👨‍💻 👴🏾 💬 Cómo mejorar la seguridad de la automatización industrial. 🤾🏾 🛑 🤦🏽

Sven Schrecker, arquitecto jefe de IoT Security Solutions Group en Intel Security Corporation, es una persona bastante conocida, por lo que decidimos traducir uno de sus artículos recientes sobre seguridad de la información en la industria. ¡Disfruta leyendo!

La historia de la automatización industrial me parece muy emocionante. Las nuevas tecnologías recogieron los procesos de producción de la era industrial, catapultándolos directamente a la era de la información. Cuando parecía que la productividad ya había alcanzado su punto máximo, Internet ayudó a elevar la eficiencia de la producción a niveles inimaginables.

Desafortunadamente, la automatización industrial irrumpió en el mundo moderno, basado en datos y conectado a Internet, y superó la seguridad digital, sin desacelerar su ritmo.

Bienvenido a la era digital cuando un hacker anónimo en el espacio virtual puede infiltrarse en los sistemas de automatización industrial. ¿Cómo garantizar la seguridad de estos sistemas y, al mismo tiempo, satisfacer las necesidades del negocio?

Los equipos de tecnología operativa (OT) aún requieren alta resistencia y disponibilidad. Se requiere que los equipos de tecnología de la información (TI) estén interconectados, sean seguros y cumplan con las regulaciones. Ambos equipos deberían involucrar a nuevos especialistas: analistas de datos que necesitan recopilar, intercambiar y analizar datos en tiempo real para cada decisión comercial. Este artículo analiza la situación de seguridad en los sistemas modernos de automatización industrial, los problemas tecnológicos y organizativos de su mejora, y un modelo dinámico para implementar la seguridad y la confianza en los sistemas de control industrial (ICS) y los sistemas de control y adquisición de datos (SCADA).

El crimen y el conflicto tienen una nueva dirección

Los ataques físicos y los ataques a los sistemas SCADA e ICS son prácticamente un fenómeno del siglo XX. La mayoría de los ataques de hoy son llevados a cabo por atacantes con alta motivación y recursos necesarios. Estas personas a menudo son programadores experimentados que trabajan para grupos de delitos informáticos de otros continentes. Las tenencias e incluso los estados están constantemente involucrados en una batalla invisible con el enemigo, porque las instalaciones de producción y la infraestructura crítica están en riesgo. Aquí hay algunos ejemplos notables:

2010 , Stuxnet , . , , , .
2014 , , . , . « » . .
2014 , - . , , . , .

Desafortunadamente, tales incidentes de seguridad ocurren con mayor frecuencia (escribimos recientemente sobre otra historia cuando los piratas informáticos atacaron el sistema de distribución de gas estadounidense. El clásico Ransomware, un virus ransomware se usó para atacar) y el daño causado por ellos está en constante crecimiento. Puede encontrar una lista actualizada de alertas, recomendaciones y mensajes de ataque en el sitio web del Equipo de Respuesta a Emergencias de Seguridad Cibernética (ICS-CERT) .

Ataque a datos

La recopilación y análisis de datos es un arma competitiva de nuestro tiempo. En base a ellos, se generan ideas analíticas que optimizan los procesos en cada área del negocio. Los fabricantes a menudo invierten cientos de millones de dólares para lograr un aumento del 10-20 por ciento en eficiencia. La eficiencia aumenta debido a los datos (y conclusiones de ellos) obtenidos como resultado del análisis del uso y la demanda del consumidor, la adquisición, la optimización de la cadena de suministro, los procesos de producción, la planificación de la producción y mucho más. Al cambiar cuidadosamente estos datos, los atacantes pueden des-optimizar los procesos de una empresa que ni siquiera lo nota. Incluso la manipulación de datos más fácil puede dañar a una empresa que siempre está a punto de equilibrarse.

