Pesquisadores da Claroty descobriram recentemente vulnerabilidades em dois produtos amplamente utilizados em data centers: as placas de rede que conectam as unidades de alimentação ininterrupta (UPS) da Vertiv à rede e o controlador de climatização Trane Tracer SC+.

Estas falhas poderiam ter permitido que um atacante contornasse a autenticação, obtivesse acesso remoto e assumisse o controlo total do dispositivo. A partir daí, um atacante poderia interromper diretamente a proteção de energia ou a refrigeração, ou utilizar essa porta de entrada para avançar ainda mais na rede e em outros sistemas conectados.

Ambos os fornecedores corrigiram as falhas após a divulgação, e não houve relatos de que qualquer uma das vulnerabilidades tenha sido explorada em um ataque real. Embora seja uma boa notícia, não é motivo para baixar a guarda. Uma vulnerabilidade divulgada, corrigida ou não, continua a indicar a qualquer atacante disposto a estudá-la exatamente onde procurar.

Um padrão já conhecido

Infelizmente, este é um padrão familiar. As vulnerabilidades nos sistemas de gestão de edifícios surgem regularmente, e por boas razões. Muitos destes sistemas têm uma conceção que remonta a décadas, tendo sido concebidos para funcionar em conjunto com mainframes e sistemas de controle antigos, em vez de infraestruturas modernas e digitalmente conectadas. Além disso, tendem a funcionar discretamente em segundo plano, pelo que são alvo de muito menos escrutínio do que um computador portátil ou um servidor, apesar de os data centers e muitas outras empresas industriais dependerem deles para se manterem em funcionamento.

O que realmente importa aqui não é a descoberta em si, mas sim o que os operadores de data centers — bem como outras empresas que utilizam os mesmos sistemas — podem fazer para abordar proativamente estas vulnerabilidades e garantir que estão totalmente protegidos.

A importância da preparação

Para os operadores de data centers que já dispõem de um programa abrangente de cibersegurança, uma descoberta como esta exige atenção, não alarme. Essa confiança resume-se a dois fatores.

• Em primeiro lugar, a preparação não é um controle isolado, é um programa. A gestão de patches e a análise contínua de vulnerabilidades são dois exemplos claros. Um programa maduro procura constantemente pontos fracos em todos os sistemas ligados, incluindo o equipamento de infraestrutura, e toma medidas assim que estes surgem. Essa disciplina é mais importante agora do que há cinco anos, uma vez que a IA acelerou tanto o ritmo dos ataques como o nível de escrutínio público dirigido ao setor.
• Em segundo lugar, as proteções em camadas em torno destes sistemas, aliadas a uma capacidade comprovada de resposta a incidentes, reduzem a lacuna que a aplicação de patches, por si só, não consegue fazer. O Relatório da IBM sobre o Custo de uma Violação de Dados revelou que os atacantes permanecem indetectados dentro de uma rede durante uma média de 181 dias. Os operadores de data centers com programas de segurança abrangentes podem reduzir esse período para dias ou mesmo horas. Essa lacuna determina se uma vulnerabilidade se torna notícia de primeira página ou uma nota de rodapé.

Onde reside a verdadeira exposição

A exposição não está distribuída uniformemente no setor. O boom da IA gerou uma onda de novos centros de dados construídos rapidamente, que correm para satisfazer a procura e, ao contrário do que a comunicação social relata, muitas dessas instalações são mais pequenas e menos maduras do ponto de vista da segurança. Ao mesmo tempo, os operadores maiores e mais estabelecidos não são necessariamente mais seguros. Mudanças de propriedade, investimento de capital privado e novas lideranças podem, todos eles, introduzir rotatividade e instabilidade, o que pode levar a vulnerabilidades.

A exposição é também física. A infraestrutura dos edifícios tem um ciclo de vida de 10 a 20 anos. As instalações mais antigas contêm frequentemente uma mistura de controles digitais modernos e equipamento mais antigo, por vezes até analógico. Mesmo nas novas construções, a função principal — quer se trate de refrigeração do ar ou de regulação da energia — recebe a atenção da engenharia.

