Stormshield - Ciberseguridad para sistemas industriales en la era de la Industria 4.0
Stormshield
La Industria 4.0 está floreciendo. Pero, ¿cómo garantizar la seguridad global en un ámbito que combina cada vez más sistemas industriales, Internet de las Cosas, la nube y Big Data? Spoiler: No todo son sensores.
Probablemente hayas oído la historia de la máquina de café conectada a Internet que provocó la introducción de un ransomware en una empresa industrial petroquímica. Esta historia pone de relieve el reto de proteger una Industria 4.0 cada vez más conectada, es decir, proteger una superficie de ataque en constante expansión. La introducción gradual de sensores inteligentes y/o conexiones a la nube crea nuevas conexiones con el mundo exterior. Estas, a su vez, son potenciales vulnerabilidades de seguridad en la industria, un sector que ya es objetivo de ciberataques en un grado significativo.
Tecnología operativa: un entorno multicapa
En la práctica, los sistemas industriales constan de máquinas físicas dentro de una fábrica (motores, bombas, válvulas y sensores) gestionadas por sistemas de control (PLC y aplicaciones SCADA) y sistemas informáticos (para el análisis de datos). "Lo que ahora llamamos [Industria] 4.0 es un concepto basado en la digitalización de la industria, con el objetivo de conseguir una mejora continua", subraya Thierry Hernández, Account Manager y Especialista en Seguridad OT de Stormshield. Este concepto se basa en varios factores, como los cambios en las herramientas y los recursos (robótica, AGV, software de realidad aumentada y muchos más) y las tecnologías (protocolos de telecomunicaciones, sensores y objetos conectados en red para suministrar datos). Todos ellos están interconectados en una fábrica hoy en día. El objetivo final es alimentar de datos un sistema informático en la nube o de borde que albergue soluciones con amplias capacidades computacionales basadas en algoritmos de última generación. El propósito principal es proporcionar excelencia operativa a través de la eficiencia energética, el ahorro de tiempo, la reducción del consumo de materiales o el mantenimiento predictivo.
"En pocas palabras, la producción se organiza en cuatro capas", explica Thierry Hernández. "La primera capa está formada por los PLC, que controlan todos los actuadores y válvulas. La segunda capa es el SCADA (el software de supervisión y adquisición basado en los datos suministrados para garantizar el buen funcionamiento). La tercera capa es la gestión con el MES, que se encarga de todos los procesos de seguimiento y planificación de la producción. Por último, la cuarta capa es el sistema ERP, que emite las órdenes de producción, entre otras cosas". Estos paquetes de software permiten controlar todos los procesos de la empresa y, por lo tanto, son un factor importante que no debe ignorarse como parte de la estrategia global de ciberprotección.
¿Cómo diseñar la ciberseguridad industrial?
La ciberseguridad de los sistemas industriales ya tiene que enfrentarse a un cierto "legado". Y ese puede ser precisamente el problema. "En Francia, un sistema industrial tiene una esperanza de vida media de unos 15 años. Es la edad media de la maquinaria de producción. En el caso de los trenes y el metro, esta esperanza de vida se eleva a 30 o 40 años. Y si nos fijamos en sistemas aún más críticos, como el sector nuclear, las centrales eléctricas tienen una esperanza de vida de 60 años. Por supuesto, estos sistemas, algunos de los cuales son muy antiguos, son vulnerables", añade Jean-Christophe Mathieu, Director de Ciberseguridad de Orange Cyberdefense.
"Históricamente, estas infraestructuras se han introducido a menudo de forma fortuita. En otras palabras, se ha diseñado y automatizado según las necesidades, y la gente cableaba las cosas como quería", explica Stéphane Prévost, Director de Marketing de Producto de Stormshield. "Como resultado, todos estos sistemas automatizados se instalaron en una red 'plana'. Para asegurarlos hoy, es necesario segmentarlos". La segmentación de los sistemas informáticos ha surgido, por tanto, como una forma de aislar y proteger los activos más sensibles de los demás. El resultado es la contención de las ciberamenazas y la optimización del rendimiento de los distintos dispositivos. En un momento en el que cada vez hay más sensores, máquinas y procesos de producción interconectados en las fábricas, la segmentación constituye un baluarte esencial para la Industria 4.0.
¿Por qué es importante un enfoque "OT-first"?
Estas cuestiones "4.0" ya no son gestionadas únicamente por el personal operativo de una fábrica. "Todavía encontramos que en demasiadas empresas los equipos de TI y OT no se comunican de manera efectiva. Sigue habiendo importantes diferencias culturales y pequeñas disputas. Sin embargo, es imposible lograr un enfoque global de la seguridad si las personas no hablan entre sí, y mucho menos si trabajan juntas", señala Jean-Christophe Mathieu.
Para las operaciones de TI, esto significa adaptar su enfoque cibernético para incluir los retos de OT. "La gente de OT tiene la obsesión principal de mantener todo en funcionamiento. Por lo tanto, es importante encontrar el equilibrio adecuado entre los sistemas de protección y la necesidad de garantizar la producción y la continuidad del negocio", explica Thierry Hernández. Esto significa que un cortafuegos sólo debe utilizarse si no interfiere con nada en la fábrica.
