Mens sana in frigidarium congelado. Los riesgos del acceso remoto a equipos industriales

¿Qué ha ocurrido?

El sector de la distribución de alimentos acaba de sufrir un incidente relevante.

El 11 de octubre, atacantes no identificados (presumiblemente iraníes) atacaron los sistemas de refrigeración de varios supermercados franceses. Después una segunda oleada de ataques los días 1 y 2 de noviembre afectó a esos sistemas en supermercados de otros siete países de la UE. También fueron atacados varios bancos de sangre franceses. Los atacantes usaron los mecanismos de acceso remoto de estos equipos para modificar su configuración y elevar la temperatura de los frigoríficos a 50 º C: Un volumen de alimentos significativo se echó a perder y tuvo que desecharse. Quedó así en entredicho la solvencia de estos operadores para asegurar la soberanía alimentaria

¿Por qué ha podido pasar?

En realidad, este incidente ha materializado un riesgo de sobra conocido para la «ciberseguridad OT», para la ciberseguridad en tecnología operativa, para los sistemas que soportan a las actividades industriales en numerosos sectores.

Los sistemas OT tienen un ciclo de vida diferente al de los servicios TI. Están diseñados para funcionar 24x7x365, por lo que priorizan fiabilidad, seguridad y facilidad de la operativas y mantenimiento frente a ciberseguridad. Su puesta en marcha puede llevar meses o años; las actualizaciones pueden requerir sustituir o renovación partes del Sistema OT con piezas de recambio. Pudieron diseñarse hace muchos años, favorecen usar tecnologías entonces fiables y ampliamente testadas y, por tanto, ya veteranas y quizás ya superadas por tecnologías más modernas, pero menos testadas. Por ello, algunos equipamientos ya nacen con cierta obsolescencia o la alcanzan durante su periodo de operación. Así puede ocurrir que el parque de sistemas OT en producción mezcle equipos recientes con otros instalados en los años setenta, cincuenta o antes.

La habitual estrategia de parcheo y actualización, habitual en servicios TI, plantea varias dificultades en Sistemas OT. Se depende del fabricante para generar diligentemente los parches necesarios. En ocasiones, la aplicación de parches requiere parada del sistema OT, o pueden aparecer comportamientos inesperados tras su instalación, aspectos ambos que impactan en la imprescindible continuidad de operación. La gestión operativa de estos riesgos necesita planificación y ventanas a medio o largo plazo, lo que convierte la aplicación de parches en un proceso lento sujeto a repetidos retrasos o dilaciones.

Pero el riesgo mayor es la mera disponibilidad de conexiones remotas. Por lo general, los equipos OT no se diseñaron para permitir este acceso remoto desde redes externas. Pero son evidentes los beneficios de esta capacidad. Las tareas de monitorización y/o mantenimiento remoto por proveedores, fabricantes y el personal técnico propio acortan drásticamente los tiempos de detección, diagnóstico y resolución de problemas y el tiempo no operativo. Se recorta el coste de los contratos de mantenimiento asociados. Por ello, muchas empresas han decidido ofrecer este acceso remoto. Primando criterios operativos (ubicuidad del acceso, amplio número de técnicos con acceso y amplios permisos de acceso por si acaso) sobre otros principios clásicos de ciberseguridad. No se limita al máximo quién puede acceder a qué. La autenticación de usuarios se simplifica para automatizar y agilizar el tiempo de inicio de sesión. Los accesos temporales no se revisan y terminan siendo permanentes. Algunas conexiones no se cifran correctamente. Se permite acceso sin aplicar criterios de restricción geográfica. 

El resultado de estas decisiones es una configuración que permite acceder a estos equipos desde internet mediante conexiones remotas no seguras y facilitan que se puedan ser atacados con éxito. A los atacantes les encanta.

Y … ¿podría volver a ocurrir?

Pues sí. Podemos esperar que se produzcan más incidentes como este. De hecho, no puede descartarse una tercera oleada de ataques en las próximas semanas. En realidad, este ataque es un “aviso a navegantes” del reto común que deben afrontar otros sectores industriales como fabricación, gestión del agua, energía, transporte, espacio, … que utilizan sistemas OT. Con repercusión diferente en cada caso, pero siempre relevante. 

Esto no significa que todos los sistemas conectados sean vulnerables, pero sí que la aproximación más prudente sea asumir esta posible vulnerabilidad para tomar medidas inmediatas, antes de que un incidente confirme la vulnerabilidad y obligue a aplicar medidas de urgencia y mientras se trabaja para restaurar las operaciones afectadas.

¿Qué pueden hacer las empresas?

A corto plazo, las empresas deben centrarse en reducir su riesgo de ser atacadas. 

En primer lugar, es preciso eliminar los accesos innecesarios a equipos OT. Aunque la «desconexión» de estos equipos de internet es tentadora como medida inmediata, esta acción también podría cortar también otras conexiones necesarias para la supervisión o la gestión centralizada desde sistemas corporativos globales. Hay que analizar todas las conexiones existentes antes de tomar esta decisión. Y hay que hacerlo lo antes posible. Contando en su caso con la ayuda de los fabricantes o de profesionales especializados en OT.

Por otra parte, las empresas deben conocer con exactitud y en su totalidad su superficie de exposición, es decir, identificar todos y cada uno de los equipos y puntos de acceso disponibles desde redes externas. No sería sorprendente detectar conexiones de mantenimiento existentes, pero no aprobadas ni inventariadas. Deben inventariarse y evaluarse tanto las conexiones ya conocidas como las descubiertas, para asegurarse de que no haya puertas traseras incontroladas en los sistemas OT, determinando quién necesita cada conexión, para qué finalidad, y determinar así las medidas de seguridad adecuadas.

También debe planificarse la aplicación de los parches disponibles para los Sistemas OT siguiendo las instrucciones del fabricante, y asegurar que dichas actualizaciones y medidas de protección siguen las limitaciones operativas y los requisitos de seguridad establecidos. Deberían aplicarse primero las actualizaciones en los equipos que no pueden prescindir de acceso a internet y en servicios de pasarela o de proxy utilizados para este fin.

Las empresas también deben estar preparadas para hacer frente a incidentes e interrupciones realizando pruebas de penetración para evaluar la seguridad de los accesos remotos. Elaborando un plan de gestión de incidentes que guíe la actuación durante la gestión de los incidentes. Realizando ciber ejercicios para simular la gestión de un incidente, o la parada o aislamiento de sistemas OT concretos. Si es posible, simulando el restablecimiento de servicios OT o su recuperación desde configuraciones fiables que aseguren el mantenimiento de un nivel operaciones suficiente. Formando a los empleados en estos procedimientos. Estableciendo la revisión periódica de estas medidas. Y, por supuesto, cuanto antes se tomen estas medidas, más eficientes y eficaces serán.

A largo plazo, no debe descartarse una reevaluación o reingeniería global de la arquitectura OT actual que permita securizar y/o aislar redes, equipamientos e instalaciones desde su diseño y por defecto

Los profesionales de GMV están abordando con éxito estos retos en los sectores espacial, del transporte e industrial, ayudando a las organizaciones a comprender su exposición a los riesgos y a proteger sus equipos y operaciones. Aportando tanto conocimientos técnicos como experiencia práctica para afrontar este reto.

Autor: Mariano Benito