Valoración
  • Actualmente 5 de 5 Estrellas.
Tu valoración
  • Actualmente 5 de 5 Estrellas.
  • 1
  • 2
  • 3
  • 4
  • 5
OPINIÓN

Protegiendo los sistemas de control industrial ante ciberamenazas

22/02/2017 - Óscar Lage, director de Ciberseguridad; Ana Ayerbe, directora del Área de Negocio IT Competitiveness y Stefan Schuster, director de Servicios Corporativos de Cyber-Security & Safety by Tecnalia.
Los ICS son clave para el buen funcionamiento de un gran número de procesos industriales en sectores tan diferentes como las redes de suministro de agua, gas, electricidad y telecomunicaciones, el transporte o industrias como la alimentaria o la farmacéutica, por citar algunos ejemplos.

Un Sistema de Control Industrial (ICS) es una combinación de componentes de control que actúan conjuntamente para asegurar el apropiado funcionamiento de un sistema industrial. Este término abarca Sistemas de Control, Supervisión y Adquisición de Datos (SCADA), Sistemas de Control Distribuido (DCS), Controladores Lógicos Programables (PLC) y las Unidades Terminales Remotas (RTU).

Los ICS son clave para el buen funcionamiento de un gran número de procesos industriales en sectores tan diferentes como las redes de suministro de agua, gas, electricidad y telecomunicaciones, el transporte o industrias como la alimentaria o la farmacéutica, por citar algunos ejemplos. Existe una alta preocupación por garantizar la ciberseguridad de los ICS con el fin de que estos sistemas sigan realizando las funciones encomendadas y poder evitar interrupciones de servicio, accidentes o pérdidas económicas. Por dicho motivo, vamos a analizar qué caracteriza a los ICS desde el punto de vista de la ciberseguridad.

Históricamente, los ICS han venido funcionando de forma aislada de otras infraestructuras TI, por lo que muchas de sus vulnerabilidades eran difícilmente explotables sin tener acceso físico a los sistemas. Pero con la sucesiva conexión de los ICS tanto con los sistemas corporativos como con Internet, estas vulnerabilidades representan un enorme riesgo, ya que ofrecen un extenso potencial a posibles atacantes. De hecho, los primeros ataques dirigidos a los ICS coinciden con la conectividad de estos sistemas a través del protocolo TCP/IP.

Vulnerabilidades

Si tenemos en cuenta que la gran mayoría de los ICS en uso han sido desarrollados hace más de una década y con la práctica ausencia de consideraciones de seguridad, observamos que muchas de sus vulnerabilidades son debidas a faltas de previsión, deficientes prácticas de programación y/o a la antigüedad de sus componentes. Por ello, entre las vulnerabilidades más utilizadas para perpetrar ataques se encuentran las de buffer overflow/segmentation faults, un control de acceso insuficiente y una arquitectura de red deficiente por falta de protección del perímetro, por una falta de segmentación interna o por ambas.

Centrándonos en los protocolos de comunicaciones utilizados en los ICS, el estándar OPC permite ataques MiTM y, por defecto, los servidores OPC dan acceso a cualquier cliente. En el caso de OPC-UA, su mecanismo de seguridad está en revisión y espera ser fijado en la próxima versión de la especificación. En cuanto a Modbus, podemos decir que no lleva seguridad incorporada, ya que los mensajes no están cifrados, no implementando pruebas de integridad; y a falta de autenticación, los terminales remotos aceptan comandos desde cualquier máquina que finja ser un servidor de control. Por su parte, DNP3 permite suplantar respuestas de una subestación o negar a un servidor de control ejecutar comandos.

Otro punto de posible ataque a un ICS está constituido por los sistemas operativos (SO) instalados en los diferentes servidores, tanto en el conjunto puramente ICS como en la infraestructura TI corporativa. Si las dos infraestructuras están conectadas entre sí, una vulnerabilidad en el SO de un servidor corporativo puede crear una posible puerta de entrada a través de la cual un atacante podría infiltrarse en el ICS.

