August 1, 2016 | Author: Josefina Cárdenas Silva | Category: N/A
Download UNA REVISIÓN DE CIBERDEFENSA DE INFRAESTRUCTURA CRÍTICA*...
UNA REVISIÓN DE CIBERDEFENSA DE INFRAESTRUCTURA CRÍTICA* A Review of Cyber Defense of Critical Infrastructure Juan Anabalón R.** y Eric Donders O*** RESUMEN:
El descubrimiento del gusano Stuxnet, malware que afectó el proyecto nuclear iraní en Natanz el año 2010, se considera como el puntapié inicial de lo que se conoce como ciberguerra. Después de este descubrimiento y las nuevas revelaciones hechas por Edward Snowden respecto del masivo espionaje realizado por la NSA, han proporcionado un nuevo contexto político y estratégico en cuanto a las nuevas amenazas cibernéticas. En este trabajo se realiza una revisión de las actuales amenazas cibernéticas y la infraestructura crítica que puede verse afectada, con especial énfasis en el sistema eléctrico nacional y se establecen los nuevos desafíos tecnológicos que conciernen a tales infraestructuras críticas automatizadas.
ABSTRACT:
The discovery of the Stuxnet worm, malware that hit the Iranian nuclear project in Natanz in 2010, is considered as the initial tip of what is known as cyberwar. After this discovery and the new revelations made by Edward Snowden on massive spying by the NSA, they have provided a new political and strategic context in terms of the new cyber threats. This paper is a review of the current cyber threats and critical infrastructure that may be affected, with special emphasis on the national electricity system and sets new technological challenges related to such automated critical infrastructure. Key words: Cyberwar, critical infrastructure.
cyberdefense,
Palabras clave: Ciberguerra, ciberdefensa, infraestructura crítica
*
Recibido: enero de 2014; aceptado: mayo de 2014. Este artículo es uno de los productos de la tesis “Una Evaluación de Vulnerabilidades en Sistemas de Control de Supervisión y Adquisición de Datos (SCADA) en Plantas de Generación Eléctrica”. Trabajo de titulación para obtener el grado de Magíster en Seguridad, Peritaje y Auditoría en Procesos Informáticos de la Universidad de Santiago de Chile. ** OƂcial de Seguridad de la Información (CISO) e investigador independiente, Ingeniero de ejecución en Informática y Licenciado en Ciencias de la Ingeniería, Magíster (c) en Seguridad, Peritaje y Auditoría en Procesos Informáticos de la Universidad de Santiago de Chile. rodrigo_
[email protected]. *** OƂcial de Seguridad de la Información (CISO), Ingeniero en informática de la Universidad de Chile, Máster en Seguridad Informática de la Universidad Central de Chile, académico del Magíster en Seguridad, Peritaje y Auditoría en Procesos Informáticos de la Universidad de Santiago de Chile.
[email protected].
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
131
Juan Anabalón R. y Eric Donders O.
INTRODUCCIÓN Antiguamente, los procesos de cybersecurity estaban alejados de toda actividad militar e inteligencia, sin embargo, con el devenir de los avances tecnológicos y la informatización de todas las operaciones, los procesos de cybersecurity son actividades que no deben despreocuparse tanto a nivel logístico, táctico y operacional. Tal como en el mundo civil, en la industria militar se opera a través de procesos industriales automatizados y los sistemas SCADA (Supervisory Control and Data Acquisition) son parte importante en todo el proceso. Un ataque cibernético directo y certero contra este tipo de infraestructura puede tener serias consecuencias para la continuidad operacional de los sistemas por lo que se hace necesario considerar todo tipo de acciones para proteger, asegurar y promover conductas de seguridad en la implementación y mantención de Sistemas de Control Industrial (ICS, por su sigla en inglés). En seguridad informática, una vulnerabilidad implica que existen puntos débiles en la infraestructura tecnológica, políticas o de procedimientos, por lo que un atacante puede utilizar un conjunto de aplicaciones o métodos para romper la seguridad y explotar los puntos débiles en las redes y comprometer los sistemas. Una de las actividades extendidas en ambiente de redes IT, para poder aplicar contramedidas a estas vulnerabilidades, consiste en adelantarse a las acciones maliciosas y realizar una intensiva búsqueda de vulnerabilidades antes que un atacante real las descubra primero. Un análisis de vulnerabilidades o Ethical Hacking es un buen comienzo para descubrir problemas de seguridad en redes y sistemas SCADA y pueden ser aplicados sin mayor inversión. Este tipo de actividad se puede transformar en el puntapié inicial de un programa de seguridad informático con un enfoque holístico y de proceso para la administración de la infraestructura crítica.
Infraestructura crítica: descripción general infraestructura Las infraestructuras críticas son sistemas físicos y sistemas basados en sistemas computacionales complejos que forman parte importante en una sociedad moderna y su funcionamiento Ƃable y seguro es de suma importancia para la vida económica y la seguridad nacional1.
1
132
TEN, Chee-Wooi and LIU, Chen-Ching. Cybersecurity for Critical Infrastructures: Attack and
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
UNA REVISIÓN DE CIBERDEFENSA DE INFRAESTRUCTURA CRÍTICA
Si llegase a ocurrir un incidente de seguridad en estos sistemas podría tener incluso impacto a nivel nacional, un gran impacto en los sistemas físicos que dependen de tales sistemas y un gran impacto en la vida de los ciudadanos. La seguridad física de la infraestructura de las plantas industriales es muy importante para evitar actos vandálicos comunes en subestaciones o plantas de gas. Sin embargo, la seguridad en redes es tan importante como la seguridad física debido al impacto potencial que se puede alcanzar al manipular maliciosamente, por ejemplo, los sistemas SCADA o PLC de una planta eléctrica, de agua, gas, petróleo, cobre u otro tipo. Por ejemplo, dentro del sistema eléctrico se puede encontrar este tipo de sistemas en distintas instalaciones y en distintas funciones operativas. Generación de Energía: Los sistemas SCADA tienen mucha presencia en el sector de la energía, especialmente en las plantas de generación termoeléctricas como de generación hidráulica. No obstante también existen instalaciones más pequeñas, como plantas de generación eólicas que están empezando a instalarse en nuestro país. Distribución y Transmisión: Al igual que en los sistemas de generación, los sistemas SCADA se encuentran ampliamente extendidos en la distribución de energía. Estos sistemas de transmisión y distribución tienen un grado de dependencia muy alto respecto a esta tecnología, ya que estos sistemas igualmente deben ser monitoreados y controlados de forma remota.
Infraestructura crítica eléctrica en Chile En Chile se han desarrollado algunos estudios de infraestructura crítica a nivel gubernamental por distintas secretarías de Estado. En el caso de la infraestructura crítica de telecomunicaciones se reƂere a “aquellas redes cuya interrupción o destrucción podría producir un serio impacto en la salud, seguridad o bienestar de la población o producir un serio impacto en el funcionamiento del gobierno o de la economía del país”2.
Defense Modeling. IEEE Transactions on Systems, Man and Cybernetics, Part A: Systems and Humans. July 2010. Vol. 40, no. 4, p. 853 – 865. DOI 10.1109/TSMCA.2010.2048028. 2
ZAGREB, Consultores Ltda., SUBSECRETARÍA DE TELECOMUNICACIONES y MINISTERIO DE TRANSPORTE Y TELECOMUNICACIONES. Estudio para la deƂnición e identiƂcación de infraestructura crítica de la información en Chile. Diciembre 2008.
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
133
Juan Anabalón R. y Eric Donders O.
