Managed File Transfer redes de TI, TO y DMZ

La transferencia de archivos entre los sistemas de TI y de tecnología operativa (OT) a través de una zona desmilitarizada (DMZ) industrial plantea un problema de seguridad y de operaciones, ya que el intercambio de archivos operativos debe atravesar los límites de segmentación que se han establecido para reducir el riesgo cibernético. Industrial siguen necesitando que los parches, las recetas, los registros, los materiales de los proveedores, las copias de seguridad y los informes se transfieran entre zonas según calendarios predecibles.

Los canales puntuales, como el correo electrónico, las unidades compartidas, los servidores intermedios y los soportes extraíbles, aumentan la exposición al malware transmitido a través de archivos y reducen la trazabilidad. Los flujos de trabajo Industrial (IDMZ) también requieren pruebas de auditoría, la coordinación del control de cambios y una aplicación coherente en todas las sedes para evitar excepciones puntuales.

Entre los casos de uso habituales de la transferencia de archivos de TI a OT se incluyen los paquetes de trabajo de ingeniería, las actualizaciones de PLC y HMI, los extractos de historiales, las actualizaciones de firmas antivirus, las copias de seguridad y los paquetes de firmware de los proveedores. Los artefactos de ingeniería y las actualizaciones de firmware suelen requerir pruebas de la cadena de custodia más rigurosas que los informes rutinarios o las exportaciones periódicas de registros.

Los flujos periódicos suelen incluir copias de seguridad programadas, actualizaciones de antivirus y el envío de informes estándar. Los flujos urgentes suelen incluir parches de emergencia para el firmware, la obtención de datos para la respuesta a incidentes o cambios en las recetas que requieren una rápida implementación. Los requisitos de la cadena de custodia se intensifican cuando los archivos pueden alterar comportamientos críticos para la seguridad o afectar de manera significativa a la calidad de la producción.

El modelo tradicional de zona desarmada (DMZ) de una empresa no se adapta perfectamente a la tecnología operativa (OT), ya que una DMZ conectada a Internet se encarga principalmente de gestionar el acceso externo, mientras que una DMZ industrial se centra sobre todo en garantizar operaciones deterministas, un control estricto de los cambios y la protección de los procesos críticos para la seguridad. El objetivo de la segmentación de nivel 3.5 de Purdue es limitar las vías de acceso a la OT y reducir la confianza implícita entre zonas. 

El riesgo derivado de los archivos se ve amplificado en la tecnología operativa (OT), ya que los sistemas heredados, los plazos limitados para la aplicación de parches y las restricciones de disponibilidad reducen la tolerancia a las medidas correctivas reactivas. Industrial también requieren rutas de transferencia predecibles y procesos de aprobación repetibles que puedan ser auditados sin necesidad de establecer sesiones directas entre TI y OT. 

El hecho de que todas las conexiones terminen en la DMZ implica que las transferencias de archivos entre TI y OT deben evitar las sesiones directas de extremo a extremo entre los terminales de la empresa y los terminales de OT que crucen el límite de confianza. El hecho de que todas las conexiones terminen en la DMZ también implica que los diseños deben evitar los servidores con doble conexión que actúen como puente entre zonas, así como las reglas de cortafuegos que permitan conexiones de clientes entre zonas.

Este principio se traduce en una serie de restricciones justificadas: los sistemas de TI solo se comunican con los servicios de la DMZ, los sistemas de OT solo se comunican con los servicios de la DMZ, y el traslado de archivos se realiza a través de flujos de trabajo de almacenamiento y reenvío gestionados. Los puntos de terminación en la DMZ industrial se convierten en puntos de control para la inspección, la cuarentena, las aprobaciones y el registro de auditoría.

Para evitar sesiones directas entre TI y TO sin interrumpir la automatización, se requieren patrones de transferencia mediada en los que el remitente se conecte únicamente a servicios de transferencia ubicados en la DMZ y el receptor TO se conecte únicamente a servicios de recuperación ubicados en la DMZ. La transferencia de archivos mediada suele consistir en un paso de envío a la DMZ seguido de un paso de recuperación desde la DMZ, de modo que no se establezca ninguna sesión entre zonas.

La exposición de los puertos sigue siendo mínima gracias al uso de puertos fijos, listas de permitidos estrictas e identidades de servicio limitadas a cada flujo de trabajo. Las cuentas de servicio específicas para cada flujo de trabajo reducen el riesgo de movimiento lateral y facilitan la recertificación de las reglas de acceso durante las revisiones periódicas.

