Imaginemos una sesión rutinaria de mantenimiento remoto en una estación de compresión de gas. Un contratista se conecta a través de una VPN para actualizar el firmware y reconfigurar los parámetros del bucle PID en el panel de control de un compresor. Se trata de una tarea bastante habitual que garantiza el buen funcionamiento de la estación. Ya lo ha hecho al menos una docena de veces antes.
Pero esta vez hay algo que no cuadra.
El contratista no lo sabe, pero su ordenador portátil está infectado con malware. Una vez conectado, la arquitectura de red plana y la falta de protecciones a nivel de protocolo abren la puerta a que los atacantes se desplacen por el entorno de tecnología operativa (OT). En cuestión de minutos, desactivan las alarmas de seguridad y acceden a los PLC principales que controlan el flujo de gas. A medida que la amenaza se extiende, la estación se ve obligada a desconectarse durante 36 horas, lo que paraliza las operaciones, activa los sistemas de emergencia y los equipos de respuesta, y provoca enormes pérdidas económicas.
Se trata de una situación hipotética, pero refleja el riesgo muy real que supone confiar en las VPN tradicionales para el acceso remoto a sistemas OT críticos y ciberfísicos.
Las VPN se crearon para la TI, no para la TO
Las VPN se diseñaron para entornos informáticos con el fin de permitir que usuarios de confianza se conectaran a los recursos corporativos a través de Internet. Funcionan creando un túnel cifrado entre el usuario y la red interna. Aunque esto parezca seguro, se parte de la base de que el usuario es de confianza y de que, una vez dentro de la red, su acceso debe ser ilimitado o, como mucho, controlado.
Este modelo de confianza presenta graves deficiencias en el contexto de la tecnología operativa (OT). A diferencia de los sistemas de tecnología de la información (TI), los entornos de OT son extremadamente sensibles a las interrupciones, suelen incluir equipos antiguos con capacidades de seguridad limitadas y, por lo general, funcionan las 24 horas del día, los 7 días de la semana, para controlar procesos físicos. Permitir un acceso amplio y sin control a estas redes, especialmente por parte de terceros como contratistas o proveedores de equipos originales (OEM), puede generar graves vulnerabilidades.
Cuando las VPN se convierten en un riesgo en la tecnología operativa
Estas son solo algunas de las razones por las que las VPN no son adecuadas para entornos de tecnología operativa:
- Acceso con privilegios excesivos
Las VPN suelen proporcionar acceso a nivel de red, lo que significa que, una vez que el usuario se conecta, puede desplazarse lateralmente dentro de la red OT. Esto incumple el principio del mínimo privilegio. - Conexiones persistentes
Los túneles VPN pueden permanecer abiertos durante largos periodos de tiempo, lo que crea una superficie de ataque constante. Si un atacante compromete el terminal o las credenciales, puede mantener el acceso sin ser detectado. - Falta de control de sesiones
Las VPN no ofrecen un control detallado sobre las acciones de los usuarios y carecen de capacidades de supervisión una vez que estos se encuentran dentro del túnel. No hay filtrado de protocolos, ni inspección de comandos, ni grabación de sesiones, ni alertas. Si un actor malintencionado o un técnico negligente realiza un cambio, a menudo no hay forma de saberlo hasta que el daño ya está hecho. No hay visibilidad de las actividades de los usuarios dentro del entorno OT, ni existe soporte nativo para la grabación de sesiones o los registros de auditoría. - Puntos finales inseguros
Las VPN amplían el perímetro de la red hasta el dispositivo remoto, que puede no ser seguro. Un ordenador portátil de un colaborador externo que haya sido objeto de un ataque se convierte en una puerta de entrada a los sistemas críticos. - No hay integración nativa con los protocolos OT
Las VPN tradicionales no reconocen ni gestionan los protocolos específicos de OT. Esto limita su capacidad para aplicar filtrados a nivel de protocolo o restricciones de comandos. Además, las VPN no hacen nada para proteger o aislar protocolos industriales intrínsecamente inseguros como Modbus, DNP3 o BACnet. Estos protocolos carecen de cifrado o autenticación integrados y pueden ser fácilmente secuestrados una vez expuestos a través de un túnel VPN. - Elevados costes operativos
Las redes VPN y los servidores de enlace son complejos de gestionar, difíciles de auditar y, a menudo, costosos de ampliar, especialmente cuando hay varios contratistas y sedes implicados.
Una alternativa más segura e inteligente: MetaDefender OT Access
Introducir MetaDefender OT Access, una solución de acceso remoto segura y basada en políticas, diseñada específicamente para entornos industriales. A diferencia de las VPN tradicionales, no confía en los terminales de forma predeterminada. En su lugar, aplica normas de acceso estrictas, control de sesiones e inspección de protocolos adaptados a la tecnología operativa (OT).
Las principales funciones de MetaDefender OT Access :
RBAC granular (control de acceso basado en roles)
Solo los usuarios autorizados pueden acceder a activos, protocolos o sesiones específicos. Se acabaron los túneles abiertos y los privilegios innecesarios.
Aprobación de la sesión interactiva
Cada sesión de acceso puede concederse mediante flujos de trabajo de aprobación, lo que garantiza una supervisión humana antes de conceder el acceso.
Grabación y auditoría de sesiones completas
MetaDefender OT Access un registro de auditoría completo de las sesiones remotas, lo cual es fundamental para el cumplimiento normativo y las investigaciones forenses.
Controles a nivel de protocolo
A diferencia de las VPN, MetaDefender OT Access los protocolos de tecnología operativa (OT) y permite la inspección profunda de paquetes, el filtrado de comandos y la aplicación de límites de comunicación.
Sin exposición directa a la red
Los usuarios finales nunca se conectan directamente a la red OT. En su lugar, las sesiones se gestionan a través de un punto de enlace seguro, lo que reduce drásticamente la superficie de ataque.
Las VPN abren la puerta. MetaDefender OT Access laOT Access protegida.
Industrial ya no pueden permitirse los riesgos que plantean las VPN en sus entornos de tecnología operativa. La superficie de ataque se está ampliando y los atacantes están aprovechando el eslabón más débil, a menudo a través del acceso remoto. Marcos normativos como NERC CIP, IEC 62443 y NIST 800-82 ya están haciendo hincapié en controles más estrictos sobre las vías de acceso remoto.
MetaDefender OT Access una alternativa moderna, en consonancia con los principios de «cero confianza» y las realidades de las redes industriales. Al sustituir las VPN por una solución de acceso remoto segura, supervisable y basada en políticas, los entornos OT pueden mantener su resiliencia sin sacrificar la eficiencia operativa.