Este tipo de equipamento também acarreta um custo elevado e uma pegada física desproporcional. Os sistemas de refrigeração e de energia representam um investimento de capital significativo, e as salas de máquinas são frequentemente concebidas e construídas em torno de uma unidade específica, em vez de um espaço genérico. Substituir essa unidade prematuramente implica despesas e perturbações significativas, pelo que os operadores tendem a mantê-la em funcionamento enquanto for possível, por vezes anos depois do ponto em que um ativo típico de TI já teria sido retirado de serviço.

Junte todos estes elementos: maturidade de segurança desigual em todo o setor, equipamento concebido para uma era analógica e hardware a funcionar há anos para além do ciclo normal de substituição. Essa combinação cria exatamente o tipo de lacuna que os investigadores continuam a encontrar e que os atacantes adoram explorar.

O que está realmente em jogo

A falha dos controles de segurança físicos ou lógicos (de rede e de sistemas) pode manifestar-se rapidamente. Uma falha imprevista do SAI (UPS), sem um caminho de alimentação redundante, aciona imediatamente alarmes e uma resposta operacional. O risco associado ao sistema de climatização (HVAC) é mais subtil, mas o impacto potencial pode ser maior. Uma variação de temperatura ou de umidade de apenas alguns graus aumenta o risco de descargas estáticas, que podem danificar o equipamento informático antes que alguém repare o problema. Se o arrefecimento for totalmente interrompido, as temperaturas internas podem ultrapassar os 120 graus Fahrenheit em poucos minutos, o limiar a partir do qual começam os danos permanentes. Se ultrapassarem 130, a recuperação é improvável.

Uma placa de rede comprometida acarreta um tipo diferente de risco. Alguns dispositivos de gestão de edifícios mantêm uma ligação móvel ou via modem como alternativa, para que permaneçam acessíveis mesmo que a rede principal fique inoperacional. Um atacante que consiga aceder a uma destas placas pode utilizá-la como ponto de apoio para avançar para outros sistemas, desde câmaras de segurança até sistemas de controle de acesso, passando por segmentos de rede mais amplos, muito além do dispositivo original.

Incorporar a resiliência no plano

Os princípios básicos continuam a ser importantes, mas, por si só, não são suficientes. Cada operador precisa também de um Plano B viável, o que significa saber como desligar fisicamente um dispositivo comprometido — quer isso implique desligar um cabo ou isolar uma placa de rede —, mantendo, ao mesmo tempo, o equipamento subjacente a funcionar através de uma ligação direta ou local. É importante saber como reiniciar sistemas críticos em um modo de segurança predefinido, para que as operações continuem enquanto o problema é resolvido separadamente.

Esse tipo de resiliência é importante, independentemente da causa. Por exemplo, durante um projeto de ligação dos sistemas de climatização entre um edifício novo e um já existente num campus de centros de dados, um instalador emitiu um comando de desligamento temporizado destinado apenas às unidades ainda não testadas do edifício novo. O comando também chegou ao edifício existente, e o sistema de climatização ficou fora de serviço após o horário de funcionamento.

A resposta inicial tratou o incidente como um possível ataque, até que a investigação confirmou tratar-se de um erro humano. Os procedimentos de backup e uma resposta bem ensaiada restabeleceram o serviço rapidamente com impacto mínimo, o que é o essencial: a resiliência e uma forte capacidade de recuperação protegeram as operações, quer o fator desencadeante tenha sido um agente mal-intencionado ou um comando digitado incorretamente.

Um perfil de risco diferente da maioria

Os data centers apresentam um perfil de risco que a maioria das empresas não partilha. Eles armazenam ativos digitais e dados sensíveis e também operam o equipamento físico que os mantém acessíveis. Uma vulnerabilidade em uma placa de rede ou em um controlador do edifício ameaça ambos os lados dessa equação simultaneamente.

Os operadores que mantêm a vigilância, aplicam correções de forma consistente, monitoram continuamente e ensaiam seus planos de resposta são aqueles que tratarão descobertas como esta como algo rotineiro, em vez de alarmante.