La conexión dual y el almacenamiento compartido dan lugar a puentes involuntarios entre zonas, ya que un host con dos tarjetas de red puede convertirse en un punto de enrutamiento o de traspaso de credenciales que traspasa los límites de la segmentación. Los recursos compartidos SMB y las credenciales replicadas también pueden socavar el objetivo de la segmentación al habilitar rutas de acceso implícitas entre zonas que resultan difíciles de identificar y volver a certificar.

Entre las prácticas que deben evitarse se incluyen los servidores de archivos con doble conexión que interactúan simultáneamente con las redes de TI y de tecnología operativa (OT), las carpetas SMB compartidas que se utilizan como puntos de «traspaso» entre zonas y el traslado de archivos a través de servidores intermedios que eluden los controles de inspección. La aplicación de los límites depende de la terminación, la inspección y la autorización explícita, y no de vías de conveniencia.

Una arquitectura de zona desmilitarizada (DMZ) industrial de nivel 3.5 de Purdue para la transferencia de archivos sitúa la IDMZ como el límite de inspección y aplicación de políticas entre las redes de TI y de tecnología operativa (OT) de la empresa. Además, una arquitectura de DMZ industrial de nivel 3.5 de Purdue garantiza que los terminales de TI y de OT se conecten a los servicios de la DMZ, en lugar de conectarse entre sí.

Los servicios mínimos de la zona desmilitarizada (DMZ) suelen incluir una pasarela de transferencia de archivos o un servidor de transferencia de archivos gestionado, almacenamiento en cuarentena, niveles de inspección y registro centralizado. El comportamiento de «almacenamiento y reenvío» gestionado permite realizar operaciones deterministas sin alterar el objetivo de la segmentación.

Entre los servicios que deben integrarse en la DMZ industrial para garantizar un intercambio seguro de archivos se incluyen una pasarela de transferencia de archivos o un servidor de transferencia de archivos gestionado, niveles de análisis de malware y entornos de aislamiento, niveles de desactivación y reconstrucción de contenido (CDR), almacenamiento en cuarentena y recopilación centralizada de registros. Los servicios Industrial también incluyen componentes de flujo de trabajo y de aplicación de políticas que controlan la aprobación y la publicación.

Los dispositivos de TI deben enviar archivos a las zonas de entrega de la DMZ, y los dispositivos de OT deben recuperar los paquetes aprobados de las ubicaciones de almacenamiento temporal de la DMZ. El límite de la DMZ se convierte en el punto de inspección sistemático para el análisis de malware, la desinfección, la evaluación de políticas y el registro de la cadena de custodia.

El modelo de cortafuegos y enrutamiento en un diseño con intermediario suele emplear una arquitectura IDMZ con doble cortafuegos, en la que el tráfico de la empresa a la DMZ y el tráfico de la tecnología operativa a la DMZ se controlan por separado. Las listas de permitidos se aplican al origen, el destino, el protocolo y la identidad del servicio, de modo que cada flujo de trabajo cuenta con una ruta explícita y revisable.

Un número reducido de flujos bien definidos reduce la complejidad del cortafuegos en comparación con numerosas rutas personalizadas. Los diseños con intermediario también admiten puertos fijos y puntos finales de servicio uniformes, lo que simplifica la recertificación de las reglas y reduce la probabilidad de que las reglas generales se amplíen con el tiempo.

El flujo de trabajo que consiste en enviar datos a la DMZ y luego recuperarlos para la red operativa (OT) funciona en la práctica como una secuencia repetible: ingesta, cuarentena, inspección, limpieza, aprobación, liberación y entrega. Este flujo de trabajo también preserva la segmentación, ya que ambas partes se conectan únicamente a los servicios de la DMZ.

El método «push» suele ser adecuado cuando los sistemas de TI generan paquetes, mientras que el método «pull» suele ser adecuado cuando los sistemas de OT recuperan contenido aprobado según horarios controlados. Un flujo de trabajo estándar se puede aplicar en varias plantas cuando las convenciones de nomenclatura, la captura de metadatos y las decisiones sobre políticas son coherentes en cada flujo.

Los patrones de transferencia de TI a la DMZ mantienen cerrada la frontera de la OT al limitar la conectividad de los remitentes de TI a los servicios de ingesta de la DMZ y a las zonas de entrega de la DMZ. Entre los patrones habituales se incluyen las subidas programadas, las subidas activadas por eventos y los envíos API que adjuntan los metadatos necesarios para la toma de decisiones sobre políticas y como prueba de auditoría.