En este sector, los elementos de red más críticos corresponden a las redes de transporte y estos además están seriamente expuestos a amenazas de tipo físico debido a que sus componentes están emplazados en espacios no controlados. Estas redes cuentan con respaldos de otros operadores, sin embargo la cercanía que existe entre sí, en ciertos tramos, reducen la efectividad esperada. Además, existen sitios (ediƂcios) de los distintos operadores altamente concentrados en cuanto a redes y nodos, que los transforman en importantes puntos de falla en caso de amenazas. Sin embargo, los operadores de telecomunicaciones trabajan cooperativamente y se respaldan mutuamente y cada operador cuenta con los sistemas de protección en sus redes y nodos que permiten proveer servicios con alto nivel de disponibilidad. No obstante, no se han identiƂcado estudios coordinados con entidades relacionadas como Carabineros, FF.AA., Bomberos, etc. que puedan identiƂcar los riesgos y amenazas comunes que permitan deƂnir un plan de seguridad adecuado y transversal en los organismos de Estado. Después que la recuperación de las redes de telecomunicaciones posterior al terremoto del 27 de febrero de 2010 tuvo muy mal desempeño, el Gobierno de la época decidió promover una modiƂcación legal para proteger las comunicaciones del país en caso de desastres, la Ley N° 20.478, sobre Recuperación y Continuidad en Condiciones Críticas del Sistema Público de Telecomunicaciones3 fue publicada en el Diario OƂcial el 10 de diciembre de 2010, esta permite garantizar la continuidad de los servicios del sistema público de telecomunicaciones tomando medidas para su protección e incorporando la Internet como un servicio público, Además, se dictó la Resolución Exenta N° 3.895 de 2010, que estableció procedimientos en caso de interrupción del servicio de telecomunicaciones ante eventos de emergencia. En Chile existen actualmente 4 sistemas de interconexión de la energía eléctrica y cada uno de estos sistemas está dividido en empresas de generación, distribución y comercialización que operan independientemente uno del otro. El Sistema Interconectado Central (SIC) abarca desde la III Región de Atacama hasta la X Región de Los Lagos. Inicialmente este sistema fue creado y estaba constituido por empresas del Estado (ENDESA). El resguardo
3
134
SUBSECRETARÍA DE TELECOMUNICACIONES, Ministerio de Transportes y Telecomunicaciones. Historia de la Ley No 20.478 sobre recuperación y continuidad en condiciones críticas y de emergencia del Sistema Público de Telecomunicaciones [online]. Diciembre 2010. Biblioteca del Congreso Nacional de Chile. Available from: http://www.leychile.cl/Navegar/scripts/ obtienearchivo?id=recursoslegales/10221.3/27987/1/HL20478.pdf
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
UNA REVISIÓN DE CIBERDEFENSA DE INFRAESTRUCTURA CRÍTICA
de la seguridad de operación es responsabilidad de Centro de Despacho Económico de Carga del Sistema Interconectado Central (CDEC-SIC). El Sistema Interconectado del Norte Grande (SING) cubre la XV Región de Arica y Parinacota; la I Región de Tarapacá y la II Región de Antofagasta. La operación y coordinación es de responsabilidad del Centro de Despacho Económico de Carga del SING (CDEC-SING). El Sistema Eléctrico de Aysén ubicado en la Región de Aysén y operado por la Empresa Eléctrica de Aysén S.A. (EDELAYSEN) propiedad de Sociedad Austral de Electricidad Sociedad Anónima (SAESA). El Sistema Eléctrico de Magallanes que está ubicado en la Región de Magallanes y dividido en tres subsistemas independientes: Punta Arenas, Puerto Natales y Puerto Porvenir. Y la responsabilidad operacional está en manos de la Empresa Eléctrica de Magallanes S.A. (EDELMAG) y es propiedad del Grupo CGE. En conjunto el sistema eléctrico nacional atiende a 1.500 empresas4 y consumidores corporativos de servicios de energía identiƂcados como instalaciones prioritarias registradas ante el Ministerio de Energía en el Sistema de Información de Instalaciones Prioritarias de Energía5, dichas instalaciones deben cuidar que su información esté permanentemente actualizada para poder efectuar las coordinaciones necesarias cuando ocurra una emergencia que afecte el suministro energético, esto incluye poseer y mantener sistemas de respaldo energético apropiados según su tamaño y población atendida. El 2012, se constituyó el Comité Interno de Seguridad Energética de la Subsecretaría de Energía, esta tiene como objetivo asesorar a la autoridad ministerial en la determinación de las acciones a tomar en caso que ocurran eventos de desastre en el suministro de energía. En conjunto se han realizado simulaciones de materialización de eventos naturales en el norte grande con el objetivo de probar los protocolos de comunicación con organismos públicos y empresas del sector eléctrico e hidrocarburos.
4
SUBSECRETARÍA DE ENERGÍA. Ficha de DeƂniciones Estratégicas Año 2012-2014 [online]. Ministerio de Energía. Available from: www.dipres.gob.cl/595/articles-107028_doc_pdf.pdf
5
MINISTERIO DE ENERGÍA, Subsecretaría de Energía. Balance de Gestión Integral Año 2012 [online]. 2012. Available from: www.dipres.gob.cl/595/articles-104071_doc_pdf.pdf
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
135
Juan Anabalón R. y Eric Donders O.
Seguridad en infraestructura crítica La seguridad del suministro eléctrico es un factor clave para el desarrollo de la industria, el comercio, y la sociedad completa y sus perspectivas futuras. El desarrollo de nuevos sistemas SCADA que consideran el procesamiento en tiempo real de datos y proporcionan capacidades de Business Intelligent han hecho que existan nuevas capacidades en los sistemas, nuevas formas de negocio y nuevas formas de procesado de información, sin embargo, este acelerado cambio en los procesos de negocio también ha aumentado exponencialmente los riesgos inherentes en el negocio eléctrico, incluyendo intrusiones en sistemas cada vez más interconectados y automatizados. Todos estos nuevos desarrollos no solo han impactado en la forma como se mueve el sistema Ƃnanciero eléctrico, sino también, como se operan las distintas plantas eléctricas en las compañías, por lo tanto, estas infraestructuras han de ser controladas con especial interés no exclusivamente porque la industria eléctrica en Chile está fuertemente desregulada, sino que también se deben establecer criterios legales y regulatorios de parte del Estado para garantizar la seguridad y estabilidad del sistema. Un ataque informático contra este tipo de infraestructura puede tener un muy alto impacto económico y serias consecuencias para la vida de las personas6. Existen tres tipos de amenazas del sistema eléctrico sobre la sociedad: •
•
•
6
136
Ataque contra el sistema eléctrico: Aquí el objetivo es claramente la infraestructura eléctrica. Por ejemplo se pueden perpetrar ataques a distintas subestaciones o torres de transmisión claves para producir un apagón generalizado en el Sistema Interconectado Central (SIC) o en el Sistema Interconectado del Norte Grande (SING). Ataque al sistema de alimentación: Los atacantes pueden utilizar instalaciones de la central eléctrica para arremeter contra la población. Por ejemplo: Usar las plantas eléctricas para dispersar agentes biológicos o químicos. Ataque a través de la red eléctrica: Los atacantes pueden utilizar instalaciones de la red eléctrica para causar daño en la infraestructura civil, como las redes de telecomunicaciones que pueden ser afectadas por pulsos electromagnéticos.
NAYYAR, Anand. Security and Vulnerability in Electric Power Systems. In: International Conference on Power Systems Operations & Control. 20 December 2010.
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
UNA REVISIÓN DE CIBERDEFENSA DE INFRAESTRUCTURA CRÍTICA
Actualmente Chile cuenta con una capacidad energética limitada y que debe duplicarse en los próximos 10 años, sin embargo, no se cuenta con normativa de seguridad especíƂca sobre sistemas SCADA7. Para poder mantener el nivel de desarrollo económico progresivo. El actual desarrollo tecnológico del país y el frágil sistema eléctrico existente, hacen de la protección de los sistemas de control industrial del sector un factor importante a considerar a futuro. La empresa Trend Micro ha publicado un informe en el que se incluye a Chile con un 2% del número de intentos de ataque con Sistemas de Control Industrial8. Este estudio concluye que cada vez serán más frecuentes los ataques a los sistemas de control industrial (ICS) y cada vez serán más avanzados o destructivos. El día 12 de febrero de 2013 el Presidente de los Estado Unidos Barack Obama envió una orden ejecutiva para mejorar la seguridad informática en las infraestructuras críticas de esa nación. Reconociendo la importancia de proteger las instalaciones debido a las repetidas intrusiones cibernéticas en estas instalaciones9. Del mismo modo, España aplica la Ley 54/1997 que regula el Sector Eléctrico de ese país10, modiƂcada y complementada mediante la Ley 17/200711. Además, dispone del real decreto 1955/2000 por el que se norman las actividades de transporte, distribución, comercialización, suministro y procedimientos de autorización de instalaciones de energía eléctrica12. Al mismo tiempo España cuenta con un Catálogo de Infraestructuras Críticas, clasiƂcado como secreto, donde se registran todas las infraestructuras que requieren de especiales medidas de protección13.
7
MINISTERIO DE ENERGÍA. Decreto 26. Decreta Medidas para Evitar, Reducir y Administrar DéƂcit de Generación en el Sistema Interconectado Central, En Ejecución del Artículo 163o de La Ley General de Servicios Eléctricos. 17 February 2011.
8
WILHOIT, Kyle. Who’s Really Attacking Your ICS Equipment? [online]. 2013. Available from: http:// www.trendmicro.com/cloud-content/us/pdfs/security-intelligence/white-papers/wp-whos-reallyattacking-your-ics-equipment.pdf
9
OBAMA, Barack. Executive Order 13636 Improving Critical Infrastructure Cybersecurity [online]. 12 February 2013. U.S. National Archives and Records Administration. Available from: http://www. whitehouse.gov/the-press-ofƂce/2013/02/12/executive-order-improving-critical-infrastructurecybersecurity
10
BOE. Ley 54/1997 Sector Eléctrico. España. 28 November 1997. 54/1997.
11
BOE. Ley 17/2007 Sector Eléctrico. España. 5 July 2007. 17/2007.
12
MINISTERIO DE ECONOMÍA. R.D. 1955/2000 Regula el Transporte y Distribución de Electricidad. España. diciembre 2000. 1955/2000
13
INSTITUTO ESPAÑOL DE ESTUDIOS ESTRATÉGICOS. Ciberseguridad. Retos y Amenazas a La Seguridad Nacional En El Ciberespacio. February 2011. Imprenta del Ministerio de Defensa. España.
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
137
Juan Anabalón R. y Eric Donders O.
Estas y otras legislaciones son un Ƃel reƃejo de la importancia y preocupación de mantener seguras esta infraestructura, pues la alta dependencia tecnológica de nuestra sociedad es una realidad constatable, siendo la piedra angular para el buen funcionamiento de servicios Ƃnancieros, operacionales y estratégicos corporativos y para el buen funcionamiento del Estado. Este trabajo proporcionará información base para la toma de decisiones en materia de seguridad informática en temas concernientes al Estado, seguridad nacional y conƂabilidad del sistema eléctrico nacional. Actualmente, según la revisión bibliográƂca realizada no existe documentación de análisis de seguridad en sistemas críticos como el sistema eléctrico en Chile en el contexto de la ciberguerra ni se han encontrado propuestas documentadas para mejorar la postura de seguridad en esta materia.
