Hoy en día en la industria es cada vez más común hablar sobre Digitalización, Industria 4.0, Internet de las cosas industrial (IIoT), Inteligencia Artificial, Big Data, entre otras cosas. Es necesario destacar la importancia de estas nuevas tecnologías aplicadas en la industria para mejorar los procesos productivos y manufactureros. Sin embargo, es fundamental tener en cuenta que la implementación de estas tecnologías sin una plataforma de comunicación robusta y cibersegura podría representar un potencial riesgo de ataques cibernéticos.
La importancia de la Ciberseguridad
La Digitalización, Industria 4.0, Internet de las Cosas y otras nuevas tecnologías deben implementarse en plataformas de comunicación robustas y ciberseguras.
La implementación de estas nuevas tecnologías en la industria implica la necesidad de vincular las redes OT (Operation Technology) a las redes de IT (Information Technology) o tener conexión a internet directamente en las redes de automatización. Estas implementaciones deben llevarnos a tener en consideración ciertas cuestiones de manera de mantener nuestra red de automatización lo más segura posible.
Cada vez son mayores las amenazas de ransomware para los sistemas de control industrial, recientemente, la Agencia CISA (Cybersecurity and Infraestructure Security Agency) publicó un paper en el cuál destaca la realidad de las amenazas de ransomware en 2021 en relación con los activos de tecnología operativa (OT) y los sistemas de control industrial. (1)
Algunas de las cuestiones más importantes a la hora de asegurar nuestras redes de automatización:
La prevención comienza desde la segmentación de redes IT/OT. Esto servirá como una barrera para detener intentos de ataques que se intenten realizar a través de la red. La segmentación de red proporciona servicios de seguridad específicos para cada segmento de red, lo que brinda más control sobre el tráfico de red, optimiza el rendimiento de la red y mejora la seguridad.
Para realizar una segmentación segura, es recomendable la implementación de firewalls, mediante los cuales vamos a poder definir claramente cuáles son los flujos de comunicación entre ambas redes, permitiéndonos filtrar el tráfico no deseado o desconocido.
Es importante conocer qué equipos tenemos en nuestra red de automatización y conocer si los mismos poseen vulnerabilidades. Una vulnerabilidad es una debilidad en los procedimientos de seguridad de un equipo o sistema. Dentro de las vulnerabilidades nos podemos encontrar con las llamadas “vulnerabilidades de día cero”, estas son aquellas que fueron descubiertas recientemente y aún no tienen un parche que las solucione.
Los atacantes tratarán de explotar las vulnerabilidad con el objetivo de causar un impacto que afecte la confidencialidad, integridad o disponibilidad de un sistema. Existen una gran cantidad de vulnerabilidades conocidas en los equipamientos industriales (PLCs, SCADAs, VFDs, switches, routers, entre otros).
¿Dónde podemos encontrar información acerca de cuáles son las vulnerabilidades conocidas de los equipamientos que tenemos en planta? Es posible encontrar la información en páginas como CISA (Cybersecurity and Infraestructure Security Agency) (2) o en la página web de los fabricantes de dispositivos, por ejemplo, desde Phoenix Contact contamos con un equipo autorizado a responder a posibles vulnerabilidades de seguridad, incidentes y otros problemas de seguridad relacionados con los productos, soluciones y servicios de Phoenix Contact (Product Security Incident Response Team) (3)
En estas páginas vamos a poder buscar por marca de fabricante o modelo de equipo, los reportes de vulnerabilidades junto con una evaluación de riesgo y detalles técnicos de la misma. El informe cuenta también con la mitigación para dicha vulnerabilidad que recomienda el fabricante. Esta mitigación puede ir desde una actualización de firmware donde se corrige dicha vulnerabilidad hasta la implementación de hardware o software adicional de manera que se puedan prevenir ataques que exploten esas vulnerabilidades.
En muchos casos, desde que se conoce una vulnerabilidad de día cero hasta que los fabricantes de los dispositivos implementen la mitigación en el firmware, nuestra red puede estar expuesta. En muchos casos también nos encontraremos en la industria que por motivos de operación no es tan sencillo programar una actualización de firmware ya que eso puede implicar la parada de un proceso o la indisponibilidad durante un tiempo de los equipos involucrados.
