¿Es el espacio de aire realmente una solución?
por Nigel Stanley, director de tecnología de TUV Rheinland
Las soluciones basadas en tecnología operativa (OT), donde los sistemas computarizados controlan una salida física o detectan un efecto físico, se han convertido en un área de mayor enfoque para los ataques cibernéticos. Esto se ha convertido ahora en una preocupación real para las empresas cuyos sistemas de producción, plantas de fabricación, sistemas de control industrial e infraestructura de procesamiento están bajo constante amenaza.
Los ciberataques son un riesgo muy real. Los delincuentes han identificado estos sistemas OT como objetivos principales, ya que a menudo están conectados a redes mal aseguradas, cuyo compromiso podría resultar en ganancias monetarias sustanciales para los delincuentes cibernéticos gracias a rescates, robo de propiedad intelectual y espionaje.
El enfoque ‘retro’ para abordar este riesgo consiste en desconectar completamente los sistemas críticos no solo de la red pública, sino también de las redes internas cerradas. Este enfoque ha ganado fuerza recientemente con algunos políticos que exigen que los sistemas críticos estén aislados o desconectados físicamente para defenderlos de posibles ataques.
Desafortunadamente, esta podría no ser la forma más efectiva de proteger la tecnología operativa de atacantes motivados. De hecho, podría tener el efecto contraproducente de crear una sensación de falsa seguridad en los equipos de ciberseguridad.
Los atacantes son ingeniosos
Un atacante motivado encontrará formas creativas de sortear la mayoría de los controles preventivos, incluidos los huecos de aire. Incluso sin estar conectado a una red más amplia, abundan las conexiones y los sistemas se iluminan con flujos de datos a menudo sin que la empresa lo sepa. Hay muchas formas en que los ciberdelincuentes pueden lograr esto, algunas más creativas que otras, otras no descabelladas en absoluto.
El USB humilde y subestimado es un ejemplo de cómo un atacante podría salvar las brechas de aire OT. Las memorias USB, que a menudo se ven de acceso abierto en estaciones de trabajo industriales o sistemas de ingeniería de procesos, pueden transportar malware o ser una ruta de salida para la propiedad intelectual corporativa (IP). Se cree que el ahora infame gusano Stuxnet que se reveló al público por primera vez en 2010 se abrió camino hacia una instalación segura mediante un USB. Todo lo que se necesita es un atacante para convencer a un empleado de que conecte una memoria USB a una computadora y lo etiquete con las palabras correctas, como «información del recibo de pago» o «recursos humanos». Los humanos somos, después de todo, criaturas curiosas.
Los teléfonos inteligentes son otro mecanismo conveniente para cruzar espacios de aire, ya que se han convertido en computadoras portátiles con la capacidad de transportar software malicioso. Si se cambia al modo de punto de acceso WiFi, pueden servir como vector de ataque. Sus cámaras, si se ven comprometidas, pueden explotarse para extraer datos visuales y capturas de pantalla que pueden ser útiles para un adversario. Ciertamente, ha habido casos en los que operadores aburridos activaron un punto de acceso y transmitieron películas dudosas durante la noche, comprometiendo efectivamente la seguridad de la instalación.
A través de puntos de acceso Wi-Fi inseguros, se pueden filtrar grandes cantidades de datos OT en breves períodos de tiempo de conexión. Esto a menudo se debe a una mala configuración, o tal vez al deseo del equipo de OT de aprovechar una conexión a Internet existente. Ciertamente, esto no siempre es malicioso, ya que cada vez más fabricantes de equipos OT necesitan acceso a su hardware para el mantenimiento predictivo y necesidades comerciales razonables similares. Pero, ¿se ha evaluado el riesgo de la conexión?
Más peligrosa que el Wi-Fi, pero cada vez más popular, es la práctica de agregar conexiones celulares al equipo para que pueda «llamar a casa». En muchos casos, estas conexiones nunca se detectan debido a su pequeño factor de forma y la dificultad para detectar sus transmisiones. En muchos casos, estos solo se han encontrado después de una evaluación de contramedidas de vigilancia técnica de un sitio no conectado o un barrido de errores.
Pruebas de conceptos más creativas han demostrado que un atacante motivado podría, en teoría, modular los LED o las fuentes de luz para transmitir datos, utilizar el análisis de la fuente de energía para detectar flujos de datos o incluso el ruido del sistema como medio de transmisión. Aunque ciertamente complicado de llevar a cabo, un ataque como este no es inverosímil.
Cómo abordar el problema
Aceptando que los sistemas críticos con espacios de aire rara vez son un control de seguridad eficiente, el primer paso para abordar un riesgo de ciberseguridad de OT es realizar alguna forma de evaluación proporcionada. Esto proporcionará una visión más amplia del riesgo comercial del sistema y permitirá que se establezcan los controles adecuados y, en muchos casos, es poco probable que la brecha de aire ocupe un lugar destacado en la lista de cosas por hacer.
Este artículo se publicó originalmente en Revista E&T: https://eandt.theiet.org/content/articles/2019/10/comment-busting-the-myth-of-the-operational-technology-air-gap/