92

Automática e Instrumentación Septiembre 2013 / n.º 454

Soluciones CIBERSEGURIDAD

Ciberseguridad

La (in)seguridad de los sistemas de control de procesos

L os entornos de control de pro-cesos, cada vez más, utilizan y dependen de las tecnologías

de la información. Estas tecnologías están reemplazando las tecnologías propietarias convencionales, permi-tiendo así reemplazar el software hecho a medida por software co-mercial. Esta transformación trae consigo dos grandes hándicaps:

• Los sistemas de control de pro-cesos tradicionalmente eran siste-mas cerrados diseñados para ser funcionales, seguros y fiables donde la principal preocupación era la se-guridad física. Con la integración de estos sistemas en un entorno infor-mático, el entorno de control queda expuesto a nuevas amenazas (virus, malware, intrusiones, etc.).

• El software comercial utilizado para reemplazar los sistemas de control de procesos propietarios a menudo no cumple con las parti-cularidades y la complejidad del entorno de control. Muchas de las medidas de seguridad informática utilizadas con estas tecnologías no han sido adoptadas y, por conse-cuencia, puede haber medidas de seguridad insuficientes para proteger los sistemas de control y mantener el entorno seguro.

Las consecuencias de exponer

dichas vulnerabilidades al exterior pueden ser graves. El impacto de un ataque electrónico en el entorno de control puede incluir la pérdida de servicio, pérdida de integridad, pér-dida de confidencialidad y pérdida de reputación, entre otros.

Comprender el riesgo del negocio. Principios de buenas prácticasSolo con un buen conocimiento del riesgo que suponen las amenazas, vulnerabilidades e impacto para el negocio, una organización puede tomar decisiones con los niveles de seguridad adecuados y necesarios para mejorar las prácticas de trabajo. Los procesos deben quedar sujetos a una continua evaluación para adaptarse al cambio constante.

Evaluación formalEs conveniente llevar a cabo una evaluación formal de los riesgos de los sistemas de control:

•Sistemas: – Realizar una auditoría de inven-

tario y una evaluación de los sistemas de control. Qué sistemas existen, cuál es el papel de cada sistema, cómo interactúan, funcionalidad y responsable del sistema.

• Amenazas:

– Identificar y evaluar las ame-nazas que afectan a los sistemas de control de procesos. La revisión debe incluir la evaluación de la in-fraestructura, sistemas operativos, aplicaciones, componentes software,

Debido a las amenazas existentes, la ciberseguridad se ha convertido en una prioridad para los entornos de control. Originariamente, los sistemas de control de procesos fueron creados como sistemas independientes y aislados, por lo tanto, la seguridad no tenía el peso que tiene hoy. Con la estandarización de Internet y el uso de los protocolos IP, el diseño ha cambiado hasta el punto de que, en muchos casos, la red de control ha pasado a ser una extensión protegida de la red corporativa, siendo potencialmente accesible desde Internet y vulnerable a los riesgos que esto conlleva, obligando a adoptar una estrategia que nos ayude a crear un entorno seguro para reducir las amenazas existentes.

93

Septiembre 2013 / n.º 454 Automática e Instrumentación

SolucionesCIBERSEGURIDAD

conexiones de red, conectividad de acceso remoto y procesos y proce-dimientos.

• Impacto:– Identificar el impacto y conse-

cuencias.• Vulnerabilidades:– Evaluar la infraestructura, sis-

temas, aplicaciones y procesos para revisar y analizar las vulnerabili-dades.

Marco de seguridadPara garantizar la seguridad de la red de control y poder evaluar el riesgo, se debe llevar a cabo un se-guimiento para identificar y mitigar las vulnerabilidades que permitan a un atacante alterar o tomar el control del sistema.

Cuando se implementa una ar-quitectura segura, se tiende a fo-calizar el esfuerzo en los elementos tecnológicos. Aunque importantes, la tecnología es insuficiente por si misma para proveer una protección robusta. No es suficiente instalar y configurar un firewall si no se han tenido en cuenta las particu-laridades del entorno de control de procesos.

Aunque los sistemas de control están basados en los estándares de TI, su entorno operacional difiere significativamente. Las soluciones para garantizar la seguridad en entornos informáticos no suelen ser las apropiadas para el entorno de control. Mientras que algunas herramientas y técnicas de seguridad estándar se pueden utilizar para proteger los sistemas de control de procesos, se puede necesitar una cuidadosa adaptación para su inte-gración. A modo de ejemplo, puede que no sea posible la instalación de un antivirus en los sistemas de control debido a la falta de potencia del procesador, la antigüedad del sistema operativo o la certificación del proveedor.