Mitos de seguridad y conceptos erróneos

Varios mitos y conceptos erróneos obstaculizaron el desarrollo de sistemas de seguridad de automatización industrial. Los más comunes incluyen:

"Nuestros sistemas tecnológicos están bien protegidos porque la línea de producción no está conectada a Internet". Este es un concepto erróneo popular y muy peligroso. Es muy poco probable que algún sistema de gestión de producción esté realmente aislado. Incluso un usuario que puede acceder al sistema de producción accediendo a Internet, o que se conecta al sistema usando una computadora portátil o tableta, crea vulnerabilidades de seguridad. Basta recordar los casos de la planta de enriquecimiento nuclear iraní y la planta siderúrgica alemana.
« 20- , ». , , . . / , , . , .
« , , -». , .

Los modernos sistemas de automatización industrial cliente-servidor han cambiado a una arquitectura de borde a nube debido a las ventajas de costo y flexibilidad. Y el mundo interconectado de hoy está aumentando el número de riesgos en estos sistemas. Independientemente de la aplicación, la seguridad comienza con el establecimiento de una cadena de confianza entre dispositivos, datos y sistemas. En un sistema confiable, todo debe ser autenticado y validado para garantizar la compatibilidad e integridad en cada punto. Y los requisitos de accesibilidad y la naturaleza heredada de los sistemas de automatización industrial plantean desafíos adicionales. Mantener las inversiones existentes en la infraestructura del sistema es de suma importancia. Por lo tanto, un modelo de seguridad viable debería funcionar tanto con los sistemas existentes como con los nuevos. Además, la seguridad es un proceso dinámico,a medida que las necesidades de seguridad, las políticas y los métodos de detección de amenazas cambian con el tiempo. Por lo tanto, cualquier solución viable debe ser adaptable y actualizada.

Requisitos primarios

Un modelo integrado de un sistema de seguridad establece y asegura una interconexión confiable de los sistemas de automatización industrial. Este modelo tiene tres requisitos básicos:

Dispositivos seguros (con funciones de seguridad de la información incorporadas)
Comunicaciones seguras (protocolos de comunicación entre dispositivos)
Monitoreo y gestión de seguridad (respuesta a eventos e incidentes)

Dispositivos protegidos

La creación de una cadena de confianza comienza con la autenticación del dispositivo. Los enfoques anteriores para verificar la identidad del dispositivo, como el uso de direcciones IP y direcciones MAC, no son confiables: las direcciones IP cambian regularmente y los hackers pueden manipularlas fácilmente, mientras que las direcciones MAC se pueden restablecer fácilmente. Por lo tanto, la autenticación del dispositivo debe comenzar en el nivel físico del procesador dentro del hardware. Se pueden usar tecnologías confiables para aumentar la seguridad. Por ejemplo, el coprocesador de seguridad incorporado es un microprocesador especial diseñado para almacenar claves criptográficas en un contenedor de hardware protegido contra el acceso no autorizado.

Esto permite que el chip mismo realice operaciones criptográficas, como medir el nivel de confianza durante el proceso de arranque, el sistema operativo, la máquina virtual o la aplicación. La clave de este proceso es la medición precisa de código, estructura de datos, configuración, información o cualquier cosa que pueda cargarse en la memoria. Durante la medición, se calcula un hash criptográfico utilizando un algoritmo de hash seguro. Le permite verificar la integridad y detectar cambios (o daños) en el código, la configuración o los datos.

Se aplica un esquema similar al software ubicado en el disco para verificar si fue manipulado antes de cargarlo en la memoria y ejecutarlo. La cadena de confianza continúa alineándose y revisándose a través de toda la pila de software, incluso durante el proceso de descarga y en todo el sistema, incluso cuando los datos se cifran y transfieren a la nube. Obtener dispositivos, datos y programas confiables es importante en la automatización industrial, especialmente dado el predominio de las comunicaciones de máquina a máquina. Por ejemplo, los dispositivos confiables pueden firmar electrónicamente los datos recibidos por sensores confiables de monitoreo industrial. Si un pirata informático manipula datos, la firma de datos será inexacta y estará marcada por un sistema de monitoreo. En este caso, se instalará la parte no confiable de los datos y la máquina o el sensor donde ocurrieron los cambios.

