El ataque contra Irán por el virus Stuxnet en 2010 aumentó la conciencia sobre la vulnerabilidad de los sistemas industriales conocidos como SCADA (Control de Supervisión y Adquisición de Datos), los cuales han sido implementados con amplitud a través de una variedad de industrias a lo largo de muchos años. El virus Stuxnet ilustró la urgente necesidad de aplicar a los ambientes SCADA técnicas modernas de seguridad como las desplegadas en una red empresarial.
Los ambientes SCADA consisten en sistemas de control industrial y administración – usualmente desplegados a gran escala – que monitorean, gestionan y administran infraestructuras críticas en varios campos como el del transporte, el nuclear, el eléctrico, el gasífero y el acuático, entre otros. A diferencia de las redes convencionales de IT de las empresas, un ambiente SCADA permite la interconexión entre sistemas industriales de propiedad; como robots, válvulas, sensores térmicos o químicos, comandos y sistemas de control; y sistemas HMI (Human Machine Interface, en inglés) en lugar de computadoras de escritorio. Aunque SCADA se implementa principalmente en empresas, cada vez más también se encuentra en hogares particulares.
Los sistemas de control SCADA usan un conjunto dedicado de protocolos de comunicación, tales como MODBUS, DNP3 y IEC 60870-5-101 para la comunicación entre los elementos del sistema. Estos protocolos permiten el control sobre los controladores físicos PLC, por ejemplo, resultando en acciones físicas como el incremento en la velocidad de un motor o la reducción de temperatura. Por esta razón la integridad de estos mensajes de control SCADA es de suma importancia y los protocolos de comunicación deben ser validados por completo.
En general, a los sistemas SCADA no se les ha brindado la prioridad necesaria en los esquemas de seguridad de redes ya que fueron diseñados en momentos en que el sector industrial no era objeto de ataques cibernéticos y era un producto elaborado para perdurar en el tiempo. Debido a la naturaleza aislada de los sistemas industriales y a la no existencia de interconexión con una red IP, inicialmente la seguridad no se consideró como necesaria.
Sin embargo, las arquitecturas SCADA han evolucionado y ahora robots, sistemas de medición, comandos y sistemas de control y de mantenimiento remoto están todos interconectados vía redes IP convencionales. El problema no es el uso de la IP en sí, sino que son administrados por entornos potencialmente vulnerables, como la plataforma de interface HMI, la cual normalmente está equipada con un sistema operativo Windows sin parches. Considerados altamente sensitivos, estos ambientes generalmente no tienen parches en el sistema operativo ni actualizaciones aplicadas por temor a alterar el sistema industrial. A menudo, este temor prevalece sobre el miedo a potenciales ataques de IT. Identificados como críticos, los ambientes SCADA son paradójicamente menos seguros y se convierten en blancos potenciales para los cibercriminales. Una vez comprometido, un hacker tendrá el control completo sobre el sistema, como hemos visto con Stuxnet, el primer gusano descubierto que espía y reprograma sistemas industriales. Este gusano explotó las vulnerabilidades de día Cero de Windows – vulnerabilidades para las que un parche no había sido desarrollado – y afectó decenas de miles de sistemas IT y una planta de enriquecimiento de uranio.
Desafortunadamente, fue necesario que ocurriera un ataque de la escala de Stuxnet para crear conciencia sobre el daño potencial de las amenazas informáticas en el sector industrial. Mientras que los ataques a computadoras tradicionales usualmente causan daños no materiales, Stuxnet trajo a casa la capacidad destructiva y real de gusanos y virus avanzados que afectan no solo la información corporativa, sino también a sistemas de manejo de agua, elaboración de productos químicos e infraestructuras de energía.
Como resultado, las compañías con sistemas industriales están empezando a integrar medidas de seguridad en sus redes. Si embargo, queda mucho por hacer antes de que los sistemas SCADA se puedan considerar seguros. Como primer paso, las compañías que implementan SCADA deben considerarlos como parte de su completa infraestructura de IT, aplicar las mismas medidas de seguridad y técnicas que usan para su infraestructura interna de IT y tener el apoyo de sus altos ejecutivos para obtener los presupuestos y recursos asociados.