Las pruebas de seguridad en los sistemas de control de procesos tam-bién deben ser adoptadas con sumo cuidado: un escaneo de seguridad puede afectar significativamente el funcionamiento de determinados dispositivos de control y causar efectos adversos en los sistemas

analizados. Dichos tests escanean los puertos y vulnerabilidades a través de peticiones continuas a direcciones IP con datos ficticios. Rara vez se crean entornos de prueba para realizar el análisis y hay pocas oportunidades de tener los sistemas con la línea de producción parada para poder instalar los parches de seguridad o realizar las tareas de mantenimiento oportunas.

ObjetivosPara el entorno de control, el orden del objetivo de seguridad es inverso al del entorno informático, ya que la disponibilidad de los sistemas se posiciona como el factor más impor-tante. En un entorno de control, el término seguridad suele referirse a fiabilidad y alta disponibilidad.

Proteger, detectar, actuarUna evaluación de vulnerabilidades identifica e informa de un fallo de seguridad para su posterior análisis. La principal finalidad de un test de seguridad es duplicar las acciones de un atacante para encontrar los puntos débiles de la red que podrían permitir el acceso al entorno de con-trol a través de Internet o desde la propia red corporativa. Existen varias herramientas y técnicas utilizadas por los atacantes para identificar vulnerabilidades.

• Proteger: Implementar las me-didas de seguridad y protección adecuadas para prevenir los ataques electrónicos.

• Detectar: Establecer mecanis-

mos para la rápida identificación de los ataques electrónicos.

• Actuar: aplicar las medidas de prevención adecuadas para solventar las incidencias de seguridad.

El éxito de cualquier procedi-miento de seguridad depende del factor humano. Los empleados son el recurso más importante y la ma-yor amenaza para la seguridad. El personal de los sistemas de control de procesos no suelen estar fami-liarizados con la seguridad de TI y el personal de seguridad de TI no suele estar familiarizado con los sistemas de control ni su entorno operativo. Esta situación se puede mejorar aumentando la comprensión general a través de programas de formación.

Tipos de test de seguridadUn test de seguridad se centra en analizar las debilidades del entorno que quedan expuestas al exterior y puedan permitir a un atacante el acceso no autorizado. Estas pruebas suelen estar pensadas para entornos informáticos y rara vez pueden aplicarse al entorno de control, ya que los protocolos utilizados en ambos entornos difieren significa-tivamente.

Los proveedores de control utili-zan protocolos propietarios para los procesos internos. Estos protocolos fueron desarrollados cuando los sis-temas de control de procesos estaban aislados del entorno corporativo y la seguridad no era una amenaza. Desde que el entorno de control

Objetivos de la seguridad

IT Control

Confidencialidad Disponibilidad

Integridad Integridad

Disponibilidad Confidencialidad

94

Automática e Instrumentación Septiembre 2013 / n.º 454

Soluciones CIBERSEGURIDAD

ya no está totalmente aislado, los protocolos propietarios han puesto al sistema en riesgo de ser atacado debido al bajo nivel de seguridad.

Debido a la inseguridad inhe-rente del entorno de control, las pruebas de análisis se centran en la seguridad de las electrónicas de red responsables de las entradas y salidas. El equipo debe evaluar la arquitectura de red para formar una estrategia de defensa apropiada que implique el uso de firewalls. La red corporativa y la de control no debe-rían comunicar directamente, todas las comunicaciones corporativas de entrada/salida hacia/desde la red de control tienen que ser filtradas y analizadas por un firewall y un detector de intrusiones, valorando la posibilidad de crear DMZs u otras arquitecturas para los sistemas más críticos.

Proceso de escaneo de vulnerabilidadesPrevio a una evaluación de seguri-dad, se debe revisar la estructura del sistema y definir su configura-ción, estableciendo los problemas conocidos y la lista de dispositivos a excluir del análisis.

A diferencia de las pruebas de seguridad de TI, las cuales estable-cen hasta dónde puede llegar un atacante, en el entorno de control lo que queremos saber es si existen vulnerabilidades en el hardware o software y si las protecciones de seguridad existentes son suficientes para limitar el acceso.

Riesgo asociadoUn test de seguridad puede supo-ner un riesgo significativo para los sistemas de control de procesos. Como mínimo, puede ralentizar el tiempo de respuesta de la red debido al escaneo en búsqueda de vulnerabilidades. Las actividades generadas por el test pueden hacer que los componentes de control queden inoperativos. Este riesgo puede verse reducido si se utilizan las reglas de escaneo adecuadas por personal cualificado.