Estado del arte La seguridad en los sistemas SCADA anteriormente se mantenía físicamente, es decir, solo las personas con permisos de acceso a las instalaciones podían obtener los datos, por lo tanto, la seguridad computacional no era preocupante. La convergencia de las redes de datos industriales con las redes de datos de TI, ha proporcionado nuevas vías de acceso a estos sistemas, lo que implica a su vez que los riesgos de seguridad asociados históricamente a las redes IT ahora también son de preocupación de las redes operacionales (OT). Documentación de ataques a sistemas SCADA son difíciles de encontrar, debido a que las empresas víctimas de estos incidentes son renuentes a informar sobre estos problemas, algo que es común en todas las industrias y no es exclusivo a la industria que hace uso de sistemas SCADA. En septiembre de 2003, en EE.UU. y Canadá, en el incidente conocido como North East Blackout afectó alrededor de 55 millones de personas y con resultado de 11 muertos. Algunas áreas no fueron restituidas hasta después de 5 días14. En Australia, en el año 2000 un empleado descontento, accediendo remotamente a un sistema de gestión automatizada causó un derrame de millones de litros de aguas servidas en ríos y parques locales de Queensland.
14
138
NICHOLSON, A., WEBBER, S., DYER, S., PATEL, T. and JANICKE, H. SCADA security in the light of Cyber-Warfare. Computers & Security. June 2012. Vol. 31, no. 4, p. 418-436. DOI 10.1016/j. cose.2012.02.009.
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
UNA REVISIÓN DE CIBERDEFENSA DE INFRAESTRUCTURA CRÍTICA
En 2003 el gusano SQLSlammer, logró abrir una brecha en la red de la planta de energía nuclear Davis-Besse de Ohio, lo que causó un crash de la planta de energía y un sistema de monitoreo. Este incidente no pasó a mayores debido a que la planta ya no estaba en funcionamiento. En agosto de 2006 la planta nuclear Browns Ferry en Alabama, EE.UU. tuvo que cerrar por una sobrecarga de la red de datos, no se sabe si realmente este fue un ataque de denegación de servicios (DoS) deliberado, sin embargo, esta es una posibilidad existente. Por otra parte, en el año 2009 se reportó que espías rusos y chinos habrían intentado realizar un mapa de infraestructura crítica de Estados Unidos, utilizando herramientas de mapeo de red. En el año 2010 apareció Stuxnet15, un soƂsticado gusano que marcó un punto de inƃexión en lo referente a la seguridad de sistemas SCADA, abriendo la puerta a la posibilidad de la guerra cibernética16. Este gusano fue identiƂcado principalmente en equipos en territorio iraní, lo que, según algunos investigadores, este gusano fue programado especialmente para sabotear el programa nuclear de Irán. El impacto de un ataque deliberado contra un sistema SCADA puede ser desastroso ya que este puede signiƂcar un primer objetivo para ciberterroristas y actividades de CyberWarfare17. El año 2013 Hugo Teso presentó en la conferencia Hacking in The Box (HITB) un método simple de cómo tomar control de un avión comercial mientras este está en modo piloto automático aprovechando las vulnerabilidades en dos sistemas de comunicación usados en la aviación: Automated Dependent Surveilance-Broadcast (ADS-B) y Aircraft Communications Addressing and Reporting System (ACARS), ninguno de los dos sistemas encriptados18.
15
FALLIERE, Nicolas, O MURCHU, Liam and CHIEN, Eric. Version 1.4: W32.Stuxnet Dossier. Symantec Security Response, 2011.
16
FIDLER, David P. Was Stuxnet an Act of War? Decoding a Cyberattack. IEEE Security & Privacy. August 2011. Vol. 9, no. 4, p. 56-59. DOI 10.1109/MSP.2011.96.
17
APPLEGATE, Scott D. Cybermilitias and Political Hackers: Use of Irregular Forces in Cyberwarfare. IEEE Security and Privacy. October 2011. Vol. 9, no. 5, p. 16-22. DOI doi:10.1109/MSP.2011.46.
18
TESO, Hugo. Aircraft Hacking - Practical Aero Series. In : Hack in a Box. Amsterdam, Holanda, 2013.
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
139
Juan Anabalón R. y Eric Donders O.
Sistemas SCADA Los sistemas informáticos utilizados para monitorear grandes infraestructuras críticas son conocidos como Sistemas de Control de Supervisión y Adquisición de Datos (SCADA, por su sigla en inglés)19. El nombre del sistema reƃeja sus funciones básicas: debe proporcionar datos relacionados al estado de funcionamiento del sistema y permite a los operadores controlar remotamente el sistema de forma distribuida. Mediante la utilización de estos servicios, los operadores del sistema pueden responder efectivamente a los cambios en el proceso; adaptarse a las condiciones de funcionamiento; o adaptarse a la evolución de objetivos de producción o cambios en las directivas corporativas. La creciente prevalencia de los sistemas SCADA en distintas infraestructuras es el resultado de la variedad de beneƂcios que estos sistemas pueden proporcionar a las empresas que los operan, ejecutando tareas que pueden lograrse más rápidamente y a menor costo. Estos sistemas automáticos especializados minimizan las diƂcultades de gestión y permiten una reacción rápida cuando las condiciones de un proceso cambian abruptamente. Esta agilidad que proporciona este tipo de sistemas puede ayudar a mejorar la robustez y vida útil de los componentes del sistema. Además, estos sistemas automatizados permiten responder ágilmente y los operadores pueden realizar mantenimientos oportunos. En la década de 1930 los primeros sistemas SCADA se utilizaban para ahorrar personal operario y mejorar la visualización de los procesos industriales. Una vez que los sistemas SCADA fueron avanzando y la cantidad de datos adquiridos fue aumentando, en la década de 1960 y 1970 se hizo necesario gestionar una gran cantidad de datos, mejorar el rendimiento y manejar la gran complejidad de los sistemas. En aquel tiempo, la toma de información se hacía en el campo y no existía aún una alta automatización de estos sistemas a través de sistemas computacionales y no se contaba con redes de IT y OT convergentes. Conforme llega la década de 1980 se introdujeron nuevos sistemas computacionales a los sistemas SCADA y en la década de 1990, el aumento del ancho de banda de las redes y las mayores facilidades de conexiones remotas,
19
140
HILDICK-SMITH, Andrew. Security for Critical Infrastructure SCADA Systems. 23 February 2005. SANS Institute.
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
UNA REVISIÓN DE CIBERDEFENSA DE INFRAESTRUCTURA CRÍTICA
permitieron a estos sistemas comunicarse directamente con equipo distantes, obtener los datos necesarios para operación y tomar decisiones más agiles respecto del negocio en el que se encontraba. Ya a Ƃnales de 1990, el desarrollo de las Tecnologías de la Información y Telecomunicaciones hizo posible conectar nuevos equipos a estos sistemas, procesar más rápido y de mejor manera los datos y se comienzan a utilizar nuevos protocolos y servicios estándares. Antiguamente, los sistemas SCADA utilizaban una arquitectura centralizada. Sin embargo, hoy en día los sistemas SCADA son más grandes y complejos ya que no dependen de simples redes punto a punto. Una red de control industrial moderna se puede dividir en segmentos: Red SCADA, red de ICS (Industrial Control Systems) y Red IT de datos20. Los segmentos pueden operar interconectados para mejorar las funcionalidades propias del negocio, facilitando la comunicación entre distintas áreas de una organización y proporcionando información en tiempo real para la toma de decisiones. Como se muestra en la Figura 1. una red SCADA está conformada por distintos elementos de conƂguración que conforman los activos de información a resguardar21: • •
• •
Servidor SCADA: Es el encargado de la funcionalidad relativa a la monitorización y gestión de los componentes del sistema. Servidor Histórico: Sistema encargado del almacenamiento y consolidación de la información recolectada por los sensores que forman parte del sistema SCADA. Equipos de comunicación: Son equipos de comunicaciones comúnmente utilizados como routers y switches. Estaciones de trabajo: Son equipos utilizados por los operadores del sistema para interactuar con los sistemas remotos;
20
NICHOLSON, A., WEBBER, S., DYER, S., PATEL, T. and JANICKE, H. SCADA, ob. cit.
21
PÉREZ SAN-JOSÉ, Pablo, ÁLVAREZ ALONSO, Eduardo, DE LA FUENTE RODRÍGUEZ, Susana, GARCÍA PÉREZ, Laura and GUTIÉRREZ BORGE, Cristina. Estudio sobre la seguridad de los sistemas de monitorización y control de procesos e infraestructuras (SCADA). March 2012. Instituto Nacional de Tecnologías de la Comunicación (INTECO).
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
141
Juan Anabalón R. y Eric Donders O.
•
•
142
HMI (Human Machine Interface): Sistemas de interfaces gráƂcas que son utilizados por los operadores para interpretar los datos de los sistemas PLC (Programmable Logic Controllers) y RTU (Remote Terminal Units). Mediante estos sistemas se supervisan los equipos y se pueden modiƂcar valores de, por ejemplo, velocidad y potencia de una bobina eléctrica o cloración de agua potable. Protocolos: Las RTUs y otros dispositivos de campo transmiten los datos a la red SCADA utilizando protocolos ModBUS como DNP3 o PLCs. Sin embargo, las nuevas implementaciones hoy utilizan topologías de red estándar tales como Bus, hub, Token ring y de Estrella y son por lo tanto, propenso a los ataques que dependen de estas topologías especíƂcas. Cualquier error en la modiƂcación de estos valores puede traer consigo riesgos que pueden causar un mal funcionamiento de una planta industrial, dañar a los operadores en terrenos, o impactar a la comunidad en general.