También se utilizan determinadas vulnerabilidades en los SO, aplicaciones y servicios para acometer ataques dirigidos en los que un adversario aprovecha estas debilidades para establecer puertas de entrada ocultas o puntos que sirven de cabeza de puente para infiltrarse en un sistema.

Como estamos viendo, los ICS son vulnerables, fundamentalmente, a dos tipos de amenazas informáticas. Una de ellas es la amenaza a las TI que se utilizan para fines comerciales y administrativos. Estos son los ataques que se oyen a menudo y en los que se comprometen equipos de oficina con el resultado de robo o destrucción de datos. Mientras este tipo de amenazas está relativamente bien entendido y existen soluciones avanzadas de protección en forma de aplicaciones antivirus o detección y prevención de intrusiones (IDS/IPS), el segundo tipo de amenazas, que tiene como objetivo a la tecnología operativa (OT), carece todavía de soluciones integrales de seguridad.

Actualizaciones

La regla por defecto para mitigar y prevenir vulnerabilidades de aplicaciones en el mundo de los sistemas TI corporativos es la de actualizar las aplicaciones y servicios con su última versión disponible. No obstante, la actualización a tiempo de los componentes de software afectados no supone una garantía para la ausencia de vulnerabilidades, sino que solo asegura que las vulnerabilidades conocidas están siendo tratadas. Esta es la razón por la que en los entornos TI corporativos se emplean diferentes tipos de protección como cortafuegos, sistemas de gestión de información y eventos de seguridad (SIEM) o sistemas de detección de intrusiones (IDS) para poder prevenir, o por lo menos detectar de forma temprana, cualquier ataque.

Sin embargo, la actualización de los componentes de software en los ICS conlleva unas dificultades añadidas. Debido al prolongado ciclo de vida de muchos de sus componentes, que pueden estar en operación durante decenas de años y sus requisitos de rendimiento en tiempo real, en gran cantidad de casos no es posible actualizarlos con las últimas tecnologías protectoras. Esta situación es la que limita particularmente el empleo de técnicas de criptografía para asegurar la integridad y confidencialidad de datos en los ICS, ya que el tiempo añadido necesario para encriptar y desencriptar la información supera los límites de ejecución de muchas operaciones.

Otro aspecto que dificulta la aplicación de políticas de actualización de componentes parecidas a las empleadas en entornos TI es la alta interdependencia de los componentes y elementos en un ICS. Por ello, se recomienda efectuar extensas pruebas para garantizar el correcto funcionamiento del sistema antes de desplegar actualizaciones en un sistema en producción.

Plan de respuesta

Existen múltiples vías de infección, pero el factor humano también debe considerarse, ya que en muchos ataques el primer paso suele ser obtener información de contacto del sistema y de sus usuarios.

Además de conocer las potenciales vulnerabilidades de un ICS es importante intentar minimizar las superficies de ataque, pero también es necesario establecer un plan de respuesta en caso de que se produzcan incidentes de ciberseguridad, definiendo componentes redundantes, las reglas para aislar componentes en caso de fallo, las estrategias de degradación elegante para pasar a operaciones reducidas de emergencia o incluso operación manual. Y cómo restaurar el sistema en caso de fallo, definiendo copias de seguridad, tiempos medios de recuperación y los roles y responsabilidades del equipo de respuesta a emergencias.

Conclusión

Como conclusión, podemos decir que debemos considerar la ciberseguridad de una forma holística teniendo en cuenta tanto la tecnología como las personas y los procesos. Y debemos hablar de defensa en profundidad, contemplando diferentes dimensiones como el perímetro físico y virtual, la arquitectura de red, los servidores y sus sistemas operativos, las aplicaciones, los protocolos de comunicación y los dispositivos de campo. El objetivo es disponer de un ICS lo más resiliente posible y que pueda recuperarse rápido y de la mejor forma posible ante un posible ataque. 

Volver

Newsletter

¿Quieres estar informado? Ya puedes suscribirte GRATIS a nuestra newsletter mensual