La segmentación de red cumple una función básica y fundamental: previene el movimiento lateral, evitando que un atacante que haya logrado comprometer un activo pueda desplazarse lateralmente a otros sistemas vitales dentro de la red; esto se consigue restringiendo las comunicaciones dentro de la propia red operacional. Asimismo, controla el flujo de datos entre los dominios corporativos y los sistemas productivos, que suele ser una de las rutas habituales por las que se cuelan las amenazas.
Es muy habitual encontrarnos con una aplicación insuficiente de este control de seguridad esencial y, desgraciadamente, que este hecho tenga invariablemente un impacto profundo en la ciberresiliencia industrial.
Actualmente, la falta de aplicación (o, si se prefiere, la aplicación incorrecta) de este control de seguridad es el punto más débil en la postura de seguridad de la mayoría de las organizaciones del entorno industrial. Para aplicar seguridad y reducir el riesgo de ciberseguridad en entornos OT, se ha invertido históricamente en numerosas soluciones, algunas de ellas supermegasofisticadas, y, sin embargo, este básico no se ha llegado a aplicar correctamente nunca. Esta situación hace que, ante una brecha de seguridad, el movimiento lateral de los malos esté garantizado. Probablemente no exista hoy una manera más eficiente de reducir el riesgo en redes OT que mejorar este aspecto básico.
Granularidad
Pero ¿por qué se da esta situación? La razón por la cual la segmentación de red actualmente no tiene la granularidad apropiada es la complejidad técnica y operativa de implementarla con las herramientas tradicionales: hay que cambiar IP, reestructurar la red, parar el servicio…
No obstante, cuando visitamos una organización por primera vez, es habitual que esta nos indique que ya tiene segmentada su red. En ese momento comienzan las preguntas: ¿cuáles son tus activos más críticos en tu red OT? ¿Desde qué activos se pueden conectar a él? ¿Cuál es el grado de seguridad que tienes de que esto efectivamente sea como dices? ¿Cuántos activos hay hoy que, a pesar de poder conectarse con ellos, no necesiten hacerlo?… Siempre, siempre, siempre, tras estas primeras conversaciones, la conclusión es que la segmentación de red es muy mejorable y que esta situación aumenta el riesgo ostensiblemente.
Otro de los problemas habituales en la industria es la falta de recursos de ciberseguridad. Y esto debería, de nuevo, aumentar la urgencia en la implantación correcta de este control. La segmentación de red es una protección pasiva; es decir, una vez está implantada, no requiere recursos para operarla (solo los suficientes para mantenerla y gestionar los cambios): la propia segmentación ejercerá su función sin la intervención de expertos de ciberseguridad o de red.
Entornos industriales con soluciones modernas
Para afrontar este reto, desde Akamai ofrecemos la solución de microsegmentación Akamai Guardicore Segmentation.
Akamai Guardicore Segmentation permite segmentar la red a nivel de aplicación sin depender de arquitecturas físicas tradicionales, como los firewalls internos o las VLAN. Esto resulta crucial en entornos OT, donde el hardware es sensible y los sistemas no pueden modificarse fácilmente. Gracias a su modelo de microsegmentación definido por software, Guardicore permite definir políticas precisas que limitan las comunicaciones a lo estrictamente necesario sin interferir en el rendimiento ni en los procesos de producción.
La microsegmentación no solo permite un tipo de segmentación más avanzado y granular, sino que también facilita su implementación.
Las soluciones basadas en software, como Akamai Guardicore Segmentation, pueden desplegarse rápidamente sin necesidad de realizar cambios físicos en la red. No es necesario reasignar direcciones IP a tus nuevos segmentos ni preocuparte por la ubicación física de tus servidores y dispositivos. Esto hace que la solución sea mucho más rápida y fácil de implementar que los enfoques basados en infraestructura, como los firewalls y las VLAN.
Además, dado que la solución utiliza su propio controlador propietario para la aplicación de políticas, funciona de manera fluida entre diferentes máquinas y sistemas operativos: desde servidores bare-metal hasta implementaciones multicloud, desde tecnología heredada como Windows Server 2003 hasta los dispositivos y tecnologías más recientes de OT y contenedores.
Esto implica que solo estás gestionando una única solución con una sola interfaz para visualizar y administrar las conexiones establecidas por varios sistemas operativos y dispositivos en todo tu entorno, sin importar su ubicación física.
La segmentación de red es una protección pasiva; es decir, una vez está implantada, no requiere recursos para operarla
Superar el miedo ante el cambio
Es habitual que, cuando visitamos por primera vez a un posible cliente del sector industrial, la conversación sobre ciberseguridad OT se estanque en un “no se puede”. No se puede modificar un sistema que lleva funcionando 20 años. No se puede interrumpir una línea de producción. No se puede instalar un agente porque no es compatible con un sistema operativo antiguo.
La tecnología ha madurado lo suficiente como para adaptarse a la realidad de las plantas industriales. Las soluciones modernas no requieren sustituir equipos ni actualizar entornos críticos, sino que los protegen tal y como están. La visibilidad y el control se consiguen mediante capas de software y servicios en la nube, no a través de cambios físicos o intrusivos.
Además, las autoridades reguladoras van en la misma dirección. La Directiva NIS2 y los estándares de seguridad industrial IEC 62443 establecen la obligación de implementar controles de segmentación y monitorización activa. No se trata solo de cumplir, sino de entender que estas medidas son esenciales para garantizar la continuidad operativa en caso de un ciberincidente.