Las directrices operativas incluyen convenciones de nomenclatura coherentes, los campos de metadatos obligatorios para el sistema de origen y la zona de destino prevista, y el cifrado en tránsito mediante TLS. El envío por parte del departamento de TI también debe incluir la vinculación de identidades, de modo que la DMZ pueda registrar qué usuario o servicio inició la transferencia.

Los patrones de extracción de la zona desmilitarizada (DMZ) a la red operativa (OT) reducen el riesgo y simplifican la gestión de los cortafuegos, ya que los agentes de recuperación de la red operativa o las tareas programadas inician conexiones salientes desde la red operativa hacia la zona desmilitarizada para recuperar únicamente paquetes autorizados. La recuperación desde la red operativa debe limitarse a colas o directorios específicos del destino, de modo que los terminales de la red operativa no puedan acceder a contenido en cuarentena no autorizado.

Pull reduce la exposición al evitar las conexiones entrantes hacia la OT y al limitar los puertos y servicios expuestos a la OT. La recuperación de datos de la OT también es compatible con las ventanas de cambio, ya que los sistemas de la OT solo pueden recuperar datos cuando los horarios de las operaciones permiten la instalación o la puesta en marcha.

Los controles imprescindibles para las transferencias de archivos en la zona desmilitarizada (DMZ) industrial incluyen la inspección, la depuración, la cuarentena, las aprobaciones, el acceso con privilegios mínimos, el cifrado y el registro de auditoría que respalda la cadena de custodia. Estos controles imprescindibles deben aplicarse principalmente en la DMZ, ya que esta zona constituye el punto final y el límite de las políticas para el movimiento de archivos entre zonas.

Endpoint y los controles de destino siguen siendo importantes, pero la zona desmilitarizada (DMZ) debe constituir una puerta de inspección coherente que impida el elusión de controles. Cada control debe corresponderse con una fase del flujo de trabajo, de modo que el equipo de operaciones pueda predecir los resultados y los equipos de seguridad puedan verificar las pruebas.

El análisis de malware en la DMZ sin depender de un único motor requiere un análisis múltiple y una detección por capas, de modo que las amenazas conocidas y emergentes cuenten con una mayor cobertura de detección. Los resultados del análisis con múltiples motores deben generar resultados claros, como «aprobado», «rechazado» y «desconocido», para que los flujos de trabajo sigan siendo deterministas.

Los resultados fallidos deben permanecer en cuarentena con vías de escalado. Los resultados desconocidos deben permanecer en cuarentena a la espera de análisis adicionales, como pruebas en un entorno de pruebas o políticas de inspección más exhaustivas. La política de la DMZ debe definir los plazos de espera, los pasos de revisión por parte de los analistas y las reglas de liberación, para que la cuarentena no se convierta en una acumulación incontrolada de casos pendientes.

La desactivación y reconstrucción de contenidos (CDR) supera a los enfoques basados únicamente en la detección cuando se requiere una limpieza centrada en la prevención para eliminar contenidos activos, incluso cuando la detección de malware indica que los resultados son limpios. La CDR reduce el riesgo al reconstruir los archivos para preservar su utilidad empresarial, al tiempo que elimina componentes activos como macros u objetos incrustados, según lo establecido en la política.

Entre los tipos de archivos que suelen beneficiarse de la desinfección se incluyen los documentos de oficina, los archivos PDF y los archivos comprimidos que pueden contener scripts o cargas útiles incrustadas. Las políticas que dan prioridad a la desinfección también reducen la dependencia de la cobertura de firmas y disminuyen el riesgo operativo que supone la entrada en la red de tecnología operativa (OT) de documentos «limpios pero maliciosos».

Sandbox para transferencias de alto riesgo o gran impacto incorpora un análisis dinámico que permite detectar comportamientos que el análisis estático puede pasar por alto. Sandbox deben basarse en el tipo de archivo, el nivel de confianza de la fuente, la importancia del destino y los patrones históricos de amenazas observados en el entorno.

Sandbox deben servir de base para las decisiones sobre políticas, con plazos explícitos, de modo que los equipos operativos puedan prever los retrasos. La política de la zona desmilitarizada (DMZ) debe definir cómo se traducen los resultados del entorno de pruebas en la duración de la cuarentena, los requisitos de revisión por parte de los analistas y los procedimientos de escalado para situaciones de mantenimiento urgentes.

