Ciberseguridad en redes industriales

La seguridad de las redes industriales se trata de crear un equilibrio entre la seguridad y la facilidad de mantenimiento. Hacer que una red sea perfectamente segura, la volvería imposible de modificar, lo cual no es una solución realista, ya que el acceso del equipo de mantenimiento es fundamental para garantizar un funcionamiento ininterrumpido. Un ingeniero con experiencia sabe que siempre surgirá algún imprevisto o que será necesario aplicar alguna solución alternativa que, al menos a corto plazo, no se ajuste a las especificaciones. De ahí es de donde proviene el término “inseguro por diseño”. Los sistemas de control industrial están configurados de manera que permiten modificaciones.

Tipos de seguridad

Seguridad por obscuridad
La técnica más utilizada en la seguridad de la producción es la seguridad por obscuridad. Esto significa que, si una arquitectura es lo suficientemente oscura, es poco probable que un malhechor la descifre. El principal problema de esto es que, si alguien descubre cómo funciona el diseño del dispositivo, otra persona también puede descubrir cómo funciona. En el pasado, esto era eficaz, ya que se necesitaban años de experiencia y formación para comprender cómo funciona un dispositivo o incluso cómo funciona una red. En la actualidad, la mayoría de las redes industriales se gestionan a través de Ethernet porque tiene un gran ancho de banda, es fiable, está fácilmente accesible y los equipos de IT se sienten cómodos con ella, y todos los controladores industriales tienen tutoriales de programación en línea.

El último ataque importante que causó un gran revuelo fue el ataque Stuxnet. Este ataque modificó directamente los parámetros de los PLC (controladores industriales) de tal manera que las centrifugadoras utilizadas en el proceso de enriquecimiento nuclear iraní giraban a velocidades lo suficientemente altas como para causar daños, pero no tan altas como para que fuera obvio. Esto fue posible debido a la naturaleza interconectada de los sistemas industriales modernos y demostró que los propios controladores podían verse comprometidos.

Separación física
Se dice que la única red segura es aquella que no está conectada a Internet. Se recomienda reducir al máximo posible la superficie de ataque. Por lo tanto, es fundamental separar la red de usuarios de la red de producción para que trabajen de manera independiente. No hay ninguna razón válida para que un operador pueda consultar su correo electrónico en un cliente DCS.

Por lo tanto, el diseño ideal es aquel en el que se utilizan conmutadores separados para cada red. Una solución sencilla es utilizar una VLAN para separar los dispositivos. Yo recomiendo ir un paso más allá cuando sea posible, ya que la versión más segura sería separar físicamente los conmutadores de red. Añada nuevos conmutadores a los armarios de red existentes, conecte solo los dispositivos de la red de producción a ellos e instale nueva fibra.

Siempre hay razones para exponer la red de producción a Internet, como poder supervisar las condiciones de la fábrica mientras se está fuera de la oficina. Una solución sería conectar las redes con un cortafuegos. Un equipo de TI utilizaría técnicas conocidas para limitar el acceso a ese dispositivo solo a las personas que lo necesitan y mantenerlo actualizado con las últimas correcciones de seguridad. Aunque no es perfecto, es muy eficaz, ya que reduce en gran medida la superficie de ataque.

Diseño basado en celdas
Los problemas ocurren todo el tiempo, en instalaciones que funcionan las 24 horas del día, los 7 días de la semana, donde el mantenimiento pasa a un segundo plano para poder cumplir con los plazos, tienden a surgir problemas interesantes. El diseño de la instalación siempre debe tratar de evitar puntos únicos de falla. Si uno es inevitable, debe haber un plan de contingencia que se pueda implementar rápidamente.