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
UNA REVISIÓN DE CIBERDEFENSA DE INFRAESTRUCTURA CRÍTICA
FIGURA 1. Esquema general de red SCADA.
Fuente: Estudio sobre la seguridad de los sistemas de monitorización y control de procesos e infraestructuras (SCADA).” Instituto Nacional de Tecnologías de la Comunicación (INTECO). (2012)
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
143
Juan Anabalón R. y Eric Donders O.
Amenazas a la seguridad SCADA La evaluación de los sistemas SCADA, sus nuevas funcionalidades y las posibilidades de integración que trae consigo la convergencia de las redes de datos de IT y las redes de OT, han hecho que se ponga más atención en la seguridad de estos sistemas. Históricamente, las áreas de producción de las empresas solamente se han preocupado de poner en funcionamiento distintas instalaciones industriales sin mayor preocupación que la conƂabilidad necesaria, quedando relegada la seguridad informática o de sistemas. Las amenazas a la seguridad de los sistemas SCADA se pueden clasiƂcar de la siguiente manera: •
•
•
•
•
144
Malware: Este tipo de amenaza incluye todo tipo de Virus, Troyanos, Spyware y gusanos. Estos ataques no necesariamente pueden ser dirigidos exclusivamente a los sistemas SCADA, pero si un computador de control es afectado por alguna de estas amenazas, bien podría afectar al sistema entero. Ataques internos: Este puede ser un tipo de amenaza bastante frecuente, ya sea intencional o involuntario (errores operacionales). Cuando se materializa una de estas amenazas suelen ser bastante críticas, pues al estar dentro de la red operacional se tiene acceso directo a los equipos críticos del sistema. Estadísticas de la industria indican que entre un 50% y un 75% de los incidentes de seguridad se originan dentro de una organización22. Hackers: Esta es una amenaza creciente, pues ya en distintas conferencias de hackers se habla directamente de ataques a sistemas SCADA y existen herramientas automatizadas para perpetrar ataques23. Terroristas: Esta amenaza es la que realmente hace la diferencia entre los sistemas de IT normales y los sistemas de infraestructura crítica. Después del atentado del 11 de septiembre en Estados Unidos se detectó un interés por estos sistemas por parte de la organización Al Qaeda24. Nación extranjera: Tal como sucedió con Stuxnet, los Estados han puesto su atención en las posibilidades que ofrece las tecnologías para el desa-
22
D’ARCY, John, HOVAV, Anat and GALLETTA, Dennis. User Awareness of Security Countermeasures and Its Impact on Information Systems Misuse: A Deterrence Approach. Information Systems Research. March 2009. Vol. 20, no. 1, p. 79–98. DOI 10.1287/isre.1070.0160.
23
MASOOD, Rahat, UM-E-GHAZIA and ANWAR, Dr. Zahid. SWAM: Stuxnet Worm Analysis in Metasploit. Frontiers of Information Technology. 2011. DOI 10.1109/FIT.2011.34.
24
NICHOLSON, A., WEBBER, S., DYER, S., PATEL, T. and JANICKE, H. SCADA, ob.cit.
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
UNA REVISIÓN DE CIBERDEFENSA DE INFRAESTRUCTURA CRÍTICA
rrollo de operaciones de Cyberwarfare. Esto ha motivado acciones para formar capacidades tácticas a nivel tecnológico, como también, prestar atención a la propia infraestructura crítica25.
Taxonomía de cyber ataques en sistemas scada Zhu y Hart26 sostienen que en los sistemas SCADA existen vulnerabilidades que pueden ser explotadas a través de distintos vectores de ataque comunes: • • • • • •
Puertas traseras (back doors) y agujeros en el perímetro de la red Vulnerabilidades en protocolos comunes Ataques a dispositivos de campo, remotos (p.ej. PLC) Ataques a Bases de Datos Secuestros de sesiones y ataques de hombre en el medio “Man in the middle”. Desde el punto de vista de un Ingeniero de control, posibles ataques pueden agruparse en las siguientes categorías: - Manipulación de datos de entrada introducidos a través de sensores comprometidos y/o exploit de enlaces de red entre sensores y controladores. - Manipulación de datos de salida de sensores y controladores. - Controlar archivos históricos - Ataques de Denegación de Servicio (DoS).
Ataque por hardware Este tipo de ataques va dirigido a dispositivos de control que podrían dejar de funcionar en su función de regulación o control de umbrales. Este tipo de ataques al ser en línea los operadores en terrenos no advertirían fallas a simple vista. Este tipo de ataque puede lograrse a través del acceso no autorizado a dispositivos.
25
FIDLER, David P., ob. cit.
26
ZHU, Bonnie, JOSEPH, Anthony and SASTRY, Shankar. A Taxonomy of Cyber Attacks on SCADA Systems. In : Proceedings of the 2011 International Conference on Internet of Things and 4th International Conference on Cyber, Physical and Social Computing [online]. IEEE Computer Society, 2011. p. 380–388. ISBN 978-0-7695-4580-6. Available from: http://dx.doi.org/10.1109/ iThings/CPSCom.2011.342085202. HART, Dennis, IRVINE, Cynthia E., BURKE, Karen and DENNING, Peter J. An Approach to Vulnerability Assessment for Navy Supervisory. Master of Science in Computer Science. Monterey, CA 93943-5000 : Naval Postgraduate School, 2004.
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
145
Juan Anabalón R. y Eric Donders O.
Ataque por software Separación de privilegios: Actualmente muchos sistemas SCADA tienen problemas de separación de privilegios debido a que corren sobre VxWorks, que es un sistema operativo monolítico de tiempo real, basado en Unix, vendido y fabricado por Wind River Systems principalmente para sistemas embebidos. Este problema de separación de privilegios ocurre porque todas las tareas se ejecutan con los más altos privilegios y no tienen sistemas de protección de memoria entre tareas y los sistemas de protección de memoria son fundamentales para los sistemas embebidos robustos27.
Buffer Overyow Los buffer overƃow son errores de programación debido a una pobre construcción del mismo. Estos programas pueden tener múltiples deƂciencias tales como stack overƃows, heap corruption o bugs de string de entrada(26) el efecto de este tipo de ataques puede resultar provocar acciones como restablecer contraseñas, modiƂcar el contenido, ejecutar código malicioso. SQL Injection: Esta es una vulnerabilidad que resulta cuando a un atacante se le da la capacidad para manipular las consultas del Structured Query Language (SQL) que pasa de una aplicación a una base de datos back-end28. El impacto de este ataque puede permitir a los atacantes hacerse con el control total de la base de datos o incluso ejecutar comandos en el sistema. Si hay un procedimiento almacenado en SQL Server que sea conƂgurado para ser activado por defecto, un atacante podría entrar en el sistema SCADA utilizando el equipo de base de datos como pivote, aunque se instalen dos tarjetas LAN29.
Ataque por red Actualmente con la convergencia de las redes la gama de ataques a nivel de red se ha ampliado. Algunos de los ataques más probables que pueden ejecutarse en una red SCADA son los siguientes:
146
27
KLEIDERMACHER, David and KLEIDERMACHER, Mike. Embedded systems Security. Practical Methods for Safe and Secure Software and systems Development. 1. Newnes, 2012.
28
CLARKE, Justin. SQL Injection Attacks and Defense. Elsevier Inc., 2009.
29
ZHU, Bonnie, JOSEPH, ZHU, Bonnie et al. ob. cit.
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
UNA REVISIÓN DE CIBERDEFENSA DE INFRAESTRUCTURA CRÍTICA
Diagnóstico de servidores a través de puertos UDP: Ya se ha mencionado de Vxworks es un sistema ampliamente utilizado en las redes SCADA y adolece de varios problemas de seguridad documentados30. Idle Scan: Este tipo de ataque permite un escaneo de puertos completamente invisible. A través de esta técnica los atacantes pueden escanear una máquina sin necesidad de enviar ni un solo paquete al host destino desde su propia dirección. Utilizando una máquina inactiva (“zombie”). Tanto MODBUS y DNP3 tiene funcionalidades de escaneo propensas a este tipo de ataques cuando se encapsulan para correr a través de TCP/IP. SYN Flood: Este tipo de ataque consiste en saturar un servicio para que deje de responder a requerimientos legítimos causando una denegación del servicio. Esto signiƂca que un atacante provoca la pérdida de la conectividad de la red por la saturación del ancho de banda de la red de la víctima o sobrecarga de los recursos computacionales del sistema de la víctima. Existen además ataques especializados sobre los protocolos MODBUS, DNP3 debido a que estos protocolos no cuentan con protecciones adecuadas31. Sin embargo, de acuerdo a la técnica comúnmente utilizada por los hackers de identiƂcar “el objetivo más débil”, no es necesario realizar ataques complejos sobre este tipo de infraestructura, debido a que si se detecta puntos débiles más fáciles de vulnerar se debe proceder mediante el vector de ataque más factible.
Ciberguerra Con el paso del tiempo la red Internet se ha transformado en un ambiente cada vez hostil, donde la preocupación de los sistemas de información ha pasado de ser un rol complementario a ser un rol fundamental para la continuidad de servicios Ƃnancieros, logísticos administrativos y últimamente para la continuidad de servicios e infraestructuras críticas para el Estado. Actualmente los sistemas de control industrial son cada vez más complejos, dispersos e interconectados y el cumplimiento de normas de calidad en las operaciones y de normas de seguridad son una cuestión muy difícil de afrontar.
