Ciber-BDA: Evaluación de daños de ciber-combate.

Nuevas operaciones APT, variantes de malware o descubrimiento de vulnerabilidades son la tónica habitual en los titulares de prensa del día a día. Esto nos podría hacer pensar que la ciberdefensa es un campo relativamente maduro. Sin embargo aunque la escalada tecnología ha sido notable, la seguridad informática ofensiva sigue teniendo mucho de artesanal y poco de proceso formal.  O como tratábamos en nuestra anterior entrada, en ocasiones basado en la anécdota y la excepción en lugar de la regla. Si en un futuro se desea equiparar el empleo de medios ciber-ofensivos estos deberían de ir más allá del último exploit o vulnerabilidad. Integrándose junto con otras capacidades militares como un medio mas para la consecución de los objetivos asignados. 

Entre las actividades de soporte ya existentes en el ámbito militar y que necesitaran una análogo ciber se encuentra el BDA. El Battle Damage Assement que podría traducirse por Estimación de Daños de Combate es una actividad surgida como consecuencia de las tácticas usadas en la segunda guerra mundial. El uso del bombardero aéreo ocasiono que al contrario que en las tácticas militares usadas en guerras anteriores, el efecto del ataque no fuera inmediatamente discernible. Fue necesario que desarrollar por tanto unas actividades específicas para determinar el impacto de los bombardeos sobre el enemigo de los ataques. Por ejemplo vuelos de reconocimiento que permitieran una comparación de la situación del objetivo antes y después. Por ello el BDA se conocía inicialmente como “Bomb Damage Assement”, y con su aplicación a otras armas como artillería o misiles se paso posteriormente a “Battle”.

El BDA es necesario para determinar si los objetivos atacados han sufrido los efectos deseados dentro de la estrategia general. En caso positivo se debe actualizar la inteligencia disponible sobre el enemigo en cuando a medios y capacidades. En caso negativo se pueden  plantear nuevos ataques para obtener los resultados deseados, posiblemente variando las tácticas o armas empleadas si se estima que las usadas han sido inefectivas.

En la doctrina de ciber-operaciones el CNA (Computer Network Attack) comprende las acciones realizadas para degradar o destruir la capacidad de las redes y los sistemas informáticos enemigos. Este puede realizarme de forma temporal como pueden ser ataques de red DoS y DDoS. O suponer una degradación más permanente, por ejemplo resultado del borrado de sistemas, cambio de configuraciones, corrupción de datos almacenados,  etc. Incluso ocasionando daños desde el software en sistemas físicos como fue el caso de Stuxnet. Como vemos en muchos casos el CNA se realizaría por medio de un acceso remoto obtenido mediante acciones CNE previas. Dado que hasta el momento no se ha producido ningún gran conflicto bélico entre adversarios con capacidades cibernéticas el protagonismo a estado en las actividades CNE de inteligencia protagonizadas por los APT. Pero en caso de conflicto abierto es de suponer que el CNA cobre protagonismo.

Si se desean disponer de una capacidades CNA efectivas serán necesarios medios de soporte para la identificación de objetivos, integración con actividades CNE, desarrollo especifico de herramientas y capacidades para provocar daños sobre sistemas industriales o de infraestructuras críticas, etc. Y tambien será necesario desarrollar metodologías y herramientas destinadas al ciber-BDA.

En el caso de ataques a sistemas SCADA o infraestructuras críticas que puedan tener un impacto directo en el mundo físico será factible el uso de sistemas de inteligencia tradicional. (IMINT, HUMINT) o datos abiertos de medios de comunicación (alertas a la población, noticias de resultado, etc.).

Los ataques que se desarrollen mas directamente en el campo ciber (ataques a sistemas C2, ISR,  datalinks, etc.) no podrán estimarse tan fácilmente, por lo que se deberán incorporar y desarrollar herramientas especificas para la realización de tareas BDA.

Algunos ejemplos de herramientas o tácticas que podrían usarse para el BDA son:

•  Sistemas distribuidos geográficamente capaces de realizar test de conectividad (ping, traceroute, dns, http, etc.), que permitan cuantificar el impacto de los ataques en la disponibilidad de la red desde diversos orígenes y destinos. Algo curiosamente muy similar a lo que conocemos a través de las filtraciones de Snowden de TREASURE MAP. De hecho entre los usos de este programa se incluye la media de efectividad de otras misiones.
   
  
• Capacidades de medida de red activos y pasivos en los implantes software RAT (Remote Access Tool). Esto permite usar las maquinas controladas previamente como sensores de funcionalidad dentro de la propia red del adversario.
   
