotonde con ex-colleghi, addetti ai lavori ed i tanti amici relatori e soci clusit sono emersi alcuni fili conduttori in entrambe le giornate: governance, intelligencee commitment.

Anche se i nomi di Sony, di RSA e di Poste Italiane non sono mai stati fatti ufficialmente difatto tutti gli interventi sottolineavano aspetti riconducibili alle tre debacle del momento.

Se da una parte si sente l'esigenza di monitorare con più assiduità e proattività le nuove minacce (cybercrime, APT e Information Leakage) dall'altra sembra che non sempre ci siano dei processi di governance che raccordino e governino nella loro interezza e ramificazioni tutti i processi afferenti la sicurezza informativa in azienda.

Inoltre in molti casi, nonostante il livello d'attenzione riconosciuto come necessario, è stato evidenziato anche un periodo in controtendenza rispetto agli investimenti ed al commitment sulla sicurezza delle informazioni in azienda (cfr. Return On Security Investments, ROSI, pdf v2).

La sensazione diffusa anche "a microfoni spenti" è che siamo di fronte ad un periodo di stasi interlocutoria, di attesa che, chiaramente, non trova analogia nei ritmi di crescita ed affinamento degli attacchi da parte del cybercrime.

Questo sbilanciamento potrebbe creare un gap di contromisure tecnologiche e, soprattutto, organizzative.

Forse, dovremmo rivedere gli investimenti nel settore sicurezza concentrandoli sulla pianificazione strategica e sul governo dei processi perché puntare solamente sugli end-point trasferisce il rischio su un fornitore, su un contratto ma il rischio vero ti resta ancora all'interno, proprio a ridosso del core business dell'azienda.

________
Taccuino 

 

Colloquia con Jonathan Pollet sulla protezione dei sistemi di controllo e SCADA dopo Stuxnet

Occasione ghiotta e rara quella di poter assistere a Roma (31 maggio 2011 ore 15-17) allo speech di Jonathan Pollet, esperto Usa di Cyber Security, uno dei massimi esperti di protezione di sistemi SCADA per controllo e telecontrollo di impianti nelle infrastrutture e nelle industrie di produzione.
L’argomento prescelto, attuale ed innovativo, riguarda alcuni degli aspetti più insidiosi che si sono affacciati sui sistemi di controllo con l’avvento di Stuxnet nel 2010: le Minacce Avanzate e Persistenti (APT, Advanced Persistent Threats).
Il relatore, Jonathan Pollet, ha avuto esperienze di ingegneria di sistemi e loro protezione in aziende petrolifere, di energia, industriali ed Infrastrutture Critiche sia in USA che in altri Paesi. Da oltre 10 anni la Industrial Cyber Security è la sua professione.
La conferenza è aperta a tutti ed è gratuita, previa registrazione: Qui trovate la locandina ed il modulo di iscrizione

P.S. L’amico-collega Jonathan Pollet, in coda alla Tavola Rotonda che conclude l’incontro, si è reso disponibile a rispondere in diretta, a quesiti che pensate possano essere interessanti anche per altri partecipanti. Non esitate quindi a farmeli pervenire in anticipo per poterli poi discutere apertamente in sala.

Bruce Schneier (Bt): "Gli Stati si preparino alle cyber-war"

 Bruce Schneier, uno dei relatori più seguiti al recente Security Summit organizzato da Clusit a Milano a Marzo 2011, e CTO dell'operatore inglese British Telecom, afferma: "Servono strategie chiare per proteggersi dagli attacchi. E' urgente capire a chi spetta la difesa delle infrastrutture critiche di un Paese"

...  articlo completo qui

Aruba downtime: osservazioni

I servizi IT sono fallibili, proprio per la natura stessa degli elementi infrastrutturali sottesi all'erogazione del più semplice e banale servizio ICT.

Il 29 aprile è una data che gli addetti ai lavori e, soprattutto, gli utenti Aruba non dimenticheranno facilmente visto che un "principio d'incendio" in un loro datacenter ha causato un downtime totale dei servizi di svariate ore.

Ricordando l'incipit e tenendolo bene a mente per tutta la durata della lettura di questo appunto vado a puntualizzare alcuni aspetti.

Punto primo

C'è chi grida allo scandalo perché disservizi di ore sono ingiustificabili, perché esistono soluzioni di Business Continuity tali da evitare downtime di diverse ore (anche più di 8);

Verissimo, esistono eccome. Tra le varie soluzioni di BC rientra anche la realizzazione o la fruizione di un sito di Disaster Recovery *MA* non si può pretendere certo di fruire di un sito DR se paghi un host condiviso a qualche decina di euro al mese o addirittura all'anno.

 

Punto secondo

Associazione consumatori richiedono la class action contro il fornitore per i danni derivanti dal disservizio.