30
Ibíd.
31
Ibíd
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
147
Juan Anabalón R. y Eric Donders O.
En los últimos años han aparecido distintos ataques y agrupaciones que utilizan la red Internet para perpetrar ataques terroristas, motivados por intereses políticos o movimientos ciudadanos que simpatizan con alguna actividad y utilizan las redes sociales como promotores de distintas causas. Del mismo modo, se han conƂrmado además ataques informáticos contra sistemas de control industrial críticos, como las plantas nucleares de Irán, patrocinados por naciones extranjeras contrarios a los intereses de un país en particular. Internet se utiliza de distintas formas con Ƃnes terroristas, entre ellas para la propaganda, incluyendo el reclutamiento, la radicalización y la incitación al terrorismo, Ƃnanciación, formación, planiƂcación, ejecución, y ataques cibernéticos32. Propaganda: La propaganda generalmente se realiza mediante comunicaciones multimedia que proporcionan instrucción ideológica o práctica, explicaciones, justiƂcaciones o promoción de actividades terroristas. Estos pueden incluir mensajes virtuales, presentaciones, revistas, tratados, archivos de audio y vídeo, videojuegos desarrollados por organizaciones terroristas o simpatizantes. La distribución de dicho contenido se puede realizar mediante una amplia gama de herramientas, tales como sitios web, Skype, foros, revistas en línea, plataformas de redes sociales como Twitter y Facebook, y sitios web de intercambio de videos YouTube o Rapidshare. Todos estos elemento hacen pensar que, con el interés de proteger la seguridad nacional y el orden público es legítimo limitar la libertad de expresión, conforme a lo dispuesto en el artículo 19, párrafo 3, del Pacto Internacional de Derechos Civiles y Políticos. Sin embargo, cualquier restricción al ejercicio de este derecho debe ser proporcional a la amenaza que representa. El derecho a la libertad de expresión también está vinculado a otro importante derecho, incluyendo los derechos a la libertad de pensamiento, de conciencia y de religión, creencia y opinión. Financiamiento: Además de realizar propaganda para ciertas actividades terroristas, las organizaciones terroristas pueden utilizar la Internet para Ƃnanciar actos de terrorismo. Para esto, dichas organizaciones pueden utilizar: convocatoria directa de Ƃnanciamiento, e-commerce, herramientas de pago en línea o a través de organizaciones de beneƂcencia.
32
148
UN. The use of the Internet for terrorist purposes. September 2012. United Nations OfƂce on Drugs and Crime.
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
UNA REVISIÓN DE CIBERDEFENSA DE INFRAESTRUCTURA CRÍTICA
Planiwcación: Internet además proporciona la facilidad de planiƂcar actos terroristas, especialmente cuando hay muchas partes involucradas, proveyendo, entre otros recursos, planes de ejecución, Ƃnanciamiento, herramientas logísticas, mapas. Ejecución: Todas las herramientas anteriormente mencionadas pueden ser utilizadas también para perpetrar los ataques previamente planiƂcados, por ejemplo, amenazas explícitas de violencia, incluso en relación con el uso de las armas, puede ser difundido a través de Internet a inducir ansiedad, el miedo o el pánico en una población o subconjunto de la población. Ejecutar estas actividades a través de Internet ofrece la ventaja del anonimato u ofuscación de identidad. Ciberataque: Un Ciberataque, se realiza normalmente para perturbar el buen funcionamiento o inutilizar un sistema de información, servidores, redes u otros componentes de un sistema. Este tipo de ataques tiene especial importancia, la ejecución de estos ataques a sistemas críticos de una nación que pueden ir más allá del interés de determinado grupo de terroristas, sino que puede ser de especial importancia para los intereses de una nación sobre otra. En este sentido, cobra relevancia las constantes actividades hostiles que han realizado últimamente EE.UU. contra China y viceversa o Rusia sobre Estonia en ocasiones anteriores. La Directiva Política Presidencial 20 (PPD-20) del gobierno de los Estados Unidos, establece la llamada Offensive Cyber Effects Operations (OCEO), que corresponde a operaciones, programas o actividades, que no sean la defensa de la red, colección de (información) Cibernética o Defensive Cyber Effects Operations (DCEO), realizadas por, o en nombre, del gobierno de Estados Unidos, en o a través del ciberespacio, que pretenden activar o producir efectos de cibernéticos fuera de la red del gobierno de Estados Unidos. Este indica lo siguiente: “OCEO puede ofrecer capacidades únicas y poco convencionales para avanzar en objetivos nacionales alrededor del mundo con poca o ninguna advertencia al adversario o destino y con efectos sutiles hasta dañar seriamente. El desarrollo y el mantenimiento de las capacidades OCEO, sin embargo, pueden requerir considerable tiempo y esfuerzo si no existen herramientas para un objetivo especíƂco y acceso. El gobierno de Estados Unidos deberá identiƂcar potenciales objetivos de importancia nacional donde OCEO puede ofrecer un balance favorable de efectividad y riesgo en comparación con otros
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
149
Juan Anabalón R. y Eric Donders O.
instrumentos del poder nacional, establecer y mantener las capacidades OCEO integradas según proceda con otras capacidades ofensivas de Estados Unidos y ejecutar esas capacidades en consonancia con las disposiciones de la presente Directiva33”. Estos dos párrafos son deƂnitivamente el paso necesario para pasar de una política de ciberdefensa a una política de ciberguerra, donde la creación de nuevas ciberarmas (puertas traseras, virus, troyanos, gusanos como Stuxnet, Flame entre otros) son un elemento esencial para poder explotar o destruir sistemas objetivos y la ejecución de una de estas operaciones ofensivas con un objetivo externo a los Estados Unidos podría considerarse una abierta agresión y declaración de guerra.
Stuxnet El gusano Stuxnet desde que fue descubierto el año 2010, marcó un punto de inƃexión en la historia de la seguridad cibernética y en lo referente a la historia militar, y hoy después de 3 años sigue siendo objeto de estudio, ya que dio inicio a lo que se conoce realmente como ciberguerra, pues fue concebido con la Ƃnalidad explícita de sabotear el programa nuclear Iraní. Este es un gusano dotado de diversos mecanismos y funcionalidades por lo que se puede autorreplicar, actualizar y extenderse en una red LAN explotando vulnerabilidades 0-days y certiƂcados digitales falsos. Stuxnet es un malware diseñado especialmente para atacar sistemas SCADA (Siemens S7-315 and S7-417), algunas de las características principales de este malware son34: • • •
150
Hace uso o explota cuatro vulnerabilidades 0-day de Microsoft Windows (citar vulnerabilidades). Utiliza dos certiƂcados digitales robados, para enmascarar su código malicioso. Su objetivo especíƂco eran los Programmable Logic Controllers (PLC) de los sistemas de control industrial de las centrifugadoras iraníes utilizadas para el enriquecimiento de uranio.
33
OBAMA, Barack. Ob. cit.
34
FIDLER, David ob. cit y FAISAL, Mohammad and IBRAHIM, Mohammad. STUXNET, DUQU and Beyond. International Journal of Science and Engineering Investigations. March 2012. Vol. 1, no. 2, p. 75-78
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
UNA REVISIÓN DE CIBERDEFENSA DE INFRAESTRUCTURA CRÍTICA
• • •
Stuxnet modiƂcaba los PLC de las centrifugadoras para que giraran a altas velocidades y se dañaran. Engañaba a los sistemas de control y veriƂcación haciéndole creer a estos sistemas que se estaba operando en condiciones normales. Se difundía a través de unidades extraíbles, dos vulnerabilidades de Microsoft Windows 0-day e Internet.
Las centrifugadoras utilizadas para el enriquecimiento de uranio son extremadamente sensibles a los aumentos de presión y el proceso se realiza casi al vacío. Un leve aumento en la presión puede afectar la eƂciencia de enriquecimiento, por lo tanto, el mínimo aumento de la presión se traduce en más hexaƃuoruro de uranio (UF6) en la centrifugadora, aumentando el estrés mecánico en el rotor lo que provoca que el UF6 se solidiƂque35. Se estima que a través de Stuxnet se dañaron 1.000 centrifugadoras aproximadamente. TABLA 1. Modo de infección Stuxnet. Procedimiento
Propagación
Autorun.inf
USB
LNK
Explorer.exe
Sharing Networks
Replication
Print Spooler
copy In printer server
Network path
Via Folder conƂcker
Default password
WinCC SQL Server
Step 7 project Ƃles
Auto execution initially
Fuente: IBM research group (2012)
Duqu DUQU es un troyano soƂsticado considerado hijo de Stuxnet debido a que parece haber sido escrito por la misma gente que creó este último gusano, fue
35
LANGNER, Ralph. To Kill a Centrifuge - A Technical Analysis of What Stuxnet’s Creators Tried to Achieve [online]. November 2013. The Langner Group. [Accessed 29 November 2013]. Available from: http://www.langner.com/en/wp-content/uploads/2013/11/To-kill-a-centrifuge.pdf
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
151
Juan Anabalón R. y Eric Donders O.
descubierto 18 de octubre de 2011 por el Hungarian Research Lab CrySyS. Su objetivo principal es actuar como una puerta trasera en el sistema y facilitar el robo de información privada36. Duqu tiene tres archivos principales, un controlador, una DLL principal, y un archivo de conƂguración de cifrado que contiene la fecha en que ocurrieron las infecciones. Además tiene la capacidad de ocultarse de algunos productos de seguridad debido a que aprovecha de la vulnerabilidad CVE-2011-3402 en los Win32k.sys, componentes del kernel de Windows que permite a los atacantes ejecutar código con los más altos privilegios del sistema, Se han identiƂcado doce variantes de este malware con pequeñas diferencias entre ellas. Duqu comparte ciertas piezas de código con Stuxnet, como la utilización de certiƂcados digitales válidos, sin embargo, en Duqu no hay de código para atacar sistemas de control industrial (ICS), este malware está diseñado para eliminarse después de 36 días. También es importante señalar que, si bien Stuxnet es capaz de replicarse de un ordenador a otro mediante diversos mecanismos, Duqu es un troyano que no parece replicarse por sí mismo.
