Cuando se trata de su agua potable, ¿qué tan segura es su tecnología operativa?

La reciente intrusión en una planta de tratamiento de aguas de Florida evidencia la necesidad de contar con una sólida protección de los sistemas de control industrial. A continuación, se indica lo que debe considerar.

Este viernes pasado, en Oldsmar, Florida, un técnico muy observador de una planta de purificación de agua se dio cuenta de que se estaba produciendo un cambio químico en el suministro de agua. Con una rápida respuesta, el técnico descubrió que se había accedido de forma remota a la red de tecnología operativa (OT) que se encarga de purificar el agua y que el intruso desconocido había aumentado la cantidad de hidróxido de sodio, esencialmente, soda cáustica, de 100 partes por millón a niveles potencialmente dañinos de 11 100 ppm. Si no fuera por la rápida respuesta del técnico, esto podría haber tenido un impacto directo en las vidas de los habitantes del condado de Pinellas que dependen del suministro seguro de esta agua como fuente potable.

Aunque, en este caso, el cambio potencialmente desastroso y no autorizado en la red de OT se detectó rápidamente y se resolvió antes de que se produjera un daño al público, no siempre es así. Desafortunadamente, en los últimos años, las redes de OT han experimentado un dramático repunte de los incidentes de seguridad. Los acontecimientos mundiales de 2020 no han hecho más que acentuar el desafío de la seguridad, lo cual obligó a las empresas a “abrir” su red para el acceso remoto del personal en cuarentena o limitado. Estos factores, junto con los avances tecnológicos, como la convergencia de los entornos de TI y OT y la rápida adopción de la tecnología de IoT, han ampliado aún más las superficies y los vectores de ataque de OT, lo cual convierte los entornos industriales en el principal objetivo.

Para la mayoría de las organizaciones industriales, la necesidad de una seguridad atenta no es nada nuevo. Los vectores de amenaza y los pronósticos de seguridad están en constante evolución, dadas las amenazas emergentes. La convergencia de las operaciones de TI y OT, planificada o no, es, en casi todos los casos, una realidad. Establecer las medidas de protección adecuadas ayudará a garantizar la seguridad de las operaciones de su organización y proporcionará a los operadores de OT las herramientas necesarias para proteger la infraestructura crítica. ¿Qué debería considerar?

Visibilidad que se extiende más allá de las fronteras tradicionales

Hasta hace poco, la seguridad de los activos de TI y de las infraestructuras de OT habitaban mundos completamente diferentes, por lo cual la capacidad de ver hacia cualquiera de los dos entornos se bifurcaba en estas dos líneas. Los ataques modernos son amorfos y "viajan" a través de las fronteras de seguridad tradicionales de los activos de TI y OT, como se puso de manifiesto en este último incidente. Nuestra capacidad para dar seguimiento a estos tipos de rutas de propagación requiere descompartimentar los parámetros de visibilidad tradicionales. Es esencial poder obtener una visión única de TI y OT, junto con las interacciones que se producen entre los dos mundos. Esta visión integral puede ayudar a clarificar los posibles vectores de ataque y los puntos ciegos de los activos que puedan haber omitido las estrategias de seguridad tradicionales.

Análisis situacional a profundidad

Más allá de que un entorno de OT sea convergente o no, es importante reconocer la diferencia significativa entre los ciclos de vida de TI y OT. Mientras que las infraestructuras de TI se actualizan periódicamente, las infraestructuras de OT suelen continuar sin cambios durante años, incluso décadas. No es raro que una infraestructura de OT sea tan antigua como la propia planta. El resultado es que el inventario completo de los activos, junto con los registros de mantenimiento y gestión de cambios, pueden no estar actualizados. Por lo tanto, pueden faltar datos fundamentales, incluyendo detalles importantes como el número de modelo, la ubicación, la versión del firmware, el nivel de parche, los detalles del plano posterior y otros. Dado que es imposible proteger los activos que tal vez ni siquiera sabe que existen, contar con un inventario detallado de su infraestructura de OT que pueda actualizarse automáticamente cuando cambien las condiciones, es esencial para proteger sus operaciones industriales.

Reducción del riesgo cibernético

En los entornos modernos de OT, las amenazas cibernéticas pueden originarse en cualquier lugar y viajar a todas partes. Por consiguiente, es importante utilizar la mayor cantidad posible de capacidades y metodologías para encontrar y mitigar el riesgo de exposición. Esto incorpora una detección basada en redes que incluye:

• Aprovechamiento de las políticas para utilizar las capacidades de permitir y bloquear listas.
• Detección basada en anomalías que pueda encontrar ataques de día cero y dirigidos, y que se base en comportamientos de referencia únicos de su organización.
• Bases de datos de ataques de código abierto, como Suricata, que centralizan la inteligencia de amenazas de la mayor comunidad de seguridad, lo cual permite estar más atentos a cualquier amenaza potencial para dar una respuesta de seguridad significativamente mejor.

Dado que la mayoría de los ataques se dirigen a los dispositivos y no a las redes, es fundamental utilizar una solución que realice consultas activas a los dispositivos y proporcione seguridad a nivel de estos. Debido a que los protocolos de los dispositivos de OT pueden variar mucho, las verificaciones de seguridad y de estado deben ser únicas para la marca y el modelo del dispositivo, incluyendo su lenguaje. Estas verificaciones profundas no deben escanear los activos, sino que deben ser precisas en cuanto a la naturaleza y la frecuencia de las consultas.

In 2020, se dieron a conocer más de 18 300 vulnerabilidades nuevas, que afectaban a los dispositivos de OT, así como también a los activos de TI tradicionales. Sin embargo, menos de la mitad de estas vulnerabilidades tenían un exploit disponible. Tener un conocimiento completo de las vulnerabilidades que son relevantes para su entorno, junto con una lista jerarquizada de las vulnerabilidades explotables y los activos críticos, le permitirá priorizar las amenazas con la mayor puntuación del riesgo y, de este modo, se reducirá drásticamente su perfil de Cyber Exposure.

Cómo saber cuando se producen cambios

El corazón de una infraestructura de OT es el controlador lógico programable, o PLC, que controla el proceso industrial o de fabricación. En el caso de la purificación del agua, el PLC orquesta el delicado proceso de garantizar la mezcla adecuada de productos químicos que hace que el agua potable sea segura.

Los ataques diseñados contra los sistemas de control industrial (ICS) consisten en hacer cambios no autorizados en un PLC. El control de configuración genera una snapshot o pruebas documentales para destacar un valor delta antes y después de un cambio en el PLC. Al tomar snapshots con intervalos regulares, se obtiene visibilidad hacia dichos cambios, cómo se hicieron y quién los hizo. El control de configuración puede proporcionar un registro de auditoría completo y ofrecer a los administradores de ICS los datos de inteligencia, la información y la capacidad para revertir la situación al “último estado aceptable”, en caso de que alguien efectúe cambios subóptimos o no autorizados en un PLC.

Los entornos OT son fundamentales para el funcionamiento de casi todas las infraestructuras críticas e instalaciones de fabricación. Con el tiempo, se han vuelto más sofisticados e interconectados, y producen y fabrican bienes y servicios esenciales según normas rigurosas. Nuestra necesidad de proteger estos entornos críticos contra las amenazas es tan importante como proteger a las infraestructuras de TI que están conectadas con ellos o más. Obtener visibilidad, seguridad y control de los entornos de OT es fundamental, ya que hay vidas que dependen literalmente de ello. 

Para obtener más información sobre cómo implementar estas medidas de protección de OT, vea el documento técnico Sistemas de control industrial seguros con control de configuración.