Conexión segura

El espacio confiable para las transacciones son áreas que permiten comunicaciones comerciales autorizadas. Los dispositivos deben garantizar la confianza e integridad de los datos dentro de cada zona. Dos tecnologías de seguridad permiten la comunicación entre zonas de confianza: puertas de enlace de seguridad inteligentes que permiten a los usuarios agregar, filtrar e intercambiar datos de forma segura desde la oficina a la nube; y tiempos de ejecución confiables que le permiten ejecutar datos de aplicaciones de manera segura y confiable en cualquier lugar.

Pasarelas inteligentes: conectando el pasado y el futuro

Hay una razón por la cual los sistemas heredados son tan comunes en la automatización industrial: funcionan. Algunos de ellos han sido mejorados por décadas. Las nuevas clases de puertas de enlace inteligentes (algunas de solo dos pulgadas por dos pulgadas) se utilizan para expandir los sistemas heredados al conectarlos a la infraestructura inteligente de próxima generación. Estas puertas de enlace separan físicamente los sistemas heredados, las áreas de producción y el mundo exterior, limitando la superficie de ataque de un sistema de automatización industrial.

Dicha puerta de enlace puede proteger un dispositivo obsoleto sin modificaciones, lo que lo convierte en una solución de seguridad inicial atractiva para crear un nivel constante de seguridad en un entorno industrial. Al igual que con cualquier dispositivo seguro, las puertas de enlace de seguridad deben iniciarse de forma segura, autenticarse con la red y luego realizar cualquier cantidad de tareas de seguridad y comunicación en nombre de los dispositivos detrás de ellas. Pueden prepararse para vincular zonas de confianza comprobando cálculos de integridad, verificando certificados, aplicando criptografía y estableciendo canales de comunicación confiables. Las puertas de enlace también pueden incluir protocolos para administrar los sistemas de producción a los que están conectados, lo que puede extender la vida útil de estos sistemas,permitiendo realizar reparaciones y actualizaciones sin visitas físicas a áreas confiables de colocación de equipos.

:

Trusted Runtime mejora la seguridad al evitar que se ejecute código malicioso. Las tecnologías de virtualización y encriptación se utilizan para crear contenedores seguros para aplicaciones y datos. Solo los dispositivos aprobados funcionan con dichos contenedores. Estos entornos son áreas seguras y protegidas, protegen los datos del acceso no autorizado, hacen que los datos y las aplicaciones sean invisibles para terceros, evitando posibles fugas de información confidencial.

Incluso en una máquina virtual administrada por un proveedor desconocido, un tiempo de ejecución confiable puede autenticar y firmar datos digitalmente, y posteriormente verificar la integridad de esos datos. Por ejemplo, datos de producción de un sistema de automatización industrial que almacena y procesaEl proveedor de servicios en la nube estará protegido contra la falsificación y el cambio.

Monitoreo y gestión de seguridad

El viejo proverbio de TI dice: no puedes controlar lo que no puedes controlar. La supervisión efectiva de los sistemas de automatización industrial distribuidos requiere una administración centralizada de los dispositivos empresariales, así como la capacidad de monitorear, recopilar y analizar información de eventos en todos los dispositivos. Esto proporcionará una conciencia situacional transversal de todo el sistema.

Consolas de administración de seguridad empresarial

La consola de administración permite al personal de TI administrar y monitorear el entorno distribuido global altamente desarrollado. Desde la consola de administración, el software en los dispositivos se controla y actualiza de forma remota, y la política de seguridad en los dispositivos se define y refina. Por ejemplo, administrar políticas de listas blancas en dispositivos remotos que definen una lista de aplicaciones confiables, datos, comunicaciones y otras funciones que el dispositivo puede realizar.

La consola de gobierno corporativo de la empresa debe integrarse estrechamente con su solución para la protección de la información y el monitoreo de eventos (sistema SIEM) y otros módulos de seguridad. Un alto nivel de integración puede reducir significativamente la complejidad, mejorar la conciencia situacional y reducir el tiempo y los costos de gestión. Además, la escalabilidad de la consola de administración empresarial y el SIEM utilizado se está volviendo crítica.