El primer paso que realizan los equipos de ciberseguridad de los fabricantes de dispositivos es generar informes de seguridad donde expliquen los métodos que se pueden aplicar para proteger los dispositivos ante un posible intento de explotar de esa vulnerabilidad. En la gran mayoría de estos casos, la solución que suele ser más efectiva para mitigar vulnerabilidades no resueltas por firmware es la utilización de firewalls.
Un firewall es un dispositivo de seguridad de red que supervisa el tráfico de entrada y salida de una red, de esta manera puede decidir si permite o bloquea un tráfico específico basándose en un conjunto definido de reglas de seguridad.
Los firewalls han sido la primera línea de defensa en la seguridad de la red durante más de 25 años. Establecen una barrera entre las redes internas seguras y controladas en las que se puede confiar y las redes externas no confiables.
Un firewall puede ser un dispositivo de hardware, de software o de ambos.
Un factor importante a tener en cuenta sobre la utilización de firewalls, es que los mismos deben estar correctamente configurados para las tareas que deben realizar. Se presentan dos principios de configuración de estos:
- Principio de permiso predeterminado: Ningún tráfico es bloqueado, los paquetes no autorizados se tienen que definir explícitamente. Tiene como desventaja que los riesgos deben conocerse.
- Principio de negación predeterminado: Todo el tráfico es bloqueado, los paquetes autorizados deben definirse explícitamente
Desde el punto de vista de la seguridad, va a ser recomendable trabajar bajo el principio de negación predeterminado para las reglas de entrada. Esto se debe a que, si se utilizara el principio de permiso predeterminado deberíamos conocer todas las excepciones, lo cual es prácticamente imposible.
Phoenix Contact cuenta con una familia de routers/firewalls denominada mGuard, los cuáles van a permitir otorgarle mayor seguridad a nuestra red de OT, proteger equipamiento específico, y vincularlas de la manera más segura a la red de IT.
Es importante tener en cuenta que para realizar una correcta configuración de los firewalls no solamente es necesario tener conocimiento de la red y los protocolos de comunicación involucrados, si no también es parte fundamental saber configurar los equipos de manera correcta y poder aplicar mejor todas las funcionalidades de dichos equipos. Es por ello que Phoenix Contact ofrece cursos de capacitación gratuitos, dónde se podrán adquirir conocimientos de ciberseguridad, como configurar correctamente los firewalls, explotar al máximo las funcionalidades de red de los mismos como NAT, port forwarding, configuración y utilización de conexiones VPN para darle mayor seguridad y confidencialidad a nuestras redes, junto con herramientas para aplicar mantenimiento remoto a través de internet.
La seguridad de nuestras redes no solamente está vinculada a la utilización de equipamiento de red. Es necesario tener en cuenta temas como la utilización de contraseñas seguras, no utilizar contraseñas estándar o idénticas para todos los equipamientos, es necesario que las empresas tengan una política de seguridad clara con capacitaciones hacia el personal, de manera de poder entender y detectar potenciales amenazas como el phishing, la correcta utilización de software antivirus, mantener los mismos actualizados, entre otras cosas.
Para tener mayor seguridad y disponibilidad de nuestras redes también es importante tener en cuenta funcionalidades como la redundancia de redes, de manera de poder seguir teniendo conectividad con todos los equipamientos de planta por más que un conexionado sufra un desperfecto. Es por ello que destacamos la importancia de switches gestionables como los switches 2000, los cuales pueden manejar protocolos de redundancia como MRP o RSTP.
No solamente es conveniente contar con la redundancia de redes si no también con la redundancia de alimentación, es por ello que la familia de fuentes QUINT ofrece la mayor robustez y versatilidad a la hora de brindar alimentación a nuestros equipamientos industriales, de manera de poder proveer alimentación redundante con la utilización de ORINGS e ininterrumpida con la utilización de UPS.
La implementación de equipamiento de seguridad como firewalls, sumados a una infraestructura de red robusta y unas políticas de ciberseguridad claras van a facilitar la integración cibersegura de los equipamientos industriales a las redes potencialmente peligrosas. Phoenix Contact cuenta con personal idóneo y altamente capacitado para brindarle el soporte necesario.
Por Ing. José María Suárez
Field Application Engineer
Industry Management and Automation
Phoenix Contact Argentina