• Capacidades de exfiltración de información en herramientas, malware o gusanos instalados en el objetivo, incluso aunque su finalidad no sea propiamente el CNE. Destinadas a realizar inteligencia de evaluación de daños de forma posterior a los ataques CNA.
    
• Entradas de información desde otros sistemas de inteligencia militar que puedan aportar datos del uso de sistemas de backup. Permitiendo deducir que el sistema principal objetivo ha sido efectivamente degradado. Por ejemplo el análisis de tráfico sobre sistemas de mando y control alternativos (radio HF, satélite, etc.) a las redes telematicas .

• Análisis de fuentes abiertas, especialmente útiles para medir la efectividad de ciertas actividades CNA, como ataques DoS en internet. Usándose desde comentarios en redes sociales a datos públicos de organismos de gestión de internet.

Estrategia Española de Seguridad y las ciberamenazas

Este viernes, 24 de junio de 2011, el consejo de ministros ha aprobado el envió a las cortes de la primera Estrategia Española de Seguridad (EES). Este documento define las amenazas a la seguridad en España, y fija las líneas de respuesta y de mecanismos de coordinación. El documento propone además la creación de un nuevo órgano, el Consejo Español de Seguridad

Es destacable como en su capítulo 4: “Amenazas, riesgos y respuestas” recoge a las ciberamenazas, al mismo nivel y dedicándole una extensión equivalente que a otros retos a la seguridad más tradicionales como son el terrorismo, los flujos migratorios incontrolados o la proliferación de armas de destrucción masiva.

Según reconoce el documento los ciberataques son una amenaza en crecimiento que puede poner en dificultades infraestructuras críticas cuya pérdida de disponibilidad puede suponer serios daños a un país. Además del riesgo de las infraestructuras criticas se recogen también los potenciales peligros del ciberespacio como escenario de operaciones de espionaje o el peligro para los ciudadanos derivado de la vulneración y el trafico con sus datos personales por parte de la ciberdelincuencia.

Para mejorar la seguridad en el ciberespacio se propone fortalecer la legislación sin poner en riesgo la privacidad, y fomentar la colaboración entre el sector público y privado. Entre otras medidas concretas el documento plantea invertir más en tecnologías de seguridad y en formación de personal especializado, apoyar el desarrollo de empresas privadas nacionales en un sector estratégico como éste (donde como resalta el informe puede ser peligrosa la dependencia de empresas extranjeras), así como promover tanto en el ámbito público como privado los estándares y certificaciones de seguridad.

Desde Areopago21 no podemos si no aplaudir este documento y esperamos que se desarrolle en medidas y actuaciones concretas que efectivamente permitan que en nuestro país pueda dotarse unas capacidades de ciberdefensa.

No obstante sí que encontramos en el informe alguna propuesta de dudosa aplicación práctica, por ejemplo en el apartado internacional, donde el plan propone el control de las “ciberarmas” tal y como ocurre con las nucleares. Una propuesta que se nos antoja de difícil, si no imposible, aplicación. Un tema este que tratemos en futuras entradas en este blog.

Documento: Estrategia Española de Seguridad (pdf).

Stuxnet, la dimensión geopolítica.

Casi siete meses después de su descubrimiento Stuxnet continua dando de qué hablar, pocos días atrás Symantec presentaba una versión actualizada de su análisis de este malware, mientras que en enero de este año el New York Times publica una información que vendría a confirmar que Israel habría sido el responsable de su creación. Sin embargo hasta el momento la mayoría de análisis sobre Stuxnet se han basado principalmente en sus características técnicas y poco sobre sus implicaciones políticas y estratégicas.

Por si acaso el lector ha pasado el último medio año aislado en una cueva de Waziristan, Pakistan, y no sabe de qué estamos hablando vamos a hacer un pequeño repaso a la historia de Stuxnet.

Stuxnet es un gusano informático que afecta a equipos Windows, fue inicialmente descubierto en junio de 2010 por VirusBlokAda, una empresa de seguridad radicada en Bielorrusia. Al principio no se le dio mucha importancia, pero conforme los investigadores de las casas de antivirus fueron estudiando sus características se dieron cuenta que se enfrentaban al malware más sofisticado nunca visto. Stuxnet se propaga usando dispositivos USB y vulnerabilidades de red hasta aquí todo normal, sin embargo para lograr sus propósitos usa hasta cuatro vulnerabilidades tipo 0-day, desconocidas previamente, un malware que use solo una ya de por si es destacable. Además para ocultarse ejecuta un rootkit a nivel de kernel firmado con certificados robados a los fabricantes de hardware JMicron y Realtek, lo que implica que previamente tuvo que realizarse un sofisticado ataque a estas empresas para sustraer dicho material criptográfico.