1.- Donde no existen estándares, las compañías industriales deben seguir las buenas prácticas tales como las definidas por la North American Electric Reliability (NERC) u organizaciones como la Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) en Francia. Aparte de estos, hay otros puntos importantes que deben tenerse en cuenta para garantizar la seguridad de su ambiente SCADA, considerando como sensibles:
– Actualizaciones regulares
Aplicar parches de software de forma regular a los sistemas operativos SCADA, aplicaciones y componentes, es un paso esencial para evitar violaciones de seguridad causadas por vulnerabilidades ya conocidas por los proveedores de seguridad.
Además, la implementación de una herramienta para la detección y análisis de vulnerabilidades que permita interceptar amenazas maliciosas de Internet antes de que impacten a la red o al servidor principal, permitirá tomar medidas para la prevención de ataques, evitará la interrupción de los servicios y responderá rápidamente y en tiempo real contra amenazas emergentes.
– Partición y aislamiento de la red SCADA
Es esencial aislar la red SCADA de cualquier otra red corporativa. Para ese fin, el uso de DMZ o bastiones permitirá segmentar la arquitectura SCADA. De esta forma, la red HMI será separada de robots y dispositivos de medición, sistemas de supervisión, unidades de control remoto e infraestructuras de comunicación permitiendo a cada ambiente ser confinado y protegido de ataques de rebote.
En resumen, las redes SCADA necesitan ser aseguradas de la misma manera que las redes empresariales contra malware e intrusión, usando sistemas de Prevención de Intrusión (IPS) y soluciones anti-malware, las cuales no son específicas a SCADA.
– Validación de Protocolos
Luego de haber particionado y segregado los diferentes elementos de una arquitectura SCADA, el siguiente paso lógico es aplicar la validación de protocolos y el control relacionado a la variedad de sus componentes. En otras palabras, es necesario inspeccionar el protocolo MODBUS para asegurar que no sea mal utilizado ni un vector de ataque. También es importante asegurarse de que la aplicación que genera solicitudes MODBUS es una aplicación legítima, la cual se genera a partir de la estación de trabajo correcta. Así, el reconocimiento de la aplicación tiene sentido.
– Separar los administradores de los usuarios
Adicional a la segmentación de la red, es crucial segregar a los usuarios de los administradores y proporcionar diferentes niveles de acceso entre ambos grupos. Por ejemplo, un administrador podría tener acceso completo, incluyendo cambios de configuración vía HMI, mientras que el usuario puede tener solo acceso de lectura.
– Obtener una vista general de la red
La necesidad de una herramienta para la correlación y administración de eventos es esencial. Es crítico que el administrador de la red tenga la capacidad de entender por completo el estado de seguridad de la red completa y conocer a la vez el estado del robot, el nivel de parche del HMI y su relación con un usuario específico o componente de la arquitectura.
La generación de alertas de seguridad es de igual importancia. Mediante la comprensión de lo que sucede en la red, el administrador tiene la capacidad de reaccionar correctamente ante los eventos de red y tomar acciones apropiadas.
La implementación de estas medidas, aunque algunas veces incómodas, asegurará que existe una estrategia de seguridad integral a través de la red y proveerá una defensa global con una capa de seguridad en todos los niveles, aun en unidades PLC, para un preciso control de intercambios y las comunicaciones entre el ambiente SCADA y la infraestructura de red.
Con ataques cada vez más sofisticados, como las Amenazas de Ataques Persistentes (APT), es fundamental que las organizaciones industriales entiendan que la seguridad integrada en sus ambientes SCADA es esencial si estas redes van a continuar funcionando para lo que fueron diseñadas. Al hacerlo, deben tener la capacidad de controlar proactivamente las redes, los usuarios y las aplicaciones evitando riesgos. Deben también equiparse con herramientas diseñadas por equipos especializados para identificar problemas potenciales en tiempo real y ser capaces de responder rápidamente cuando una amenaza es confirmada.
