Recomendaciones de seguridad para entornos SCADA

seguridad SCADA

A medida que la tecnología avanza, son necesarios nuevos enfoques en la forma que se entrega la información y se estructura el stack tecnológico. Paralelamente, es inevitable encontrarnos con una complejidad creciente en la seguridad de toda la infraestructura. En sistemas SCADA, los cuales gestionan y monitorizan otras infraestructuras críticas,  la seguridad es un factor muy importante. Un fallo o una interrupción en uno de los componentes puede suponer un impacto negativo sobre la funcionalidad de otras infraestructuras.

Por esta misma razón, es esencial establecer un proceso de auditoría de seguridad para garantizar una red e infraestructura fiable y disponible.

Evolución de los sistemas SCADA

La evolución de los sistemas SCADA a un sistema mucho más distribuido presenta nuevos retos en seguridad, por ejemplo:

  • Actualmente, estos sistemas usan componentes COTS que, en favor de recudir costes y tiempos de implementación, ahora juegan en contra de la seguridad. Se incrementa la inseguridad en la red al existir bases de datos públicas con listados de vulnerabilidades de componentes COTS.
  • La apertura de la red corporativa y de control ponen al descubierto protocolos de automatización industrial sobre TCP/IP que, la mayoría de ellos, presentan vulnerabilidades al no disponer de mecanismos específicos de seguridad.
  • A los ataques conocidos cuando el sistema era cerrado, se suman ahora todos los relacionados con la naturaleza del protocolo TCP/IP.
  • La aparición de servicios web para la monitorización y gestión del panel SCADA conlleva un punto adicional de seguridad, donde se podría ver comprometida la base de datos relacional.
  • El sistema ahora podría verse comprometido con ataques de ingeniería social o fuerza bruta.
  • La validación de usuarios tradicional de usuario-contraseña puede ser insuficiente ahora que el sistema no se encuentra cerrado.
  • La nueva arquitectura de los entornos SCADA, donde interviene Internet, obliga a revisar todos los mecanismos de seguridad como Firewalls (NGFW), Detección de intrusiones (IDS), Prevención de intrusiones (IPS), antivirus, antimalware, Conexiones seguras mediante túneles VPN, servidores RADIUS, etc.

Para hacer frente a este nuevo modelo, tenemos algunas recomendaciones que deberían ser puestas en práctica lo antes posible (¡si no lo están ya!):

Una política de seguridad de usuarios fuerte

Es recomendable utilizar métodos de autenticación biométricos o que incluyan elementos electrónicos para la validación (RFID, vídeo, etc). En el marco de un web service, es recomendable definir y establecer un conjunto sólido de roles y limitar al máximo los permisos de cada usuario.

Auditar el código de nuestra plataforma

Muy a menudo, las interfaces web contienen errores de programación que pueden ser explotados mediante ataques de XSS, SQL Inject o fuerza bruta. Mediante herramientas de auditoría de código, podemos detectar posibles vulnerabilidades y realizar un informe con propuestas de mejora para optimizar la calidad de nuestro software.

Adicionalmente, para mantener unas mejores prácticas, debemos revisar periódicamente la existencia de nuevas versiones de software o firmwares que pudieran parchear cualquier vulnerabilidad detectada.

Implementar una política de recuperación

Es muy recomendable establecer un plan de recuperación ante desastres donde los usuarios asignados conozcan la existencia de dicho protocolo e infraestructura. Adicionalmente, como cualquier plan de contingencia, deben disponer de los datos de contacto y pautas para poder responder con agilidad frente cualquier incidente.

Actualizar las políticas de seguridad

Aunque suene obvio, la nueva perspectiva que se presenta obliga a revisar las configuraciones de hardware y software, auditorías, seguridad física y seguridad en las comunicaciones. Es esencial mantener este aspecto en un punto de continua mejora al ser uno de los más importantes dentro de la protección de un entorno SCADA.

  • En el caso de comunicaciones inalámbricas recomendamos un plan de mejores prácticas como desactivar los puertos inactivos y el broadcast del SSID, emplear TLS y WPA con un servidor RADIUS y revisar los sensores inalámbricos de los procesos de control.
  • El firewall debe considerarse la primera línea defensiva. Cisco tiene un porfolio extenso en seguridad perimetral con protección específica para entornos industriales con Cisco ISA. Es importante ampliar este nivel de protección mediante soluciones de nueva generación que no solo llegan a la capa de red, sino que son capaces de inspeccionar el tráfico y operar en la capa de aplicación directamente. Recomendamos adicionalmente revisar las políticas del IDS e IPS y emplear DMZ.
  • Al deslocalizar las operaciones de control de un sistema SCADA, los procesos de encriptación deben ser revisados al alza, del mismo modo que los métodos de autentificación. En el caso de que la red de control tenga una conexión directa a Internet, es obligado implementar una VPN en SSL dentro de un túnel IPSec o similar.
  • Cuando la comunicación se realiza a un dispositivo de campo, se hace uso de protocolos como Modbus o DNP3 que por defecto carecen de medidas de seguridad. El sistema debe ser capaz de gestionar la encriptación de forma transparente a través de un dispositivo mediador (bump-in-the-wire). En el caso de hacer uso del protocolo TCP/IP será necesario establecer procedimientos de seguridad estándar que cifren la comunicación de extremo a extremo.
  • El almacenamiento debe tenerse en cuenta al ser un factor de riesgo para una posible elevación de privilegios. Es recomendable establecer un sistema de cifrado de datos para la información crítica que pudiera aumentar la gravedad de un posible ataque. En este punto, incluimos también las bases de datos, aunque su trato debería ser algo diferente al tener que auditar su rendimiento.
  • La monitorización puede ser una herramienta de protección. Un consumo excesivo de CPU, un proceso activo que escritura masiva de ficheros o un acceso descontrolado a muchas direcciones simultáneas, pueden ser síntoma de una intrusión o compromiso y dar margen suficiente a un operador para tomar las medidas necesarias para evitar una propagación mayor o daños.

Estas son algunas de las recomendaciones que te proponemos, aunque no son todas ni mucho menos para establecer una seguridad óptima en un entorno industrial.

¿Y tú, qué medidas has tomado para proteger tu entorno industrial? ¿Quieres saber más con nuestro eBook exclusivo “La Guía esencial de seguridad industrial con Cisco”?

Share

Leave a Comment

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

Captcha *