Publicado de nuevo con permiso de ISS Source
Hay algo hermoso en la tendencia actual hacia la digitalización, que permite a los usuarios instalar parches, correcciones y actualizaciones de forma totalmente en línea para mantener los sistemas en pleno funcionamiento con la máxima eficiencia, lo que se traduce en una mayor productividad y rentabilidad.
Sin embargo, hay otro componente en el que una red crítica permanece aislada (o a punto de estarlo) del entorno exterior, es decir, con un «air gap». El objetivo de una red con «air gap» es mantenerse libre de cualquier actividad maliciosa procedente del exterior, ya que no hay conexiones externas que permitan a los atacantes acceder a ella y causarle problemas.
Para generar correcciones y actualizaciones en esas redes, es necesario recurrir a métodos alternativos que permitan mantener el funcionamiento del sistema. Entre esos métodos se encuentra, entre otros, la inserción USB con la última versión del software en los sistemas, lo que permite al personal actualizar y corregir los programas obsoletos.
El problema es que, aunque USB son una forma segura de actualizar un sistema aislado, también pueden contener malware capaz de bloquear el sistema.
Tomemos como ejemplo perfecto el ataque de Stuxnet de 2010. El origen del ataque se remonta a una USB que contenía un software capaz de infiltrarse en el sistema y causar estragos mientras los operadores de la instalación nuclear iraní de Natanz, aislada del resto de la red, creían que todo funcionaba con normalidad. Ese ataque dañó cientos de centrifugadoras y retrasó el programa nuclear del país varios años.
Aunque Stuxnet pueda parecer un caso extremo de ataque a un sistema aislado físicamente, existen otros casos de menor envergadura en los que los contratistas, el personal de mantenimiento o los ingenieros de control instalan módems y redes inalámbricas para facilitar la transferencia de datos hacia dentro o hacia fuera. Además, el uso de dispositivos como ordenadores portátiles, tabletas y teléfonos inteligentes puede provocar problemas.
Eliminar las vías de acceso
En esta era de la digitalización, ya se trate de una USB, un teléfono inteligente o una tableta, todos esos dispositivos pueden aumentar la productividad y mantener un sistema actualizado, pero la realidad es que ninguna red está realmente aislada físicamente. Siempre hay una forma en que un atacante podría acceder al sistema. El objetivo es eliminar todas o la mayor parte de las vías de acceso.
«Si pensamos en los distintos sectores de infraestructuras críticas, las redes con aislamiento físico se están utilizando en la generación de energía, el suministro de agua y el tratamiento de aguas residuales, así como en otros muchos sectores críticos, como forma de aislar sus activos críticos de la red operativa de tecnología operativa (OT) frente a cualquier amenaza externa», afirmó Sal Morlando, director sénior de productos del proveedor de seguridad OPSWAT. «Los aislamientos físicos seguirán implantándose en numerosos sectores críticos. No creo que los air gaps vayan a desaparecer. Más bien al contrario. Más sectores adoptarán los air gaps como medio para protegerse de las amenazas externas procedentes de la red».
Durante años, los expertos del sector han afirmado que los «air gaps» simplemente no existen, y técnicamente tienen razón, pero las organizaciones siguen implementándolos, y estos no son realmente a prueba de ataques.
«Todavía hay sistemas que funcionan dentro de la red aislada y cuyo estado hay que supervisar, que hay que actualizar y mantener al día, y que necesitan intercambiar datos con sistemas que se encuentran fuera de esa red aislada», afirmó Morlando. «Los retos se derivan realmente del uso de tecnologías seguras que puedan transferir datos de forma segura hacia y desde una red aislada. Han surgido varias tecnologías para abordar este problema, al tiempo que se mantiene el aislamiento entre la red aislada y las redes externas».
Las pasarelas unidireccionales son una opción para transferir datos desde una red aislada físicamente.