En otras palabras, la protección informática no debe ir en detrimento de la producción. "La seguridad debe proporcionarse de forma que se garantice la disponibilidad del sistema", subraya Stéphane Prevost. Este requisito clave ha dado lugar a un nuevo enfoque, incluida la aparición de la ciberseguridad industrial, que va camino de convertirse en una disciplina por derecho propio. Con proveedores de servicios cada vez más especializados, como Stormshield, capaces de proponer soluciones transparentes para los sistemas existentes. "Esta transparencia debe estar presente durante la fase de integración, pero también más adelante, cuando se produzca cualquier fallo de hardware, para no afectar a la producción", añade Stéphane Prevost. "Todas las soluciones de cortafuegos industriales de Stormshield incluyen varias garantías para apuntalar la seguridad operativa, como funciones de bypass y modo seguro o fuentes de alimentación redundantes."
¿Cómo abordan la computación en la nube y en los bordes?
La retroalimentación de datos es un componente clave de Industrie 4.0. "Es importante garantizar la perfecta integridad de la información procedente de los sensores y reenviar rápidamente estos datos al sistema ERP y a la nube", explica Thierry Hernández. "Proteger la capa inferior de la red operativa es un objetivo importante, que permite asegurar esta información en origen antes de utilizarla más arriba."
"La computación de borde, incluido todo lo relacionado con el consumo de energía informática, se devuelve a un punto lo más cercano posible a la red de operaciones, que está directamente conectada a la infraestructura de la nube", añade Stéphane Prevost. "Esto conduce a una mayor interconexión y hace que el sistema operativo sea más vulnerable a las amenazas cibernéticas".
Por lo tanto, la Industria 4.0 debe tener una visión global de su seguridad. Con la identificación y el mapeo de los activos sensibles, la segmentación (o incluso la microsegmentación para la IIoT) para aislar cada parte de las demás y evitar la propagación de un ataque. Pero según Jean-Christophe Mathieu, esto requiere que todo funcione de forma muy organizada. "Necesitamos saber quién hace qué, cuándo y cómo, acompañado de una trazabilidad completa para impedir que alguien acceda al sistema. O, si alguien accede, saber exactamente quién es y qué hace allí".
Las soluciones de seguridad utilizadas en las fábricas deben ser capaces de rastrearlo. "En Stormshield, llegamos incluso a comprobar los mensajes que el sistema de mando y control envía a las máquinas", explica Stéphane Prévost. "Cuando una estación de trabajo de ingeniería transmite un cambio de ajuste a un PLC, es necesario comprobar que se trata de la estación de trabajo correcta con la persona correcta y que el comando enviado está autorizado". Esta función de control de mensajes también puede verificar que los valores enviados a los PLC se ajustan plenamente al proceso operativo. "Podemos determinar si un valor supera un determinado nivel, de forma que pueda comprometer o destruir un equipo, o incluso suponer una amenaza para todo el sistema de producción".
La industria, objetivo prioritario de los piratas informáticos
Como ocurre a menudo en materia de ciberseguridad, las normas proporcionan orientaciones importantes sobre el uso de "redes de seguridad". En el caso de los sistemas industriales, la norma IEC 62443 es la referencia en este ámbito. Cada sector procede según sus especificidades, especialmente en las industrias clasificadas como CRITIS (Critical Infrastructures), que exigen niveles de seguridad muy elevados.
A pesar de estas normas, los sistemas industriales siguen siendo vulnerables. Principalmente porque los dispositivos físicos (PLC, controladores, reguladores, etc.) se utilizan para fines muy diversos y desempeñan un papel central en muchos sistemas. Por ejemplo, encontramos los mismos tipos de PLC para gestionar un edificio (calefacción, ventilación, aire acondicionado) y en una cadena de producción para fabricar coches. En cuanto se descubre una vulnerabilidad en uno de estos dispositivos de uso generalizado, todos estos sistemas deben considerarse en peligro. "Encontramos muchas analogías entre las distintas industrias", señala Thierry Hernández. "Una empresa de cosméticos puede compararse con una farmacéutica porque la infraestructura informática utilizada puede ser similar. Pero el nivel de seguridad depende de la gobernanza".
Y estas amenazas son muy reales. Además del robo de datos y el espionaje industrial, los PLC se encuentran ahora entre los objetivos de los piratas informáticos, amenazando el sistema de producción con un gran evento de ransomware. Esto también plantea el riesgo de interrupciones operativas o paradas de producción. "Independientemente de las consecuencias de un acto malintencionado o de un error interno, el mayor peligro proviene de una paralización de la producción. Los costes económicos son enormes", añade Thierry Hernandez. Por ejemplo, la naviera AP Moller-Maersk cifra en 300 millones de dólares los ciberataques que sufrió en 2017.
Los ataques pueden tener como objetivo cadenas de suministro cada vez más complejas, extensas e interconectadas. Por ejemplo, un sensor "reconfigurado" por un ciberdelincuente puede hacer que una válvula se abra más de lo debido. En el caso de una torre de agua, esto podría provocar la inundación de toda la zona.
Como hemos visto, las soluciones IIoT y los sistemas industriales están mal preparados para operar en un entorno interconectado, lo que los hace más vulnerables a los ciberataques. La información que recogen y comparten estos elementos conectados no debe interactuar directamente con el sistema central. "Si lo hace, debe estar suficientemente filtrada para garantizar que sólo sale y no entra en el corazón del sistema", advierte Jean-Christophe Mathieu. "Es importante asegurarse de que el núcleo del sistema está aislado del resto".
Artículo original del blog de Khobeib Ben Boubaker, Jefe de la Línea de Negocio de Seguridad Industrial, Stormshield
Correcciones y otros. Correcciones: Simon Schmischke