Lo más sorprendente vino después cuando se comprobó que Stuxnet atacaba software de control industrial Siemens WinCC, e inyecta código malicioso en un PLC , y además en una combinación exacta de dispositivos PLC y configuración que coincide con la que usarían las centrifugadoras empleadas por Iran en el enriquecimiento de uranio. Sobre dichos dispositivos realizaba cambios alterando la frecuencia de funcionamiento con el objetivo de causar daños a las citadas centrifugadoras. Entonces todas las miradas apuntaron a Israel como posible autor de la primera ciber-arma, una diseñada para atacar el programa atómico iraní.

Ahora bien para entender correctamente el cambio que supone stuxnet en cuanto al futuro de operaciones militares tenemos que asimilar las diferencias, ventajas y desventajas frente a operaciones militares que tuvieran el mismo objetivo. Para ello asumiremos la opinión más extendida respecto a stuxnet y a su origen israelí.

Iran actualmente mantiene un programa de energía atómica que afirma tiene fines únicamente civiles pero que dentro de la comunidad internacional es visto con recelo. Llama la atención que un país con abundantes reservas de petróleo necesite contar con energía atómica, y además que se empeñe en obtener una independencia completa fabricando ellos mismos el combustible nuclear.

Para obtener este combustible es necesario separar el Uranio 235 el isotopo fisible, del mucho más abundante Uranio 238, para esta tarea se pueden usar entre otros sistemas el uso del centrifugado Zippe. El hecho de que la única diferencia entre el uranio de uso civil , y el de nivel de armamento sea el grado de enriquecimiento, junto con el secretismo y la obstaculización de las tareas de control de la OIEA es lo que despierta las mayores sospechas.

Israel , un país con armas nucleares, históricamente se ha posicionado en contra de la proliferación de este tipo de armamento entre el resto de países de la región, considerando que amenaza su propia existencia como país. Por ello ha hecho todo lo que ha estado en su mano para impedir este desarrollo.

Así el día 7 de junio de 1981, Israel lanzo la Operación Opera, un ataque aéreo preventivo por sorpresa contra un reactor nuclear en construcción situado a 17 kilómetros al sureste de Bagdad, capital de Irak. Un grupo de F-16 escoltados por F-15 que recorrieron 1.110 km en su viaje de ida consiguieron dañar seriamente Osirak, el reactor de tecnología francesa que estaba próximo a ser completado. Aunque la operación fue un éxito militar, sin sufrir ninguna baja por parte israelí, fue duramente criticado y las Naciones Unidas aprobaron la Resolución 487 que condenaba enérgicamente el ataque, alegando que era una clara violación de la Carta de las Naciones Unidas y de las normas de conducta internacional, e instó a Israel a abstenerse de tales ataques en el futuro.

El 6 de septiembre de 2007 la Operación Opera tuvo su reedición en forma de la Operación Orchad, de nuevo un ataque aéreo por sorpresa destruía una instalación nuclear, en este caso en el interior de Siria. Una vez más fue un éxito militar absoluto, penetrando y saliendo del espacio aéreo Sirio con total impunidad.

Estas operaciones se unen a otros ataques aéreos de larga distancia realizados por la fuerza aérea israelí, como el bombardeo de la sede de la OLP en Túnez en 1985 (que produjo de nuevo una resolución de condena de la ONU) o los ataques en Sudan en 2009.

A la vista de este historial, y teniendo en cuenta que la fuerza aérea actualmente dispone de modernos medios como los caza-bombarderos F-16I , F-15I y la imprescindible capacidad de re-abastecimiento aéreo Israel está sin duda en capacidad de lanzar un ataque similar contra las instalaciones iraníes de Natanz, Busher, etc. Ahora bien existen varios inconvenientes que podrían afectar a una operación de este tipo.

La ruta de vuelo hasta Iran es mucho más larga que en cualquier operación anterior, y supondría el sobrevuelo de naciones neutrales. Estos sobrevuelos podrían traer importantes tiranteces diplomáticas con dichos países. Si estos países autorizan el paso de los aviones quedarían ante la opinión internacional y especialmente del mundo árabe como aliados de la agresión de Israel. Mientras que si el sobrevuelo no es autorizado supondría quejas se estos países en el mejor de los casos, en el peor sus fuerzas militares podrían interferir la operación o alertar a Iran del ataque inminente.