Cada dispositivo final debe ser parte de una celda que pueda autogestionarse y completar su tarea sin necesidad de un sistema de control general. Si el sistema de control principal falla, debería ser posible hacer funcionar los dispositivos en modo manual o semiautomático, y debería ser fácil acceder a ese modo. Esto significa asegurarse de que los dispositivos de diferentes fabricantes se comuniquen con el dispositivo que tienen delante y detrás en la línea de producción, idealmente sin necesidad de pasar por un punto central de fallo, como una configuración de PC del fabricante del dispositivo para conectar su grupo de dispositivos a la red interna, que, según mi experiencia, suele ser el eslabón más débil. Lo mejor es que los dispositivos en tiempo real se conecten con dispositivos en tiempo real; como mínimo, la red de producción debería ser autosuficiente. Para ello es necesario diseñar correctamente la arquitectura inicial del sistema, ya que es mucho más difícil adaptar estas características a posteriori.

No siempre se trata de una amenaza externa para la producción. Quizás el conductor de una carretilla elevadora giró bruscamente para esquivar a alguien y chocó contra una cabina de control. Quizás un dispositivo se cargó accidentalmente un código incorrecto y este lo desconectó de la red. Estas cosas suceden, y es fundamental ganar tiempo para que el equipo de mantenimiento pueda resolver el problema. Cada máquina debe disponer de un modo manual y el operador debe poder intervenir para mantener parte de la producción en funcionamiento independientemente de las circunstancias externas. En el caso del ciberataque al oleoducto, debería ser posible mantener el flujo de petróleo crudo utilizando una anulación, incluso si se reduce la eficiencia.

Supervisión continua
Siempre que sea posible, es conveniente supervisar los dispositivos para garantizar que funcionan correctamente. Debemos partir de la base de que se producirán situaciones comprometedoras y así tomar medidas para garantizar que, si algo falla, se detecte y se corrija rápidamente.

Recomiendo encarecidamente los sistemas de registro que almacenan datos clave y son capaces de mostrar esos datos como tendencias históricas. Me viene a la mente la plataforma del sistema Wonderware, pero hay muchos otros en la esfera de la información sobre el Big Data del IoT, lo cual resulta útil cuando se trata del mantenimiento preventivo. Un paso más allá es supervisar los controladores industriales para garantizar que ejecutan el código correcto utilizando una herramienta como FactoryTalk AssetCentre. Esto es necesario porque es posible que un técnico cargue un código incorrecto en un controlador y es mejor detectarlo lo antes posible. Sin embargo, no es necesario utilizar un software tan caro, ya que es posible utilizar Python para interactuar con los controladores a través de bibliotecas existentes y disponer de un script sencillo que supervise las variables críticas.

También tiene sentido supervisar las intrusiones en la red. Un ejemplo de ello sería si alguien intentara conectarse a un PLC y utilizara una contraseña predeterminada, lo que debería ser señalado y activar una alarma. Esto permite alertar a las personas adecuadas antes de que se produzca un problema.

DevSecOps
DevSecOps significa pensar en la seguridad desde el principio. Solo exponga los puntos necesarios para leer y escribir, y no utilice contraseñas predeterminadas. Limite el sistema a lo que necesita para funcionar, ya que todo lo demás es un riesgo potencial. En las fases de diseño de un proyecto, el arquitecto de sistemas puede lograr esto con unos pocos clics del ratón. Cuando se trata de instalaciones ya existentes en las que es habitual que el hardware siga funcionando mucho después de su fecha de obsolescencia, esto dificulta la seguridad.

Esto también significa garantizar que los ingenieros y técnicos tengan la capacidad de hacer su trabajo. Se necesita un arquitecto con experiencia en todo el ciclo de vida de un producto para comprender las necesidades de los equipos de ingeniería y mantenimiento.

Tener una red muy segura no significa que sea impenetrable. Es como tener un sistema de alarma en tu casa: con suficiente tiempo y esfuerzo, cualquier cerradura o alarma puede ser burlada. La clave está en ser un objetivo tan difícil que el atacante decida que no vale la pena y busque objetivos menos seguros.