Flame Flame es un malware muy soƂsticado, que ha sido utilizado como un arma cibernética para atacar entidades de varios países. Fue descubierto por Kaspersky Lab, durante una investigación que fue impulsada por la Unión Internacional de Telecomunicaciones (UIT), Flame está diseñado para llevar a cabo el espionaje cibernético yendo mucho más lejos de lo que hace Duqu, Flame incluye además la capacidad de espiar a través de grabaciones de audio y video. Su complejidad y funcionalidad superan a los malware anteriormente mencionados. Una característica particular de Flame es que su enorme tamaño, 20MB cuando está completamente desplegado, comparado con los otros malware anteriormente señalados, esto se debe a que incluye muchas librerías diferentes, tales como, zlib, libbz2, ppmd, librerías para la manipulación de bases de datos (sqlite3), junto con una máquina virtual LUA.
36
152
BENCSÁTH, Boldizsár, PÉK, Gábor, BUTTYÁN, Levente and FÉLEGYHÁZI, Márk. The Cousins of Stuxnet: Duqu, Flame, and Gauss. Future Internet. 6 November 2012. Vol. 4, no. 4, p. 971-1003. DOI 10.3390/Ƃ4040971.
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
UNA REVISIÓN DE CIBERDEFENSA DE INFRAESTRUCTURA CRÍTICA
Lua es un lenguaje de programación, que puede ser fácilmente ampliado y conectado con código en C. La multiplicidad de acciones que puede realizar Flame lo hace ser una herramienta de espionaje muy peligrosa, entre las características destacables están el registro de los datos de audio a través de micrófonos y registro de video a través de cámaras que puedan existir en los equipos y el uso de Bluetooth, toma de capturas de pantalla, toda esta información es comprimida y enviada a un servidor central. Este malware claramente tiene objetivos de espionaje industrial y militar, los lugares donde principalmente se ha encontrado Flame es en los Estadosnación del medio oriente, incluyendo a Irán, Líbano, Siria e Israel. Todos estos elementos y muchos otros que han salido a la luz pública han hecho de gobiernos reaccionen a estas amenazas y pongan la seguridad cibernética como un elemento principal en sus estrategias de defensa. En febrero de 2013 el Presidente de los Estados Unidos Barack Obama Ƃrmó un decreto por el que se obliga a las distintas agencias federales del país a compartir información sobre ciberataques con el sector privado y a poner en marcha un marco de ciberseguridad para reducir los riesgos de las compañías que gestionan infraestructuras críticas. En el mismo decreto se indica que el responsable de este programa es el NIST estadounidense, organización que permanentemente se preocupa de la seguridad de los sistemas gubernamentales de este país.
Uroburos G Data SecurityLabs ha revelado recientemente el hallazgo de una pieza soƂsticada de malware de origen ruso diseñado para robar datos conƂdenciales37. Uroburos es un rootkit, compuesto por dos archivos, un conductor y un sistema de archivos virtual encriptado. Este rootkit es capaz de tomar el control de una máquina infectada, ejecutar comandos arbitrarios y esconder sus actividades en el sistema. Está especialmente diseñado para robar información y capturar tráƂco de red y es fácilmente extensible debido a su estructura modular, transformando este malware en una pieza ƃexible y altamente peligroso. Adicionalmente es muy sigiloso y muy difícil de detectar.
37
G DATA SECURITYLABS. Uroburos Highly complex espionage software with Russian roots [online]. February 2014. G Data Software AG. Available from: https://public.gdatasoftware.com/ Web/Content/INT/Blog/2014/02_2014/documents/GData_Uroburos_RedPaper_EN_v1.pdf
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
153
Juan Anabalón R. y Eric Donders O.
Muchos detalles técnicos hacen suponer que el grupo de desarrollo responsable de Uroburos es el mismo grupo que realizó un ataque cibernético contra Estados Unidos en 2008 con un malware llamado Agent.BTZ. La presencia de caracteres cirílicos en el código hace presumir fuertemente que ambos malwares son de origen Ruso y que fue desarrollado para atacar empresas de alto perƂl, Estados-Nación y objetivos militares y ha estado activo al menos desde el año 2011. Hasta el momento se desconoce el vector de ataque principal de Uroburos, sin embargo, este tipo de malware puede infectar los equipos computacionales a través de phishing, drive-by-infections, memorias USB, o ataques de ingeniería social.
NSA Exploits SPIEGEL38 dio a conocer información sobre, tal vez, el programa de espionaje más fantástico conocido hasta ahora, donde se revela la existencia de una Unidad de Hacking de la NSA el NSA’s Tailored Access Operations unit39. Particularmente, SPIEGEL menciona el programa QUANTUMINSERT. Hasta hace pocos años, agentes de la NSA utilizaban los mismos métodos de ataque que los hacker comunes para lograr implantar software malicioso en los computadores objetivos. Uno de los vectores de ataque típicos consiste en realizar ataques de Phishing a través de correo electrónico que contienen enlaces a sitios maliciosos y estos explotan vulnerabilidades del navegador web del sistema objetivo, de esta manera se implanta software malicioso y se puede tener control remoto de un equipo computacional. Sin embargo, TAO llevó más allá sus capacidades y creó una caja de herramientas, conocido internamente por el nombre “QUANTUMTHEORY”. Un documento de SPIEGEL revela además la existencia de un catálogo de productos de una división de la NSA llamada ANT ha logrado perforar la seguridad de las principales compañías de la industria, incluyendo a CISCO y su competidor chino Huawei, pero también han logrado violar la seguridad de los productores de bienes para consumo masivo, como Dell y Apple.
154
38
ANONYMOUS. NSA Codenames. List of NSA/GCHQ codemanes afƂliated with hacking and bugging. CRYPTOME [online]. 1 January 2014. Available from: http://cryptome.org/2014/01/nsacodenames.htm
39
SPIEGEL STAFF. Inside TAO: Documents Reveal Top NSA Hacking Unit. Spiegel Online [online]. Available from: http://www.spiegel.de/international/world/the-nsa-uses-powerful-toolbox-ineffort-to-spy-on-global-networks-a-940969.html
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
UNA REVISIÓN DE CIBERDEFENSA DE INFRAESTRUCTURA CRÍTICA
Catálogo de exploits NSA Bananaglee Este es un exploit hecho para tecnologías de red digital (DNT) para Juniper Netscreen ns5xt, ns50, ns200, ns500, ISG 1000, ssg140, ssg5, ssg20, SSG 320M, SSG 350M, SSG 520, SSG 550, SSG 520M, SSG 550M Ƃrewalls. También funciona sobre Cisco PIX 500 series y Ƃrewall serie ASA 5505, 5510, 5520, 5540, y 5550. Es usado para extraer datos desde las redes objetivo.
Feedtrough Feedtrough es una pieza de software persistente de dos implantes para Ƃrewalls Juniper Netscreen. Feedtrough puede utilizarse por estos dos implantes a través de reinicios y actualizaciones de software en sistemas operativos conocidos tales como Netscreen Ƃrewalls, ns5xt, ns25, ns50, ns200, ns500 y 1000 ISG. No hay ninguna comunicación directa a, o desde Feedtrough, pero si está presente, el implante Bananaglee puede recibir y transmitir comunicaciones encubiertas ciertas plataformas. Sin embargo, Feedtrough solo puede mantenerse en sistemas operativos incluidos en sus bases de datos. Por lo tanto es mejor emplearlo con sistemas operativos conocidos y si sale un nuevo sistema operativo, entonces el cliente necesitaría agregar este sistema operativo a la base de datos Feedtrough para ese Ƃrewall particular. Feedtrough opera cada vez que el Ƃrewall Juniper inicia. El primer hook del código comprueba si el sistema operativo está en la base de datos, si está, entonces una cadena de acontecimientos asegura la instalación de uno o los dos implantes. De lo contrario el Ƃrewall inicia normalmente.
Gourmettrough Gourmettrough es un implante conƂgurable por el usuario para ciertos Ƃrewalls Juniper. Este es un Bananaglee persistente que se implanta a través de reinicios o actualizaciones del sistema operativo. Para algunas plataformas, soporta un implante mínimo para sistemas operativos no soportados por Bananaglee. Este software ha sido implementado en muchas plataformas de destino. Es soportado por nsg5t, ns50, ns25, isg1000 (limitado). Soon- ssg140, ssg5, ssg20.
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
155
Juan Anabalón R. y Eric Donders O.
Deitybounce Deitybounce provee una aplicación persistente en servidores Dell PowerEdge a través de BIOS y utilizando System Management Mode (SMM) para obtener ejecución periódica mientras se cargue el sistema operativo. Este ingenio soporta sistemas multiprocesador con hardware RAID y Microsoft Windows 2000, 2003, and XP y plataformas Dell PowerEdge 1850/2850/1950/2950 RAID servers, usando versiones de BIOS A02, A05, A06, 1.1.0, 1.2.0, or 1.3.7. A través de acceso remoto, se utiliza Arkstream para realizar un reƃash del BIOS en una máquina objetivo e implantar Deitybounce y su payload (el instalador de implante). Otra vía de implante es a través de una unidad de almacenamiento USB. Una vez implantado, Deitybounce se pondrá en ejecución cuando se encienda el equipo.