La prevención de pérdida de datos (DLP) para el traslado de archivos entre zonas debe aplicar controles proactivos, como la comparación de palabras clave y patrones, la gestión de la clasificación y las restricciones de destino. La aplicación de las medidas de DLP debe ajustarse a las políticas por flujo, de modo que los datos confidenciales no se trasladen a zonas o destinos no autorizados.

El riesgo de bloqueo excesivo debe gestionarse mediante una aplicación gradual y listas de permitidos específicas para cada flujo que reflejen las necesidades operativas. Los campos de registro deben recoger las reglas de DLP aplicadas, los resultados de las coincidencias y el resultado de la gestión, de modo que los informes de cumplimiento puedan demostrar que el tratamiento ha sido coherente.

El principio del privilegio mínimo y las autorizaciones para la transferencia de archivos entre zonas requieren un control de acceso basado en roles, la separación de funciones y un acceso con límites temporales que se ajuste a las ventanas de mantenimiento y a las restricciones de interrupción del servicio. Las políticas de privilegio mínimo deben evitar el uso de cuentas compartidas y delimitar los permisos en función del flujo de trabajo, el destino y el tipo de archivo.

Los modelos de aprobación deben poder adaptarse a todos los centros mediante el uso de funciones uniformes, un proceso de recopilación de pruebas coherente y la automatización de los flujos de bajo riesgo. La gobernanza también debe definir procedimientos de emergencia con requisitos explícitos de registro y revisión posterior al incidente.

El control de acceso basado en roles (RBAC) para los servidores de archivos de la DMZ de TI y OT separa las funciones en roles como el de remitente, revisor, responsable de la publicación y responsable de la recuperación de OT. El RBAC debe garantizar que un remitente no pueda publicar contenido en OT de forma unilateral y que un responsable de la recuperación de OT no pueda acceder al contenido en cuarentena.

La integración de identidades con los proveedores de identidades existentes puede reducir la carga administrativa, pero el riesgo relacionado con las identidades de OT debe mantenerse bajo control mediante la definición del alcance, la segmentación y el principio del privilegio mínimo. Las cuentas de servicio deben ser únicas para cada flujo de trabajo, a fin de facilitar la auditoría y evitar la reutilización de privilegios en transferencias no relacionadas.

El acceso temporal para proveedores y situaciones de emergencia debe basarse en credenciales con fecha de caducidad, permisos de duración limitada y un acceso de alcance restringido según cada flujo de trabajo. El acceso temporal reduce la exposición prolongada y adapta los periodos de acceso a los calendarios de mantenimiento y a los plazos de aprobación de cambios.

Los requisitos de registro deben incluir quién solicitó el acceso, quién lo autorizó, qué alcance se concedió y qué archivos se transfirieron en el marco de la política de acceso de emergencia. Las medidas de emergencia deben generar un expediente de pruebas explícito para su revisión, con el fin de garantizar la rendición de cuentas en situaciones de emergencia.

El registro de auditoría para la transferencia de archivos entre entornos de TI, OT y DMZ, preparado para el cumplimiento normativo, debe proporcionar pruebas de la cadena de custodia de extremo a extremo en los entornos de TI, DMZ y OT sin depender de la creación manual de tickets. El registro de auditoría debe facilitar las investigaciones, la elaboración de informes de cumplimiento y la resolución de problemas operativos mediante identificadores coherentes en todas las etapas del flujo de trabajo.

Las pruebas de la cadena de custodia deben incluir quién presentó un archivo, qué inspecciones y medidas de desinfección se llevaron a cabo, quién autorizó su publicación y si se confirmó la entrega. El registro centrado en la DMZ reduce la dependencia de la visibilidad de los terminales de la red operativa (OT) y preserva la segmentación.

Los campos mínimos del registro que demuestran quién envió qué archivo y a dónde se envió incluyen la identidad del usuario y la identidad del servicio, la zona de origen y la zona de destino, los nombres de los archivos, los hash de los archivos (como SHA-256), las marcas de tiempo de cada fase del flujo de trabajo, la política aplicada, los resultados de la inspección y la depuración, los registros de aprobación y la confirmación de entrega. Los identificadores de correlación deben vincular los eventos de recepción, cuarentena, inspección, liberación y entrega.

Los campos de registro uniformes permiten la trazabilidad en implementaciones con múltiples sedes. El hash garantiza el no repudio y facilita la respuesta ante incidentes al demostrar la integridad de los archivos a lo largo de la ruta de transferencia.