Irán obviamente ha aprendido de la experiencias de Iraq y Siria, sus instalaciones de enriquecimiento se encuentran bajo tierra, lo que es una dificultad para la operación ya que la fuerza aerea israelí debería usar bombas tipo bunker-buster y lanzarlas con total precisión. Iran además ha intentado adquirir en el mercado de armas internacional sistemas avanzados de misiles antiaéreos o de construir ubicaciones alternativas de enriquecimiento.

Incluso si la operación tuviera éxito militarmente existen escenarios en los que políticamente podría tener un efecto demoledor sobre la opinión pública israelí. Por ejemplo simplemente con que uno de los aviones atacantes fuera derribado o sufriera problemas técnicos y su piloto fuera capturado por los Iraníes, lo usarían como elemento propagandístico, en forma similar a los casos ocurridos en la guerra fría con pilotos derribados. Israel tampoco debería descartar un ataque de represalia, que podría venir de Hezbollah, el grupo libanes aliado de Irán y que cuenta con una abundante cantidad de cohetes y misiles de corto y medio alcance capaces de llegar a Israel.

En resumen, la operación parece por tanto factible militarmente y ofrecería grandes beneficios en términos de retrasar el desarrollo por parte de Irán de armas nucleares. Pero este beneficio puede ser que no valga la pena considerando el riesgo operativo y especialmente el coste politico.

Si atendemos en entonces a las noticias de que Stuxnet habría provocado daños en las centrifugadoras, como los propios iraníes han reconocido, es cuando comprendemos la verdadera dimensión de una ciber-arma. Esta puede utilizarse sin arriesgar a personal propio, utilizarse de una forma limpia y sin daños colaterales importantes, y en definitiva una relación riesgo/beneficio que supera cualquier operación militar clásica. (Entre los pocos que han desarrollado esta dimensión de la ciberguerra esta Ruben Santamarta en su brillante intervención en el 3rd Security Blogger Summit 2011)

Según el estudio de Symantec la creación de Stuxnet habría llevado seis meses para un equipo de unas cinco personas. Estamos hablando por tanto de unos costes bastante contenidos para los medios disponibles por un estado, y muy posiblemente únicamente el gasto de combustible para los aviones en el caso de un ataque ya supera con creces el dispendio realizado en el desarrollo de Stuxnet.

Otra ventaja de una ciber-arma es que puede alcanzar objetivos que son invulnerables por otros medios. Supongamos por ejemplo que Iran contara con instalaciones secretas que fueran replicas de la planta de Natanz y que no hubieran sido detectadas por la inteligencia Israeli, se trata de un escenario improbable pero no imposible. Pues incluso en ese caso Stuxnet con total posibilidad hubiera conseguido llegar a las mismas y afectarlas.

Por último el uso de las ciber-armas no limita el empleo simultáneo de tácticas mas convencionales, es de suponer que Israel no ha puesto todas sus opciones en Stuxnet, como demostrarían los diversos atentados con bomba en los que han muerto destacadas personalidades del programa nuclear Irani.

La conclusión por tanto es que en un futuro posiblemente asistamos al empleo de ciberarmas como alternativa a las operaciones militares clásicas, ya que políticamente y operativamente apenas implican riesgos, mientras que los efectos incluso siendo inferiores a los de una operación militar convencional se pueden lograr a unos costos relativamente reducidos.

Bibliografia recomendada

Osirak Redux? Assessing Israeli Capabilities to Destroy Iranian Nuclear Facilities

Symantec W32.Stuxnet Dossier Febrero 2011

Y especialmente importante en cuanto demuestra que nuestras fuerzas armadas no han pasado por alto la importancia de Stuxnet, tenemos este articulo del Coronel Ingenieros D. Gonzalo Pestaña.

Memorial de Ingenieros 85

Informe de ciberguerra de la OCDE, una primera crítica.

Hace pocos días se ha hecho público un informe encargado por la OCDE (Organización para la Cooperación y el Desarrollo Económico) con el título “Reducing Systemic Cybersecurity Risk”.

Después de una primera lectura del documento podemos decir sin duda que estamos frente al mejor de los informes en literatura abierta que se ha escrito hasta el momento sobre el tema de la ciberguerra. Entre otros puntos viene a refutar lo que en algunos ambientes se ha llamado el “Pearl Harbour digital”, el riesgo de un ataque informático sorpresivo con escala e impacto global y consecuencias catastróficas,en esta linea entre otros aspectos el estudio denuncia el uso incorrecto de métricas a la hora de presentar los incidentes de seguridad, por ejemplo por parte de estadísticas de ciberataques que consideran incidente el scanneo de un puerto o un correo de phishing bancario. Lejos de minimizar la importancia de la ciberguerra el estudio también advierte que hemos entrando en una carrera ciberarmamentistica generalizada, y que en un futuro próximo asistiremos al uso combinado de armamento tradicional y ciberarmamento.

