Mens sana in frigidarium congelat. Els riscos de l’accés remot a equips industrials

Què ha passat?

El sector de la distribució d’aliments acaba de patir un incident rellevant.

L’11 d’octubre, atacants no identificats (presumiblement iranians) van atacar els sistemes de refrigeració de diversos supermercats francesos. Després, una segona onada d’atacs els dies 1 i 2 de novembre va afectar aquests sistemes en supermercats de set països més de la UE. També van ser atacats diversos bancs de sang francesos. Els atacants van fer servir els mecanismes d’accés remot d’aquests equips per modificar-ne la configuració i elevar la temperatura dels frigorífics a 50 ºC: Un volum d’aliments significatiu es va fer malbé i es va haver de rebutjar. Així, va quedar en dubte la solvència d’aquests operadors per assegurar la sobirania alimentària.

Per què ha pogut passar?

En realitat, aquest incident ha materialitzat un risc de sobres conegut per a la «ciberseguretat OT», per a la ciberseguretat en tecnologia operativa, per als sistemes que suporten les activitats industrials en nombrosos sectors.

Els sistemes OT tenen un cicle de vida diferent del dels serveis TI. Estan dissenyats per funcionar 24x7x365, per la qual cosa prioritzen la fiabilitat, la seguretat i la facilitat de les operatives i el manteniment davant la ciberseguretat. La seva posada en marxa pot durar mesos o anys; les actualitzacions poden requerir substituir o renovar parts del sistema OT amb peces de recanvi. Podrien haver-se dissenyat fa molts anys, afavoreixen l’ús de tecnologies llavors fiables i àmpliament testades i, per tant, ja veteranes i potser ja superades per tecnologies més modernes, però menys provades. Per això, alguns equipaments ja neixen amb certa obsolescència o l’assoleixen durant el període d’operació. Així doncs, pot ocórrer que el parc de sistemes OT en producció barregi equips recents amb altres d’instal·lats els anys setanta, cinquanta o abans.

L’habitual estratègia d’apedaçament i actualització, habitual en serveis TI, planteja diverses dificultats en sistemes OT. Es depèn del fabricant per generar diligentment els pedaços necessaris. De vegades, l’aplicació de pedaços requereix una parada del sistema OT, o hi poden aparèixer comportaments inesperats després de la instal·lació, tots dos aspectes que impacten en la imprescindible continuïtat d’operació. La gestió operativa d’aquests riscos necessita planificació i finestres a mitjà o llarg termini, la qual cosa converteix l’aplicació de pedaços en un procés lent subjecte a repetits retards o dilacions.

Però el risc més gran és la mera disponibilitat de connexions remotes. En general, els equips OT no es van dissenyar per permetre aquest accés remot des de xarxes externes. Però són evidents els beneficis d’aquesta capacitat. Les tasques de monitoratge i/o manteniment remot per proveïdors, fabricants i el personal tècnic propi escurcen dràsticament els temps de detecció, diagnòstic i resolució de problemes i el temps no operatiu. Es retalla el cost dels contractes de manteniment associats. Per això, moltes empreses han decidit oferir aquest accés remot. Prioritzen criteris operatius (ubiqüitat de l’accés, ampli nombre de tècnics amb accés i amplis permisos d’accés per si de cas) sobre altres principis clàssics de ciberseguretat. No es limita al màxim qui pot accedir a què. L’autenticació d’usuaris se simplifica per automatitzar i agilitzar el temps d’inici de sessió. Els accessos temporals no es revisen i acaben sent permanents. Algunes connexions no se xifren correctament. Es permet accés sense aplicar criteris de restricció geogràfica. 

El resultat d’aquestes decisions és una configuració que permet accedir a aquests equips des d’internet mitjançant connexions remotes no segures i faciliten que es puguin atacar amb èxit. Als atacants els encanta.

I… podria tornar a passar?

Doncs sí. Podem esperar que es produeixin més incidents com aquest. De fet, no es pot descartar una tercera onada d’atacs les pròximes setmanes. En realitat, aquest atac és un “avís a navegants” del repte comú que han d’afrontar altres sectors industrials com fabricació, gestió de l’aigua, energia, transport, espai… que utilitzen sistemes OT. Amb repercussió diferent en cada cas, però sempre rellevant. 

Això no significa que tots els sistemes connectats siguin vulnerables, però sí que l’aproximació més prudent és assumir aquesta possible vulnerabilitat per prendre mesures immediates, abans que un incident confirmi la vulnerabilitat i obligui a aplicar mesures d’urgència i mentre es treballa per restaurar les operacions afectades.

Què hi poden fer les empreses?

A curt termini, les empreses s’han de centrar a reduir el seu risc de ser atacades.

En primer lloc, cal eliminar els accessos innecessaris a equips OT. Tot i que la «desconnexió» d’aquests equips d’internet és temptadora com a mesura immediata, aquesta acció també podria tallar també altres connexions necessàries per a la supervisió o la gestió centralitzada des de sistemes corporatius globals. Cal analitzar totes les connexions existents abans de prendre aquesta decisió. I cal fer-ho al més aviat possible. Comptant, si escau, amb l’ajuda dels fabricants o de professionals especialitzats en OT.

D’altra banda, les empreses han de conèixer amb exactitud i íntegrament la seva superfície d'exposició, és a dir, identificar tots i cadascun dels equips i punts d’accés disponibles des de xarxes externes. No seria sorprenent detectar connexions de manteniment existents, però no aprovades ni inventariades. Cal inventariar i avaluar tant les connexions ja conegudes com les descobertes per assegurar-se que no hi hagi portes posteriors incontrolades en els sistemes OT, determinar qui necessita cada connexió, per a quina finalitat, i aixó determinar les mesures de seguretat adequades.

També s’ha de planificar l’aplicació dels pedaços disponibles per als sistemes OT seguint les instruccions del fabricant i assegurar que aquestes actualitzacions i mesures de protecció segueixen les limitacions operatives i els requisits de seguretat establerts. S’haurien d’aplicar primer les actualitzacions en els equips que no poden prescindir d’accés a internet i en serveis de passarel·la o de proxy utilitzats per a aquesta finalitat.

Les empreses també han d’estar preparades per fer front a incidents i interrupcions. Duent a terme proves de penetració per avaluar la seguretat dels accessos remots. Elaborant un pla de gestió d’incidents que guiï l’actuació durant la gestió dels incidents. Realitzant ciberexercicis per simular la gestió d’un incident, o la parada o aïllament de sistemes OT concrets. Si és possible, simulant el restabliment de serveis OT o la seva recuperació des de configuracions fiables que assegurin el manteniment d’un nivell d’operacions suficient. Formant els empleats en aquests procediments. Establint la revisió periòdica d’aquestes mesures. I, per descomptat, com més aviat es prenguin aquestes mesures, més eficients i eficaces seran.

A llarg termini, no s’ha de descartar una reavaluació o reenginyeria global de l’arquitectura OT actual que permeti securitzar i/o aïllar xarxes, equipaments i instal·lacions des del seu disseny i per defecte.

Els professionals de GMV estan abordant amb èxit aquests reptes en els sectors espacial, del transport i industrial, ajudant les organitzacions a comprendre la seva exposició als riscos i a protegir els seus equips i operacions. Aporten tant coneixements tècnics com experiència pràctica per afrontar aquest repte.

Autor: Mariano Benito