Halluxwater Este es un back door instalado en Ƃrewall Huawei Eudemon como una actualización de ROM. Cuando el sistema objetivo es reiniciado, el instalador PBD encontrará los puntos de conexión necesarios e instalará el back door en la rutina de procesamiento de paquetes entrantes. Una vez instalado Halluxwater se comunicará con un operador de la NSA vía Turbopanda Insertion Tool (PIT), proporcionado al operador acceso encubierto para leer y escribir en la memoria remota y ejecutar paquetes. Este back door está disponible para Ƃrewall Eudemon 200, 500, y 1000.
Jetplow Este es un implante persistente de Ƃrmware para los Cisco PIX Series y Ƃrewalls ASA (Adaptive Security Appliance), tal vez el equipamiento tecnológico más extendido a nivel mundial. Este también proporciona capacidades de back door. Al igual que los anteriores este implante modiƂca el sistema operativo de los Ƃrewall Cisco al momento de iniciar el sistema. Este se apoya en Bananaglee para su ejecución, si este último no está disponible en el inicio del sistema operativo, este puede instalar un backdoor persistente diseñado para trabajar con la estructura de comunicación de Bananaglee. Jetplow está disponible para Ƃrewalls PIX Cisco 500-series y Ƃrewalls ASA (5505, 5510, 5520, 5540, 5550). Este tipo de software implantados en estas plataformas es de especial importancia estratégica debido a que no hay forma de identiƂcar la infraestructura vulnerada y si se está siendo espiado o no.
156
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
UNA REVISIÓN DE CIBERDEFENSA DE INFRAESTRUCTURA CRÍTICA
Framework for Improving Critical Infrastructure Cybersecurity Estados Unidos ha comprendido que el buen funcionamiento del Estado depende de la seguridad cibernética de su infraestructura crítica. Las amenazas de ciberseguridad se han tornado de gran complejidad y representan un gran desafío para la seguridad pública, económica y del sistema de salud. El día 12 de febrero de 2013 el Presidente de los Estados Unidos emitió la Orden Ejecutiva 13636 para “Mejorar la ciberseguridad de la infraestructura crítica,”, que establece que “es política de los Estados Unidos mejorar la seguridad y la resistencia de las infraestructuras críticas de la nación y mantener un entorno cibernético que fomente la eƂciencia, la innovación y la prosperidad económica promoviendo la conƂabilidad, seguridad, conƂdencialidad comercial, la privacidad y las libertades civiles”. El National Institute of Standards and Technology (NIST) estadounidense ha desarrollo de un framework40 basado en el riesgo la ciberseguridad que apoya a las organizaciones a administrar los riesgos. El marco resultante está basado en estándares internacionales y buenas prácticas y fue creado mediante la colaboración entre el gobierno y el sector privado, utiliza un lenguaje común considerando las necesidades de cada negocio y permitiendo la ƃexibilidad necesaria para cada industria y tamaño corporativo.
40
NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY (NIST). Framework for Improving Critical Infrastructure Cybersecurity (Version 1.0). 12 February 2014
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
157
158
Detec
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
Categories Subcategories
Core
Respond & Recover
Fuente: elaboración propia.
Coref unctions
Identify Protec Inf. References
Tiers 2. Risk Informed
Tiers 1. Partial
Tiers
Risk Management Process
External Participation
Risk Management Process
External Participation
Tiers 3. Repeatable
Risk Management Process
External Participation
FIGURA 2. Framework for Improving Critical Infrastructure Cybersecurity.
Tiers 4. Adaptative
Risk Management Process
External Participation
Framework proƂle
Currents target proƂle (GAP)
Juan Anabalón R. y Eric Donders O.
UNA REVISIÓN DE CIBERDEFENSA DE INFRAESTRUCTURA CRÍTICA
El framework está compuesto por tres partes principales: El núcleo del framework (core), el perƂl (proƂles) del framework y los niveles de aplicación del framework (Tiers)41. El núcleo del Framework es un conjunto de buenas prácticas de ciberseguridad, y referencias informativas comunes en los sectores de infraestructura crítica, estas proporcionan una orientación detallada para el desarrollo de perƂles individuales organizacionales. El core consiste en cinco funciones principales, identiƂcación (identify), protección (protect), detección (detect), respuesta y recuperación (respond and recover). El Framework proƂle el ayuda a las organizaciones a alinear sus actividades de seguridad cibernética con sus requerimientos de negocio, las tolerancias de riesgo y recursos. Los niveles (Tiers) proporcionan un mecanismo para que las organizaciones vean y conozcan las características de su enfoque de gestión de riesgos de seguridad cibernética, sin embargo, estos no representan el estado de madurez de la ciberseguridad, sino más bien, proporcionan un reƃejo del progreso en materia de ciberseguridad desde un aposición reactiva a una posición de rápida gestión, considerando prácticas de administración de riesgos, amenazas, requerimientos legales y regulatorios, objetivos de negocio y restricciones organizacionales.
DESAFÍOS DE GESTIÓN DE SEGURIDAD EN INFRAESTRUCTURAS CRÍTICAS El problema fundamental de los sistemas SCADA, ampliamente utilizados en infraestructuras críticas, es que nunca fueron pensados ni diseñados con sistemas de seguridad informática, ni tampoco se han elaborado con la mentalidad de seguridad desde el proceso mismo de desarrollo de software, algo que incluso aún no se considera completamente en el proceso de desarrollo de software para sistemas que no son de la naturaleza de los sistemas de control industrial42, sin duda, esto se debe a que estos sistemas
41
PROTIVITI. Cybersecurity framework: Where do we go from here? 25 February 2014. Protiviti ƃash report.
42
MELLADO, Daniel, FERNÁNDEZ-MEDINA, Eduardo and PIATTINI, Mario. Security requirements engineering framework for software product lines. Information and Software Technology. October 2010. Vol. 52, no. 10, p. 1094-1117. DOI 10.1016/j.infsof.2010.05.007.
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
159
Juan Anabalón R. y Eric Donders O.
ya existían desde antes de la convergencia de redes de control industrial con las redes de TI propiamente tal. Muchos sistemas SCADA utilizan sistemas de autenticación muy básicos, sin protocolos de cifrado de datos e infraestructura con muchos bugs de seguridad y totalmente desactualizada, este escenario se agrava por el hecho que la actualización de una plataforma muchas veces implica la actualización de sistemas relacionados, lo que para la industria energética y otra infraestructura crítica es casi imposible desarrollar sin detener los servicios que provee. Los sistemas históricos que se implementan en las redes de control industrial solo proveen un control reactivo de las fallas ocurridas y no se implementan medidas proactivas para aumentar la conƂabilidad del sistema. Por todo esto, es que se hace necesaria la búsqueda de nuevas formas de gestionar los riesgos de seguridad en estos sistemas críticos43. El análisis de logs de sistemas SCADA representa un complemento a las estrategias de mitigación de seguridad tradicionales44: • • • •
Correlación en tiempo real de información de sistemas SCADA y algoritmos de detección de intrusos. Monitoreo de riesgo online con algoritmos de mitigación que detengan las vulnerabilidades del sistema y las consecuencias resultantes. Técnicas de modelado avanzado que capturen la naturaleza dinámica del comportamiento del atacante, así como el comportamiento del sistema. Modelos avanzados que cuantiƂquen los impactos, tales como, la pérdida de carga, pérdida debido a daños en el equipo, y pérdidas económicas.
CONCLUSIONES La investigación en tópicos de ciberdefensa e infraestructuras críticas en un área nueva de investigación tanto a nivel industrial como castrense. La presencia de amenazas y vulnerabilidades en infraestructuras críticas hacen que este tema sea de gran relevancia para la seguridad civil y militar debido
160
43
TEN, Chee-Wooi and LIU, Chen-Ching, op.cit y KARABACAK, Bilge and SOGUKPINAR, Ibrahim. ISRAM: information security risk analysis method. Computers & Security. March 2005. Vol. 24, no. 2, p. 147–159. DOI 10.1016/j.cose.2004.07.004.
44
HADŽIOSMANOVI, Dina, BOLZONI, Damiano and HARTEL, Pieter H. A log mining approach for process monitoring in SCADA. International Journal of Information Security. 21 April 2012. Vol. 11, no. 4, p. 231–251. DOI 10.1007/s10207-012-0163-8.
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
UNA REVISIÓN DE CIBERDEFENSA DE INFRAESTRUCTURA CRÍTICA
a que ataques bien planiƂcados y ejecutados pueden ser catastróƂcos tanto para industrias como para un Estado o Nación. Las amenazas existentes y las acciones cibernéticas hostiles llevadas a cabo por gobiernos extranjeros hacen indispensable realizar una revisión completa de la infraestructura tecnológica que protege las infraestructuras críticas y la información sensible, actualizando o reemplazo equipos que puedan verse comprometidos en su seguridad y se debe establecer protocolos necesarios para la administración apropiada de la seguridad de las tecnologías de la información en el ámbito militar y civil. La antigua inteligencia y espionaje militar se limitaba a escuchar el espectro radioeléctrico para poder interferir comunicaciones y obtener información sensible, sin embargo, el actual desarrollo tecnológico requiere de la creación de nuevas ciber-armas (back doors, virus, troyanos, gusanos, etc.) que implican la intervención directa de la infraestructura objetivo, por lo tanto se debe Ƃjar parámetros claros para determinar si estas acciones son consideradas una agresión abierta a la cual se deba responder.