«Esa tecnología consiste en una transferencia unidireccional forzada de datos a través de una ruptura de protocolo, de modo que la red de origen y la red de destino —es decir, la red con aislamiento físico y la red externa— no están conectadas mediante una conexión enrutable», explicó Morlando. «Se trata de una tecnología homologada que utilizan, por ejemplo, el sector de la energía nuclear y otros sectores de infraestructuras críticas para transferir datos de forma segura, tanto hacia fuera como hacia dentro, manteniendo al mismo tiempo el aislamiento físico».
Escaneo de USB
«A la hora de introducir o sacar datos de estas zonas, ya sea para recopilar registros o para aplicar una actualización, a menudo se depende de soportes extraíbles o USB para instalar esos parches o actualizaciones, o para transferir los registros», afirma Matt Wiseman, director sénior de producto de OPSWAT. Y conectar un USB sin haberlo escaneado previamente supone un riesgo enorme. Por lo tanto, debemos asegurarnos de que exista algún tipo de estación de análisis o quiosco, de modo que todos los datos que se introduzcan hayan sido comprobados y desinfectados antes de que se les permita acceder a esa red protegida.
«Todos los soportes portátiles suponen, en realidad, una amenaza bastante importante. Cuando se trata de redes aisladas físicamente, que están separadas del resto de Internet, necesitamos introducir y sacar información. Es realmente imprescindible utilizar algún tipo de herramienta para transferir datos hacia y desde estos entornos. En definitiva, hay tres aspectos clave que debemos tener en cuenta para garantizar la máxima seguridad posible».
«Lo primero sería nuestro personal. Suelen ser nuestro eslabón más débil, y debemos asegurarnos de que todos estén formados y sepan cómo introducir y retirar dispositivos USB de una red protegida. Debemos asegurarnos de que sean conscientes de la amenaza que pueden suponer estos dispositivos, y formar a todo el mundo de forma periódica puede resultar muy eficaz. Esto puede ayudar a crear una cultura de ciberseguridad más sólida dentro de la organización, manteniendo la ciberseguridad como una prioridad».
«Creo que el segundo aspecto sería la política interna; es necesario contar con una política clara, bien definida y por escrito sobre el uso de cualquier tipo de USB soporte extraíble para garantizar que no haya lagunas. Queremos asegurarnos de que, cuando nos desplazamos de unas instalaciones a otras, estos dispositivos se traten de la misma manera».
«La última pieza del rompecabezas sería la tecnología. Es realmente imprescindible contar con una sólida tecnología de ciberseguridad diseñada específicamente para tu entorno. Si tu personal está bien formado y es consciente de los riesgos, si dispones de una política que establezca lo que deben hacer y, además, de una tecnología capaz de analizar estos diferentes USB para garantizar que lo que se introduce es seguro, y si cuentas con la presencia física de un quiosco», afirmó Wiseman.
Buenas prácticas
En cuanto a las mejores prácticas que se pueden aplicar en un entorno aislado físicamente, Morlando señaló que hay muchas opciones.
«Es importante incorporar controles de usuario en torno al uso de soportes portátiles», afirmó. «Y, básicamente, el acceso de los usuarios a la información extraída del entorno OT también es una parte importante de la política de seguridad. Otra capacidad es la prevención de la pérdida de datos, por ejemplo, en la que se censura la información extraída de un entorno que pueda ser confidencial, de modo que dicha información no pueda comprometer a la organización en el futuro. Existe una amplia gama de políticas de seguridad que pueden aplicarse a la seguridad de los soportes portátiles y que deberían adoptarse».
Los avances tecnológicos están impulsando un aumento en el intercambio de datos entre los sistemas de control industrial y el entorno corporativo. Y, dado que cada vez más fabricantes están adoptando los soportes portátiles, contar con un plan de seguridad sólido contribuirá a proporcionar lo que la organización buscaba en un entorno aislado desde el principio: un entorno de trabajo seguro.