Implementar una arquitectura seguraLos siguientes puntos detallan un conjunto de buenas prácticas para el diseño de medidas que nos ayuden a mitigar las posibles vulnerabili-dades:

• Arquitectura de red:– Reducir al mínimo el número de

conexiones con el sistema e identi-ficar todas las conexiones.

– Aislar la red de control mediante un firewall para aislarla de los fallos del entorno de TI.

• Firewalls:– Implementar reglas de acceso

estrictas para proteger las conexiones entre sistemas de control y otros sistemas.

– Los firewalls deben ser ges-tionados por administradores con experiencia.

– Establecer un sistema de moni-torización 24/7.

• Acceso remoto:– Asegurarnos del conocimiento de

los riesgos y las normas de seguridad por parte de los proveedores que accedan a la red.

– Mantener un inventario de todas las conexiones remotas.

– Implementar mecanismos de au-tenticación apropiados y seguros.

– Realizar auditorías con regulari-dad. Implementar un procedimiento para habilitar y deshabilitar conexio-nes remotas.

– Restringir los accesos remotos a servidores/workstations específicos por usuario y ventana horaria.

• Anti virus:– Proteger los sistemas con un

software antivirus.• Procedimiento de conexión de

dispositivos:– Establecer un procedimiento

para verificar que los dispositivos están libres de virus antes de ser conectados a la red.

• Acceso a Internet y email:– Restringir el acceso a Internet y

a servidores de correo.• Consolidación de sistemas:– Deshabilitar servicios y puertos

en desuso para prevenir un uso no autorizado.

– Conocer qué puertos están abier-tos y qué servicios y protocolos los utilizan.

– Restringir el uso de CDs, disque-teras, USB, etc.

• Seguridad física:– Implementar medidas de protec-

ción para proteger el acceso físico a los equipos de red y sistemas de control.

• Monitorización del sistema:– Monitorizar en tiempo real los

procesos, puertos y servicios para identificar comportamientos in-usuales.

– Implementar sistemas de detec-ción de intrusión.

– Revisar y analizar regularmente los archivos log.

• Redes inalámbricas:– Las redes inalámbricas están

experimentando una gran acogida en los entornos de control debido a las importantes ventajas que propor-cionan. Sin embargo, los sistemas inalámbricos pueden suponer un riesgo importante debido al cambio tecnológico continuo al que están sometidos. Los sistemas inalámbricos

95

Septiembre 2013 / n.º 454 Automática e Instrumentación

SolucionesCIBERSEGURIDAD

deben ser protegidos utilizando las buenas prácticas de la industria.

• Parcheado de seguridad:– Implementar procedimientos

para la instalación de parches de seguridad en los sistemas opera-tivos. Previo a una instalación, se debe comprobar que el parche ha sido certificado y validado por el proveedor.

• Contraseñas y claves:– Implementar políticas de cadu-

cidad y complejidad de contraseñas

para todos los sistemas de control. Se recomienda que las contraseñas se cambien con frecuencia siempre que sea posible.

– Revisar regularmente los pre-misos de acceso y deshabilitar las cuentas antiguas.

– Cambiar las contraseñas por defecto de los dispositivos.

• Auditorías de seguridad:– Realizar auditorías de seguridad

con regularidad para identificar, enumerar y posteriormente describir

las diversas vulnerabilidades que pudieran presentarse.

• Gestión de vulnerabilidades:– Implementar un sistema de

gestión de vulnerabilidades para garantizar que estas se reducen al mínimo.

• Pruebas de seguridad:– Se deben ejecutar tests de se-

guridad siempre que sea posible en entornos dedicados para tal efecto.

• Gestión del cambio:– Certificar que todos los sistemas

quedan sujetos a un proceso estricto de control de cambios aprobados por todos los departamentos afec-tados.

• Copias de seguridad:– Probar regularmente la inte-

gridad de las copias de seguridad a través de un proceso de restauración completa.

– Almacenar copias de seguridad dentro y fuera del CPD.

Diego MartínSistel Controlwww.sistelcontrol.com

Bibliografía• Guide to Industrial Control Systems (ICS) Security.[en línea]

Disponible en: http://csrc.nist.gov/publications/nistpubs/800-82/SP800-82-final.pdf

• Using Operational Security (OPSEC) to Support a Cyber Security Culture in Control Environments.[en línea] Disponible en: http://energy.gov/sites/prod/files/oeprod/DocumentsandMedia/OpSec_Recom-mended_Practice.pdf

• BS 7858:2006: Security screening of individuals employed in a security environment. Code of practice.[en línea] Disponible en: www.bsi-global.com/en/Standards-and-Publications/Industry-Sectors/Security/Security-Products/BS-78582006/