Información de seguridad y monitoreo de eventos

Los sistemas SIEM recopilan, consolidan, comparan, evalúan y priorizan eventos de seguridad de todos los dispositivos administrados en un sistema de automatización industrial. SIEM le permite mantener una conciencia situacional y contextual de todos los eventos, así como identificar tendencias y anomalías básicas. Las características de comportamiento ayudan a distinguir entre patrones de trabajo normales y anormales y a mejorar las políticas, minimizando los falsos positivos. Los datos SIEM también son importantes para el análisis forense, ya que le permiten comprender mejor un incidente de seguridad o una falla del dispositivo.

Creación de ecosistemas

Dada la naturaleza distribuida e interconectada de los sistemas modernos de automatización industrial, para lograr una seguridad completa, debe trabajar en muchos vectores a la vez. Los fabricantes de equipos para la industria y la infraestructura crítica (OEM) están formando activamente consorcios con proveedores de seguridad corporativos para garantizar la interoperabilidad, establecer estándares abiertos y definir interfaces de programación de aplicaciones. Los nuevos sistemas y dispositivos de control industrial se construyen desde cero y se desarrollan utilizando tecnologías de seguridad que proporcionan compatibilidad con versiones anteriores y posteriores.

Consejos, trucos e ideas críticas

No hay dos compañías idénticas, cada una de ellas tiene una infraestructura de seguridad única, tecnologías y procesos utilizados. Algunos de ellos han logrado un progreso significativo en la creación de soluciones convergentes para la seguridad del sistema, mientras que otros están al comienzo del viaje. Independientemente de en qué etapa se encuentre la organización en este proceso, aquí hay algunas pautas generales a tener en cuenta.

Crear una fuerza de tarea de seguridad. Asegúrese de que el grupo incluya personal responsable de las tecnologías de información y operativas. Destaque a los empleados clave en sus equipos de producción y gestión industrial e invítelos a reuniones informativas y eventos. Haga un recorrido por la fábrica o las instalaciones y hable con los gerentes y el personal avanzado.
. , . , , .
, . , , « ». ? ?
. , - .

Considere cómo usar estos conceptos para crear niveles más altos de seguridad integrada, comunicaciones seguras y capacidad de administración en sistemas de automatización industrial. Después de todo, en estos días nadie puede protegerse demasiado bien.

Entonces, un ejemplo hipotético de un mundo real brutal es una adquisición hostil de una empresa a través de la manipulación de datos. Los jugadores inescrupulosos utilizarán cualquier medio para lograr sus objetivos mientras perjudican a los competidores, incluidos el pirateo, el espionaje industrial y el sabotaje. Considere este ejemplo: un gran conglomerado químico quiere capturar a un competidor que no desea volver a comprar.

Hackear el sistema de producción de un competidor manipulando pedidos de stock o un ligero cambio en las características técnicas de los materiales puede afectar negativamente la calidad del producto. Esto reduce la satisfacción del cliente, reduce las ventas y reduce la rentabilidad. Es muy probable que las causas de los problemas ni siquiera se detecten. El descontento resultante de los accionistas puede crear condiciones favorables para la adquisición y un precio favorable. Los sistemas de automatización industrial son particularmente vulnerables a tales ataques, ya que muchos de ellos están conectados a Internet sin la protección adecuada.

Además, muchas decisiones cotidianas se toman como resultado de la interacción entre máquinas, lo que dificulta su seguimiento sin un sistema de seguridad adecuado. Aunque un ciberataque ya es una idea comercial moralmente en quiebra, es difícil discutir sobre su valor económico.

¿Qué más es útil para leer en el blog de Cloud4Y?

→ Vida de un byte de datos
→ Marcas de computadoras de los 90, parte 1
→ Huevos de Pascua en mapas topográficos de Suiza
→ Cómo la madre de un pirata informático entró en prisión e infectó la computadora de su jefe
→ Cómo se "rompió" el banco

Suscríbase a nuestro Telegram-canal, para no perderse otro artículo. Escribimos no más de dos veces por semana y solo por negocios. También le recordamos que Cloud4Y el 13 de abril a las 15-00 (hora de Moscú) llevará a cabo un seminario web " Cómo cambiar a un sitio remoto: la organización rápida del trabajo remoto de los empleados ". ¡Regístrate para participar!

Cómo mejorar la seguridad de la automatización industrial.