El seguimiento operativo y las alertas deben basarse en los registros de auditoría, utilizando criterios de alerta tales como fallos repetidos, incumplimientos de políticas, tipos de archivos inusuales, volúmenes de transferencia anómalos y disposiciones desconocidas repetidas detectadas por los motores de inspección. Los paneles de control operativos deben hacer un seguimiento del rendimiento, el volumen de archivos en cuarentena pendientes y las tasas de confirmación de entrega para garantizar la fiabilidad.

La integración de SIEM permite la correlación de datos de seguridad, mientras que los paneles de operaciones facilitan el seguimiento del estado de los servicios y la previsibilidad de los flujos de trabajo. Los umbrales de alerta deben ajustarse en función de cada flujo, de modo que los destinos críticos generen una escalada más rápida que los envíos de informes de baja criticidad.

La transferencia gestionada de archivos frente a un servidor SFTP independiente en una DMZ de tecnología operativa (OT) se diferencia principalmente en materia de gobernanza, integración de la inspección y auditabilidad, más que en la compatibilidad con los protocolos. La transferencia gestionada de archivos proporciona un plano de control para redes segmentadas mediante la coordinación de políticas por flujo, la aplicación de medidas de cuarentena y aprobaciones, y la centralización de la recopilación de pruebas.

El SFTP autónomo suele convertirse en un punto final de transporte que depende de procesos externos para el análisis, las aprobaciones y la generación de informes. Las implementaciones Industrial suelen requerir puntos de control coherentes que mantengan su fiabilidad a escala de múltiples emplazamientos.

El SFTP autónomo en la DMZ suele fallar en la operación diaria debido a las aprobaciones manuales, los análisis de malware inconsistentes, las cuentas compartidas, la captura limitada de metadatos y los registros fragmentados entre múltiples sistemas. Los pasos manuales también aumentan la probabilidad de que se produzcan elusiones, especialmente durante las ventanas de mantenimiento urgentes.

La gestión de múltiples sedes acentúa las deficiencias, ya que cada sede tiende a aplicar controles de análisis, retención y acceso ligeramente diferentes. La fragmentación de las pruebas también ralentiza las investigaciones, ya que demostrar la cadena de custodia requiere una correlación manual entre registros y sistemas de gestión de incidencias dispares.

La transferencia gestionada de archivos con reconocimiento de límites debe ofrecer la coordinación de políticas por flujo, controles de cuarentena y liberación, seguridad integrada de archivos en múltiples capas y visibilidad centralizada en todas las zonas. La transferencia gestionada de archivos con reconocimiento de límites también debe admitir niveles de inspección que incluyan análisis múltiple, CDR, análisis en entorno aislado y aplicación de políticas DLP a lo largo de la ruta de transferencia.

OPSWAT MetaDefender File Transfer™ (MFT) es un ejemplo de plataforma de transferencia gestionada de archivos que da prioridad a la seguridad y que integra Metascan™ Multiscanning, la tecnología Deep CDR™, Proactive DLP™ y análisis en entorno aislado en un flujo de trabajo unificado. La gestión centralizada garantiza una aplicación coherente de las políticas en entornos de TI, IDMZ y OT.

La diferencia entre la depuración de archivos CDR y el análisis antivirus de los archivos que entran en el entorno operativo (OT) radica en que la primera se basa en la prevención y la reconstrucción, mientras que la segunda se centra en la detección y la identificación de contenidos maliciosos. Los controles por capas reducen el riesgo derivado de amenazas desconocidas y generadas por IA al combinar el análisis con múltiples motores, la depuración de formatos de alto riesgo y el análisis opcional en entorno aislado para los casos sospechosos.

Los criterios de selección deben ajustar el tipo de archivo y la importancia del destino al nivel de control. Las políticas deben definir qué tipos de archivo requieren una limpieza por defecto y cuáles pueden someterse únicamente a un análisis con mecanismos de escalado.

El análisis antivirus puede demostrar que un motor de análisis no detectó contenido malicioso conocido basándose en las firmas y los algoritmos heurísticos disponibles en el momento del análisis, pero no puede demostrar que un archivo sea seguro para su uso en entornos de tecnología operativa (OT). Los falsos negativos y las amenazas desconocidas siguen siendo operativamente significativos en entornos críticos.