La verdad es que punto por punto podríamos asumir como tremendamente acertados todos los párrafos que se recogen en el resumen ejecutivo, quizá con una única excepción. Veámoslo:

The vast majority of attacks about which concern has been expressed apply only to Internet-connected computers. As a result, systems which are stand-alone or communicate over proprietary networks or are air-gapped from the Internet are safe from these. However these systems are still vulnerable to management carelessness and insider threats.

Esta redacción implicaría que los sistemas aislados, las redes propietarias y las redes separadas físicamente de internet (air-gapped) están a salvo de los ciberataques salvo que estos provengan de amenazas internas o de una gestión descuidada.

La realidad, en mi humilde opinión, es muy distinta: existen múltiples posibles puntos de entrada o tácticas que un atacante puede utilizar sin contar con la colaboración de personal interno o acceso físico a las instalaciones y a continuación veremos algunas de ellos.

Si hablamos de redes públicamente accesibles debemos en primer lugar recordar que Internet no es la única red pública de transmisión de datos, como bien conocen los hackers de la vieja escuela, antes y durante los primeros tiempos de internet era frecuente la intrusión en sistemas mediante redes X.25 como Iberpac o mediante accesos Dial-up conectados a la red telefónica. Conexiones de estos tipos suponen puntos de acceso desde el exterior a sistemas internos, pese a no estar contactos a Internet, y por tanto susceptibles de una falsa sensación de seguridad. Es común que incluso la más restringida de las redes cuente con alguno de estos accesos para el soporte remoto por parte del fabricante de software o como forma de acceso out of band para la resolución de problemas de red si se pierde la conectividad por los medios habituales.

Otra posibilidad de acceso viene derivado de redes lógicamente separadas de internet, pero que hacen uso de infraestructura pública de comunicaciones. Si estas redes no implementan medidas adicionales como encriptación pueden ser comprometidas externamente si se dispone de acceso al equipo, redes o sistemas adecuados. Ejemplo de ello son las vulnerabilidades en redes MPLS o la facilidad de hijacking de trafico encapsulado GRE cuando se hacen uso de en conexiones satélite DVB/IP.

Tampoco se puede descartar la interconexión de esas redes internas con redes wireless, por ejemplo de la familia 802.11, que proporcionarían acceso desde el exterior de las instalaciones. Incluso si estas redes tienen políticas que prohíben su conexión a redes wireless siempre existe la posibilidad de conexión inadvertida. Puede venir de un punto de acceso instalado por un usuario descuidado o como quedo demostrado durante un caso real que el autor de esta entrada localizo durante una auditoria a la red de una organización de investigación y desarrollo en el sector de la defensa un portátil conectado a la red interna. Portatil que a su vez contaba con un interfaz inalámbrico que intentaba conectarse a las redes wireless preferidas, entre las que estaban redes abiertas tipo un hotspot inalámbrico. Un portátil con esa configuración si resulta comprometido puede convertirse en la puerta trasera por la que sería posible acceder.

De forma similar en muchas ocasiones las redes internas, incluso de infraestructuras criticas, no son realmente air-gapped , si no que son accesibles desde otras redes como la intranet corporativa y esta a su vez tiene acceso a internet. Así aunque lógicamente no exista una conexión directa, un intruso podría comprometer desde el exterior un sistema intermedio, por ejemplo explotando una vulnerabilidad de navegador o mediante un troyano combinado con el uso de ingeniera social, y pivotando desde ese sistema intermedio de nuevo llegar hasta la red interna.

Otra posibilidad, tal como se ha visto en la practica con el malware Stuxnet , es la de crear un gusano que infecta medios removibles, como pendrives USB, y de esta forma llegar incluso a redes air-gapped. Un usuario con acceso a las diversas redes podría ser el medio de transmisión del malware al introducir un dispositivo infectado desde una estación de trabajo de la red A a la red B. De hecho según informaba Wired, en 2008 redes separadas de internet y utilizadas para manejar información clasifica de las fuerzas armadas estadounidenses SIPRNET y JWCIS habían resultado afectadas por un troyano de replicación mediante infección de dispositivos. Aunque el articulo venia a resaltar que el troyano no había podido establecer comunicación con el exterior esto no seria impedimento para un malware diseñado con el fin de borrar o alterar información.

Creo que con estos son suficientes ejemplos para refutar la opinión vertida en el citado párrafo dentro de un por lo demás excepcional informe. Informe que seguro dará en un futuro próximo bastante de que hablar en el entorno de defensa y seguridad informática, y por supuesto en este blog.