Los riesgos ocultos de la distribución de archivos en entornos de tecnología operativa (OT)

En la mayoría de los entornos de ingeniería de procesos, la incorporación de un archivo a un sistema crítico sigue una secuencia específica de pasos. El proceso comienza cuando un proveedor entrega el firmware, un contratista aporta un parche o un equipo de mantenimiento lleva a cabo actualizaciones de configuración. Los archivos se analizan, se aprueban y se transfieren. Sin embargo, en algún punto entre estos procedimientos y el momento en que el archivo llega al PLC (controlador lógico programable) o a la HMI (interfaz hombre-máquina), los equipos de seguridad lo pierden de vista por completo.

Se utilizan muchos enfoques para abordar este reto. Las soluciones basadas en red gestionan el traslado de archivos entre los sistemas de TI y de TO, y los flujos de trabajo basados en quioscos inspeccionan los soportes extraíbles en el punto de entrada. Sin embargo, hay una parte del problema que sigue sin resolverse. Se trata de lo que ocurre con un archivo una vez que ha sido verificado, mientras se encuentra en tránsito hacia el sistema crítico.

La mayoría de los operadores de sistemas operativos de tecnología operativa (OT) cuentan con sólidos flujos de trabajo de inspección integrados. Por lo general, los soportes extraíbles y los dispositivos transitorios se analizan antes de entrar en el entorno aislado de OT, y las autorizaciones se registran. Estos controles son necesarios, pero comparten una limitación común: crean un único momento de confianza.

Los sistemas OT heredados no se diseñaron para cuestionar lo que llega a sus puertas. Los PLC, las IHM y las estaciones de trabajo de ingeniería heredadas no suelen poder ejecutar agentes de EDR (detección y respuesta deEndpoint ) ni verificar que los archivos entrantes se ajusten a las autorizaciones originales. Cuando se conecta un dispositivo, se puede acceder a los archivos de forma predeterminada.

Estas limitaciones hacen que la seguridad de cada distribución de archivos en un sistema crítico dependa de que todos los operadores sigan los pasos de verificación manual. Confiar en que todos los operadores sigan cada paso en todos los centros es una suposición del proceso, no un control de seguridad.

La pregunta debería pasar ahora de «¿estaba este archivo limpio cuando se analizó?» a «¿podemos confirmar que sigue siendo el mismo archivo en el momento de su implementación en el sistema crítico?».

En los sectores regulados es fundamental verificar que un archivo no haya sufrido modificaciones desde su aprobación hasta su implementación. Una vez que un archivo supera el punto de inspección, debe existir un mecanismo para comprobar si ha sufrido modificaciones.

En entornos OT, el problema sigue sin resolverse, ya que la mayoría de los flujos de trabajo actuales carecen de un mecanismo para detectar modificaciones posteriores a la verificación. Si un archivo se modifica tras la verificación, ya sea por error o por manipulación deliberada, el sistema OT de destino no puede detectarlo. El registro de análisis sigue siendo válido y la aprobación sigue constando en el registro. Un archivo que se verificó como seguro hace tres días y que desde entonces ha sido alterado parece idéntico a un archivo que se consideró seguro hace tres días y que no ha sido modificado. El operador que lo distribuye no dispone de ninguna forma fiable de distinguir entre ambos.

La verificación no termina en MetaDefender Kiosk . Si un archivo verificado se modifica tras el análisis y antes de su implementación, se bloquea y se oculta automáticamente. En ese caso, dicho archivo deberá superar de nuevo la verificación antes de que se pueda acceder a él.

Este mecanismo garantiza la integridad de los archivos, por lo que el operador no tiene que hacerlo manualmente. De este modo, el modelo de seguridad pasa de «analizar una vez y distribuir» a «verificar de forma continua hasta el momento de la implementación».