Controladores de sistemas de água não deveriam estar na internet, diz ex-chefe da NSA
Uma troca sobre o alerta de um ex-chefe da NSA a respeito de controladores de sistemas de água conectados à internet destaca o quão frágil ainda é boa parte da segurança da infraestrutura crítica. Comentadores descrevem PLCs de décadas atrás, redes planas, segurança física e por RF fraca e práticas ad hoc que tornam concessionárias alvos fáceis para Estados-nação e criminosos, ao mesmo tempo em que observam as pressões operacionais que levaram esses sistemas a ficar online em primeiro lugar. As propostas vão de air-gapping estrito e data diodes a VPNs endurecidas e padrões formais de engenharia, com amplo consenso de que expor sistemas de controle de forma ingênua à internet pública é indefensável.
Âmbito do Debate: Os Controladores de Água Deveriam Estar Online?
- O grupo mais firme diz que infraestrutura crítica (água, energia) nunca deveria tocar a internet pública; verdadeiros air-gaps e nenhum caminho roteável até os controladores.
- Outros argumentam que o isolamento total é irrealista: sites distribuídos, limitações de equipe e necessidade de monitoramento remoto tornam a conectividade economicamente necessária.
- Propostas de meio-termo: sem exposição direta em hipótese alguma, apenas acesso via VPNs endurecidas, jump hosts com firewall, ou mecanismos apenas de leitura (data diodes, webcams mostrando medidores).
Segurança vs. Praticidade e Custo
- Tema recorrente: “se está conectado, assuma que foi comprometido”, especialmente contra adversários de Estado-nação; até atualizações podem ser vetores de ataque.
- Contraponto: segurança de rede forte e equipamentos modernizados melhoram materialmente a segurança em comparação com a realidade atual de “PLC antigo na internet”.
- Links privados dedicados são caros e frágeis; tunelamento sobre infraestrutura compartilhada aumenta a resiliência, mas amplia a superfície de ataque.
Fraquezas Sistêmicas no Ecossistema PLC/SCADA
- Ambientes de controle industrial são descritos como décadas atrás da TI convencional:
- Sistemas operacionais ultrapassados (até Windows 3.1/2008), redes planas, backup/DR fracos, sem controle de versão.
- Ladder logic e formatos binários proprietários dificultam diff, branching e testes automatizados.
- Cultura de implantação: pastas de laptop cheias de projetos de clientes, copy/paste arriscado entre clientes, ferramentas ad hoc de sites aleatórios.
- Fabricantes são criticados por stacks caros, fechados e inseguros, e pela adoção tardia de protocolos seguros e virtualização.
- Salário, condições de trabalho e cultura desencorajam engenheiros de software qualificados a permanecer, perpetuando baixa maturidade.
Superfícies de Ataque Físicas e Sem Fio
- Muitas instalações de água e gás dependem de links RF inseguros e de sites de campo minimamente protegidos (torres, lift stations, compressor stations).
- O acesso físico costuma ser fácil; RTUs/PLCs são implicitamente confiáveis pelo SCADA central.
- Alguns argumentam que a exigência de presença física ainda reduz o risco remoto estrangeiro; outros observam que drones baratos, proxies locais ou dispositivos enviados pelo correio enfraquecem essa barreira.
Governança, Padrões e Papel do Governo
- A falta de padrões de segurança vinculantes ou de “inspetores de rede” é contrastada com códigos de construção rigorosos.
- Há sugestões de que expor abertamente equipamentos críticos deveria ser criminalizado.
- Debate sobre a responsabilidade da NSA/DHS/CISA:
- Alguns os culpam por priorizar exploits e backdoors em vez de defesa e preveem um incidente cibernético de escala “11 de Setembro”.
- Outros enfatizam que eles principalmente fornecem orientação; a responsabilidade final recai sobre os operadores locais e a disposição política de financiar a segurança.