Los casos «limpios» pero sospechosos deben permanecer en cuarentena a la espera de un análisis en varias fases, que incluya análisis múltiples, pruebas en entornos aislados o políticas de desinfección. El diseño del flujo de trabajo debe garantizar que los resultados «limpios» sigan registrando pruebas y sirvan de base para una investigación posterior en caso de que se produzcan anomalías operativas.

La desinfección basada en la tecnología Deep CDR™ es la opción predeterminada más segura cuando es necesario reducir el riesgo que plantean los contenidos activos, incluso cuando los resultados de la detección son negativos. La desinfección reduce el riesgo al eliminar o neutralizar los elementos activos, al tiempo que se conserva el contenido útil para las necesidades operativas.

Entre los ejemplos de políticas se incluyen la depuración por defecto de los documentos de Office y los archivos PDF que entran en áreas de tránsito de TI de alta criticidad, una gestión más estricta de los archivos anidados y un manejo controlado de los artefactos de ingeniería en función de la criticidad del destino. Las políticas de depuración deben registrar las transformaciones realizadas para preservar las pruebas de la cadena de custodia.

La elección entre un diodo de datos y una DMZ con doble cortafuegos para la transferencia de archivos de OT es una decisión de diseño entre la aplicación unidireccional y los flujos de trabajo bidireccionales controlados que siguen terminando en la DMZ. Los diseños con diodo de datos imponen la direccionalidad por naturaleza, mientras que los diseños de IDMZ con doble cortafuegos imponen la direccionalidad mediante políticas y listas de permitidos.

La ejecución unidireccional modifica las expectativas del flujo de trabajo, ya que las confirmaciones y la resolución interactiva de problemas se ven limitadas. La transferencia bidireccional controlada puede seguir siendo justificable cuando los casos de uso requieren bidireccionalidad y los controles compensatorios siguen siendo explícitos y auditables.

Se requiere un diodo de datos para las transferencias de la tecnología operativa (OT) a la tecnología de la información (IT) cuando la tolerancia al riesgo, la normativa o los entornos de alto riesgo exigen una telemetría estrictamente unidireccional y una reducción de la superficie de ataque. Entre los casos de uso habituales del diodo de datos se incluyen la monitorización unidireccional, la replicación de registros históricos hacia el exterior o los entornos regulados que restringen cualquier vía de entrada hacia la tecnología operativa (OT).

Entre las limitaciones operativas se incluyen una menor capacidad para confirmar la recepción mediante acuses de recibo interactivos y una menor capacidad para resolver problemas en tiempo real. El diseño del flujo de trabajo debe incluir métodos alternativos de verificación, como la confirmación de entrega en la zona desmilitarizada (DMZ) y los registros inmutables.

El uso de dos cortafuegos en una zona desarmada (DMZ) industrial permite satisfacer las necesidades bidireccionales de forma controlada, garantizando que el tráfico en ambas direcciones termine en la DMZ mediante puertas de inspección, controles de cuarentena y una aplicación estricta de las políticas. Los flujos de trabajo bidireccionales deben limitarse a casos de uso justificados, como la entrega de actualizaciones de proveedores, la exportación controlada de datos o los elementos de conciliación necesarios.

Se deben documentar los controles compensatorios, incluyendo listas de permitidos estrictas, puertos fijos, identidades de servicio por flujo y requisitos de aprobación. La documentación también debe incluir la recertificación periódica de las reglas del cortafuegos para evitar la proliferación de reglas.

La entrega de archivos por parte de los proveedores al entorno OT a través de una DMZ debe seguir un flujo de trabajo adaptado a las necesidades de los proveedores que ponga fin a su acceso en la DMZ y garantice la inspección, la cuarentena, el acceso con límite de tiempo y el registro de auditoría. Los flujos de trabajo de los proveedores deben impedir el acceso directo de estos a los activos del entorno OT, al tiempo que mantienen unos plazos de entrega predecibles para la planificación operativa.

La autenticación y la autorización deben limitarse a las zonas de entrega específicas de cada proveedor y a los tipos de archivo específicos de cada proveedor. La entrega a la zona desmilitarizada (DMZ) debe requerir una aprobación documentada y debe proporcionar una confirmación de entrega en el entorno de preparación de la zona operativa (OT).

La autenticación de proveedores sin cuentas compartidas ni acceso permanente debe basarse en identidades individuales para cada proveedor, en la autenticación multifactorial cuando sea posible y en un acceso con caducidad ajustado a las ventanas de mantenimiento. Las identidades de los proveedores deben limitarse a zonas de entrega específicas y a políticas de tipos de archivo restringidas para reducir la exposición.