In linea di massima mi sembra una posizione corretta ma esistono i contratti e anche gli SLA, gli accordi sui livelli di servizio.

E poi c'è Aruba che nel punto 14) e 14.x) del documento Condizioni Generali di Contratto Webfarm Services specifica chiaramente che lo SLA offerto prevede una disponibilità *best effort* e non garantisce *niente*.

A titolo esemplificativo e non esaustivo incollo il punto 14.4:

14.4: In tutti i casi sopra elencati, e in ogni caso in cui si manifesti una sospensione e/o interruzione del Servizio, a qualsiasi causa dovuta, ad eccezione dei casi in cui tali situazioni siano dovute a dolo o colpa grave di Aruba, quest’ultima non sarà in alcun modo responsabile nei confronti del Cliente o di Terzi per la mancata disponibilità del Servizio, impegnandosi ad assicurare la migliore funzionalità del sistema ma non garantendo comunque la continuità del servizio, l'integrità dei dati memorizzati o inviati attraverso il sistema di Aruba e/o attraverso internet. Il Cliente, pertanto, prende atto ed accetta che non potrà avanzare alcuna richiesta di risarcimento danni, siano essi diretti o indiretti, prevedibili o imprevedibili, di rimborso o di indennizzo (a titolo esemplificativo e non esaustivo, per perdite economiche/finanziarie, di affari, di ricavi e di utili e/o di avviamento commerciale) nei confronti di Aruba per il verificarsi di ritardo, cattivo funzionamento, sospensione o interruzione del Servizio e la solleva, ora per allora, da qualsiasi responsabilità in proposito.

In ogni caso, piaccia o no, tenere a mente il punto uno.

(Mi viene da pensare all'integrità dei dati non garantita: vedi servizio PEC)

 

Punto terzo

Nella sezione modulistica e contratti non mi sembra venga fatta distinzione da soluzioni in hosting condiviso da 10 euro all'anno o server dedicati da 300 euro al mese.

Se ho ben inteso (e spero di ricevere tante smentite in proposito) cambia la connettività, la soluzione tecnologica, i servizi erogati e le loro prestazioni ma non la disponibilità degli stessi (vedi punto 2 e punto 1).

Molto mi verrebbe da dire in relazione al servizio PEC ed ai danni derivanti dalla mancata erogazione (l'integrità dei dati di un servizio PEC deve rispettare una normativa specifica e rigorosa).

 

Punto quarto

Le comunicazioni ufficiali.

Ore 11:25 (stralcio):

Si è verificato un principio di incendio nel Powered center della server farm principale che ha coinvolto le batterie degli UPS senza intaccare le sale dati.

Il sistema antincendio si è attivato facendo scattare l' energy power off togliendo per sicurezza energia all'intera struttura come da procedura.

Stralcio del comunicato stampa:

Inoltre, nonostante sia consuetudine installare le batterie all’interno del data center, per evitare il ripetersi di quanto accaduto, da oggi le batterie del data center di Arezzo e di tutti gli altri data center del Gruppo Aruba saranno installate in appositi locali, esterni e separati dalla struttura principale.

Ora, in primo luogo non è affatto una consuetudine tenere gli ups nei data center. Almeno non mi risulta lo sia per fornitori diversi da Aruba.

Inoltre, cosa ancora più importante del "mal comune mezzo gaudio", il comunicato stampa che, a mio avviso, smentisce de facto quanto affermato nel primo comunicato.

Dal comunicato stampa si capisce chiaramente che c'è una consuetudine (palesemente falso, ndr) di alloggiare le batterie UPS all'interno dei data center ma che, "per evitare il ripetersi di quanto accaduto", da *oggi* *saranno* delocalizzate in appositi locali esterni e separati dalla "struttura principale" ossia elaboratori, dispositivi di routing, dati, etc.

Questo significa che, fino a *ieri*, erano localizzate insieme a detti ambienti. Questo cozza completamente con quanto affermato nel primo comunicato dove si specificava che il principio d'incendio non ha interessato le sale dati.

Un po' di confusione, forse, può starci in momenti di emergenza come quello vissuto dallo staff di Aruba.

Certo è che il lettore resta perplesso, l'utente si perplime decisamente di più.

 

Ho riassunto anche le mie personali conclusioni: le trovate sul taccuino.

_________
Taccuino

"Night Dragon", cyber-attacco alle infrastrutture energetiche

Da "Repubblica": Già colpite una dozzina di multinazionali del settore sparse in Europa, Cina e Stati Uniti. L'operazione è simile a quella lanciata alla fine dello scorso anno contro le aziende nucleari iraniane. Intanto, gli hacker di "Anonymous" annunciano per domenica una nuova offensiva contro i siti del governo italiano

qui l'articolo