BIBLIOGRAFÍA ANONYMOUS. NSA Codenames. List of NSA/GCHQ codemanes afƂliated with hacking and bugging. CRYPTOME. 2014 [Fecha de Consulta: 1 de Enero de 2014]. Disponible en http://cryptome.org/2014/01/nsa-codenames.htm APPLEGATE, Scott D. Cyber militias and Political Hackers: Use of Irregular Forces in Cyber warfare. IEEE Security and Privacy. October 2011. Vol. 9, no. 5, p. 16–22. BENCSÁTH, Boldizsár, PÉK, Gábor, BUTTYÁN, Levente and FÉLEGYHÁZI, Márk. The Cousins of Stuxnet: Duqu, Flame, and Gauss. Future Internet. 6 November 2012. Vol. 4, no. 4, p. 971–1003. BOE. Ley 54/1997 Sector Eléctrico. España. 28 November 1997. 54/1997. ------- Ley 17/2007 Sector Eléctrico. España. 5 July 2007. 17/2007. CLARKE, Justin. SQL Injection Attacks and Defense. Elsevier Inc., 2009. D’ARCY, John, HOVAV, Anat and GALLETTA, Dennis. User Awareness of Security Countermeasures and Its Impact on Information Systems Misuse: A Deterrence Approach. Information Systems Research. March 2009. Vol. 20, no. 1, p. 79–98. FAISAL, Mohammad and IBRAHIM, Mohammad. STUXNET, DUQU and Beyond. International Journal of Science and Engineering Investigations. March 2012. Vol. 1, no. 2, p. 75–78.
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
161
Juan Anabalón R. y Eric Donders O.
FALLIERE, Nicolas, O MURCHU, Liam and CHIEN, Eric. Version 1.4: W32.Stuxnet Dossier. Symantec Security Response, 2011. FIDLER, David P. Was Stuxnet an Act of War?. Decoding a Cyber attack. IEEE Security & Privacy. August 2011. Vol. 9, no. 4, p. 56 – 59. FOSTER, James C., OSIPOV, Vitaly, BHALLA, Nish, HEINEN, Niels and AITEL, Dave. Buffer Overƃow Attacks: Detect, Exploit, Prevent. 2005. G DATA SECURITYLABS. Uroburos Highly complex espionage software with Russian roots. February 2014. G Data Software AG. Disponible en https:// public.gdatasoftware.com/Web/Content/INT/Blog/2014/02_2014/ documents/GData_Uroburos_RedPaper_EN_v1.pdf HADŽIOSMANOVI, Dina, BOLZONI, Damiano and HARTEL, Pieter H. A log mining approach for process monitoring in SCADA. International Journal of Information Security. 21 April 2012. Vol. 11, no. 4, p. 231–251. HART, Dennis, IRVINE, Cynthia E., BURKE, Karen and DENNING, Peter J. An Approach to Vulnerability Assessment for Navy Supervisory. Master of Science in Computer Science. Monterey, CA 93943-5000 : Naval Postgraduate School, 2004. HILDICK-SMITH, Andrew. Security for Critical Infrastructure SCADA Systems. 23 February 2005. SANS Institute. INSTITUTO ESPAÑOL DE ESTUDIOS ESTRATÉGICOS. Ciberseguridad. Retos y Amenazas a La Seguridad Nacional En El Ciberespacio. February 2011. Imprenta del Ministerio de Defensa. España. KARABACAK, Bilge and SOGUKPINAR, Ibrahim. ISRAM: information security risk analysis method. Computers & Security. March 2005. Vol. 24, no. 2, p. 147–159. KLEIDERMACHER, David and KLEIDERMACHER, Mike. Embedded systems Security. Practical Methods for Safe and Secure Software and systems Development. 1. Newnes, 2012. LANGNER, Ralph. To Kill a Centrifuge - A Technical Analysis of What Stuxnet’s Creators Tried to Achieve [online]. November 2013. The Langner Group. [Fecha de Consulta: 29 de Noviembre de 2013]. Available from: http:// www.langner.com/en/wp-content/uploads/2013/11/To-kill-a-centrifuge. pdf MASOOD, Rahat, UM-E-GHAZIA and ANWAR, Dr. Zahid. SWAM: Stuxnet Worm Analysis in Metasploit. Frontiers of Information Technology. 2011. MELLADO, Daniel, FERNÁNDEZ-MEDINA, Eduardo and PIATTINI, Mario. Security requirements engineering framework for software product lines. Information and Software Technology. October 2010. Vol. 52, no. 10, p. 1094–1117.
162
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
UNA REVISIÓN DE CIBERDEFENSA DE INFRAESTRUCTURA CRÍTICA
MINISTERIO DE ECONOMÍA. R.D. 1955/2000 Regula el Transporte y Distribución de Electricidad. España. Diciembre 2000. 1955/2000. MINISTERIO DE ENERGÍA. Decreto 26. Decreta Medidas Para Evitar, Reducir y Administrar DéƂcit de Generación en el Sistema Interconectado Central, En Ejecución del Artículo 163o de La Ley General de Servicios Eléctricos. 17 Febrero 2011. -------, Subsecretaria de Energía. Balance de Gestión Integral Año 2012. 2012. Disponible en: www.dipres.gob.cl/595/articles-104071_doc_pdf.pdf NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY (NIST). Framework for Improving Critical Infrastructure Cyber security (Version 1.0). 12 February 2014. NAYYAR, Anand. Security and Vulnerability in Electric Power Systems. In: International Conference on Power Systems Operations & Control. 20 December 2010. NICHOLSON, A., WEBBER, S., DYER, S., PATEL, T. and JANICKE, H. SCADA security in the light of Cyber-Warfare. Computers & Security. June 2012. Vol. 31, no. 4, p. 418–436. DOI 10.1016/j.cose.2012.02.009. OBAMA, Barack. Executive Order 13636—Improving Critical Infrastructure Cyber security [Fecha de Consulta: 12 de Febrero de 2013]. U.S. National Archives and Records Administration. Disponible en http://www.whitehouse. gov/the-press-office/2013/02/12/executive-order-improving-criticalinfrastructure-cybersecurity PÉREZ SAN-JOSÉ, Pablo, ÁLVAREZ ALONSO, Eduardo, DE LA FUENTE RODRÍGUEZ, Susana, GARCÍA PÉREZ, Laura y GUTIÉRREZ BORGE, Cristina. Estudio sobre la seguridad de los sistemas de monitorización y control de procesos e infraestructuras (SCADA). Marzo 2012. Instituto Nacional de Tecnologías de la Comunicación (INTECO). PROTIVITI. Cyber security framework: Where do we go from here? 25 February 2014. Protiviti ƃash report. SPIEGEL STAFF. Inside TAO: Documents Reveal Top NSA Hacking Unit. Spiegel Online. Disponible en http://www.spiegel.de/international/world/the-nsauses-powerful-toolbox-in-effort-to-spy-on-global-networks-a-940969.html SUBSECRETARÍA DE TELECOMUNICACIONES, Ministerio de Transportes y Telecomunicaciones. Historia de la Ley No 20.478 Sobre recuperación y continuidad en condiciones críticas y de emergencia del Sistema Público de Telecomunicaciones. Diciembre 2010. Biblioteca del Congreso Nacional de Chile. Disponible en http://www.leychile.cl/Navegar/scripts/obtienearc hivo?id=recursoslegales/10221.3/27987/1/HL20478.pdf
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014
163
Juan Anabalón R. y Eric Donders O.
SUBSECRETARÍA DE ENERGÍA. Ficha de DeƂniciones Estratégicas Año 20122014. Ministerio de Energía. Disponible en www.dipres.gob.cl/595/ articles-107028_doc_pdf.pdf TEN, Chee-Wooi and LIU, Chen-Ching. Cybersecurity for Critical Infrastructures: Attack and Defense Modeling. IEEE Transactions on Systems, Man and Cybernetics, Part A: Systems and Humans. July 2010. Vol. 40, no. 4, p. 853 – 865. TESO, Hugo. Aircraft Hacking - Practical Aero Series. In : Hack in a Box. Amsterdam, Holanda, 2013. UN. The use of the Internet for terrorist purposes. September 2012. United Nations OfƂce on Drugs and Crime. WILHOIT, Kyle. Who’s Really Attacking Your ICS Equipment? 2013. Disponible en http://www.trendmicro.com/cloud-content/us/pdfs/security-intelligence/ white-papers/wp-whos-really-attacking-your-ics-equipment.pdf ZAGREB, Consultores Ltda., SUBSECRETARÍA DE TELECOMUNICACIONES and MINISTERIO DE TRANSPORTE Y TELECOMUNICACIONES. Estudio para la deƂnición e identiƂcación de infraestructura crítica de la información en Chile. Diciembre 2008. ZHU, Bonnie, JOSEPH, Anthony and SASTRY, Shankar. A Taxonomy of Cyber Attacks on SCADA Systems. In: Proceedings of the 2011 International Conference on Internet of Things and 4th International Conference on Cyber, Physical and Social Computing. IEEE Computer Society, 2011. p. 380–388. Disponible en http://dx.doi.org/10.1109/iThings/CPSCom.2011.342085202
164
ESD. Estudios de Seguridad y Defensa Nº 3, jun. 2014