Uma análise de segurança conduzida por pesquisadores da Claroty revelou falhas críticas em equipamentos de infraestrutura física de data centers, especificamente nas placas de rede de sistemas de energia ininterrupta (UPS) da Vertiv e nos controladores HVAC Tracer SC+ da Trane. Essas vulnerabilidades, se exploradas, podem permitir que atacantes interrompam o funcionamento de data centers, comprometendo a disponibilidade de serviços críticos e a continuidade dos negócios.
Descoberta e escopo da ameaça
A investigação focou em componentes essenciais para a operação de data centers, onde a infraestrutura física é tão crítica quanto a lógica. A Claroty identificou que as placas de rede dos sistemas UPS da Vertiv e os controladores HVAC da Trane possuem falhas de segurança que podem ser exploradas remotamente. O escopo do impacto é amplo, dado que esses equipamentos são ubíquos em instalações de TI de médio e grande porte, especialmente em ambientes que exigem alta disponibilidade e resiliência.
Impacto operacional e riscos de segurança
A exploração bem-sucedida dessas vulnerabilidades pode levar à interrupção do fornecimento de energia ou ao controle do sistema de climatização. Em um data center, a perda de energia ou o superaquecimento devido à falha no HVAC pode resultar em danos físicos irreparáveis aos servidores e na perda de dados. Para os CISOs e equipes de operações, isso representa um risco direto à continuidade do negócio, transcendendo a segurança da informação tradicional e entrando no domínio da segurança física e operacional.
Análise técnica detalhada
Os pesquisadores da Claroty destacaram que as vulnerabilidades estão presentes nas interfaces de rede expostas desses dispositivos. A falta de autenticação robusta ou a presença de credenciais padrão em alguns modelos podem facilitar o acesso não autorizado. Além disso, a comunicação entre os controladores e os sistemas de gerenciamento pode ser interceptada ou manipulada, permitindo que um atacante altere parâmetros críticos sem deixar rastros imediatos.
Recomendações para CISOs e equipes de segurança
Diante dessas descobertas, as organizações devem adotar medidas imediatas para mitigar os riscos. A segmentação de rede é fundamental, garantindo que os dispositivos de infraestrutura física não sejam acessíveis diretamente da internet. A revisão de credenciais e a aplicação de patches de segurança, quando disponíveis, devem ser priorizadas. Além disso, a monitoração contínua do tráfego de rede nesses segmentos pode ajudar a detectar atividades suspeitas.
Implicações para a conformidade e governança
A segurança de infraestrutura crítica está cada vez mais sob o escopo de regulamentações e normas de conformidade. A falha em proteger esses componentes pode resultar em violações de contratos de nível de serviço (SLA) e em penalidades regulatórias. As empresas devem revisar seus frameworks de governança para incluir a segurança de dispositivos ICS/OT em seus programas de gestão de riscos.
O que fazer agora
As organizações devem realizar um inventário completo de seus dispositivos UPS e HVAC, verificando os modelos e versões de firmware. A comunicação com os fornecedores é essencial para obter informações sobre patches e atualizações de segurança. A implementação de controles de acesso físico e lógico adicionais deve ser considerada como parte de uma estratégia de defesa em profundidade.
Perguntas frequentes
- Quais dispositivos são afetados? Placas de rede de UPS da Vertiv e controladores HVAC Tracer SC+ da Trane.
- Qual o impacto principal? Interrupção de energia e climatização, podendo causar danos físicos e perda de dados.
- Como mitigar? Segmentação de rede, revisão de credenciais e aplicação de patches.
Conclusão
A segurança de data centers vai além da proteção de servidores e redes de dados. A infraestrutura física, como UPS e HVAC, é um elo crítico que, se comprometido, pode paralisar operações inteiras. A descoberta dessas vulnerabilidades pela Claroty serve como um alerta para que as organizações integrem a segurança de dispositivos OT em suas estratégias de cibersegurança, garantindo a resiliência de seus ambientes críticos.