El acceso debe limitarse al envío y a la visualización del estado, en lugar de a la recuperación directa de los mensajes de orden de transporte (OT). El acceso de los proveedores también debe incluir la aplicación de políticas sobre los destinos permitidos, de modo que los paquetes de los proveedores no puedan enrutarse más allá de las ubicaciones de almacenamiento temporal de mensajes de orden de transporte (OT) aprobadas.

Los archivos de los proveedores pasan de la cuarentena a la fase de liberación autorizada tras ingresar en el almacenamiento de cuarentena de la DMZ, someterse a un análisis de malware, pasar por un proceso de desinfección cuando sea necesario y ser sometidos a un análisis en entorno aislado cuando se activen los criterios de la política. La recuperación de los archivos de los proveedores solo debe permitirse tras la aprobación de la liberación y una vez que la política haya marcado el paquete como aprobado.

La aprobación debe correr a cargo de personas con funciones específicas y con separación de funciones, como revisores y responsables de la puesta en circulación. El registro de pruebas debe incluir los resultados de la inspección, las medidas de higienización, las marcas de tiempo y la identidad de la persona encargada de la aprobación.

Las configuraciones erróneas en la transferencia de archivos a través de la zona desmilitarizada (DMZ) de OT suponen un riesgo al reintroducir la conectividad entre zonas, debilitar los controles de inspección o anular la responsabilidad en materia de autorizaciones y accesos. Para evitar estas configuraciones erróneas se requieren patrones explícitos de lo que no se debe hacer, revisiones periódicas y señales de supervisión que detecten a tiempo los comportamientos de elusión.

Entre los patrones que entrañan riesgos se incluyen las identidades compartidas, la expansión de recursos compartidos en pymes, la proliferación de reglas de cortafuegos y los procesos de copia manuales que eluden la cuarentena. Las normas deben traducir los modos de fallo en requisitos arquitectónicos y operativos que puedan aplicarse.

Las cuentas compartidas y los pasos de copia manual merman la rendición de cuentas, ya que las credenciales compartidas eliminan la no repudio e impiden una atribución fiable durante las investigaciones. Los pasos de copia manual también aumentan la probabilidad de que se omitan pasos de inspección debido a la presión del tiempo.

La separación de funciones y las identidades individuales deben ser obligatorias en las acciones de envío, revisión, publicación y recuperación. Los flujos de trabajo automatizados con aprobaciones reducen la dependencia de prácticas informales y generan pruebas coherentes que respaldan las auditorías y la respuesta ante incidentes.

La proliferación de recursos SMB y de reglas de cortafuegos crea vías invisibles, ya que los patrones de acceso SMB tienden a expandirse con el tiempo y las reglas de cortafuegos generales se vuelven difíciles de auditar. Estas vías invisibles socavan el objetivo de la segmentación al permitir movimientos laterales que no se pueden rastrear.

La asignación fija de servicios y las listas de permitidos estrictas reducen la expansión accidental. La recertificación periódica de las reglas del cortafuegos debe verificar que cada regla se corresponda con un flujo de trabajo aprobado y que las reglas se limiten a los puntos de terminación de la DMZ, en lugar de permitir el acceso de extremo a extremo.

Una lista de verificación para el refuerzo de la seguridad de la transferencia de archivos en la DMZ industrial estandariza las revisiones de la arquitectura, la incorporación de sitios y la gestión de cambios, al convertir los controles de la DMZ en elementos de verificación repetibles. Dicha lista de verificación debe ajustarse a los requisitos de terminación de la DMZ, los puntos de control de inspección, los flujos de trabajo de gobernanza y las pruebas de auditoría.

La estandarización basada en listas de verificación reduce las discrepancias entre centros y mejora la coordinación entre las partes interesadas en materia de seguridad. Los elementos de la lista de verificación deben redactarse como afirmaciones verificables que puedan comprobarse durante la implementación y recertificarse en las revisiones periódicas.

Las comprobaciones de refuerzo de la seguridad Firewall los servicios para las transferencias que terminan en la DMZ deben verificar los puertos fijos, las listas de permitidos estrictas, la ausencia de sesiones directas entre TI y TO, y la ausencia de sistemas de puente con doble conexión. Asimismo, deben restringirse los patrones de acceso administrativo para que el acceso de gestión no cree vías ocultas hacia las redes de TO.

La estrategia de aplicación de parches para los sistemas de la DMZ debe ajustarse a las ventanas de mantenimiento y dar prioridad a minimizar las interrupciones del servicio. La recertificación de las reglas debe confirmar que cada regla se corresponde con un flujo de trabajo documentado y que la terminación se mantiene dentro de la DMZ.

Las comprobaciones de refuerzo de la inspección y la desinfección para tipos de archivos de alto riesgo deben verificar la cobertura de los análisis múltiples, la cobertura de las políticas de CDR, los desencadenantes del entorno de pruebas, los límites de gestión de archivos comprimidos y el comportamiento de la cuarentena ante resultados fallidos o desconocidos. La gestión de archivos comprimidos debe incluir límites de extracción de archivos comprimidos anidados y comprobaciones de detección del tipo de archivo real.

La gestión de excepciones debe requerir una justificación documentada, una aprobación explícita y la conservación de las pruebas pertinentes. Las excepciones también deben dar lugar a revisiones periódicas para evitar que las excepciones temporales se conviertan en vías de elusión permanentes.

Los requisitos de la solicitud de propuestas (RFP) para la transferencia gestionada de archivos a través de redes de TI, OT y DMZ deben dar prioridad al control de los límites, la seguridad de archivos en múltiples capas, la gobernanza centralizada y la auditabilidad en entornos segmentados. La redacción de la RFP debe centrarse en los flujos de trabajo, de modo que los requisitos reflejen la terminación en la DMZ, los puntos de inspección, las aprobaciones y la captura de pruebas, en lugar de limitarse únicamente a las características de transporte.

Los requisitos de la solicitud de propuestas también deben abarcar la alta disponibilidad, el funcionamiento sin conexión o en entornos con restricciones de red, y la aplicación coherente de las políticas en todas las sedes. Los requisitos deben definir cómo la plataforma aplica los flujos de trabajo de «envío a la DMZ y posterior recepción en la red operativa» sin crear sesiones entre zonas.

Los requisitos relativos a los protocolos y los conectores deben incluir los protocolos comunes necesarios en entornos empresariales e industriales, sin dar una importancia excesiva al transporte. Las expectativas de integración deben incluir la compatibilidad con el comportamiento de «almacenamiento y reenvío», así como con redes con restricciones o desconectadas.

Los requisitos de la solicitud de propuestas deben especificar un comportamiento predecible en los reintentos, transferencias reanudables para archivos de gran tamaño y controles de ancho de banda que respeten las operaciones de la planta. Los requisitos del conector también deben abordar la gestión de la identidad del servicio y la integración con los sistemas de identidad, siempre que sea posible.

Los requisitos de coordinación de políticas deben especificar la definición de políticas por flujo, los flujos de trabajo de cuarentena y liberación, el enrutamiento automatizado y la separación de funciones. La coordinación de políticas debe incluir puntos de integración explícitos para el análisis múltiple, el registro de datos de conexión (CDR), el entorno de pruebas (sandboxing) y la aplicación de políticas de prevención de pérdida de datos (DLP) en la ruta de transferencia.

Los requisitos del flujo de trabajo de aprobación deben especificar un sistema de aprobaciones por niveles y la automatización de los flujos de bajo riesgo, con un tratamiento documentado de las excepciones. Los requisitos también deben especificar los campos de datos que se recogen en cada fase con fines de auditoría e investigación.

Los requisitos de visibilidad y registro de auditoría deben especificar los requisitos de generación de informes y de campos de registro, los controles de conservación y la exportación a plataformas SIEM o de registros centralizados. Los requisitos de registro inmutable deben especificar controles de protección contra la manipulación y controles de acceso para la recuperación de pruebas.

Los requisitos de confirmación de entrega deben especificar que se demuestre que los paquetes aprobados llegaron al punto de preparación de OT y fueron recogidos por personas autorizadas. Los requisitos relativos a las pruebas de los paquetes deben especificar los hash, las marcas de tiempo, los resultados de la inspección, las aprobaciones y los identificadores de correlación.

Gracias a la tecnología Metascan Multiscanning, Deep CDR™, Proactive DLP y sandboxing, MetaDefender Managed File Transfer MFT) es la solución de transferencia gestionada de archivos (MFT) OPSWATque reduce los riesgos asociados a los archivos mediante un control centralizado de la transferencia de archivos entre sistemas de TI y OT a través de una zona desarmada (DMZ) industrial.