Vulnerabilidades, amenazas y ciberataques a sistemas industriales

Llevamos algunos años monitoreando la seguridad en los entornos industriales y como estas infraestructuras se han ido convirtiendo en un objetivo de los grupos delictivos cibernéticos.

Desde nuestra área de innovación un sistema de captura de amenazas en entornos industriales que nos permite hacer un análisis detallado de las técnicas y tácticas de ataque usadas en este ámbito.

Detección de amenazas en sistemas industriales

Con esta herramienta honeypotting llamada Aristeo, hemos visto crecimientos exponenciales de ataque, llegando a cifras de cerca de 7 millones de detecciones en 24 horas y de 35 millones en 7 días.

Con estas muestras los datos nos permiten evidenciar que los componentes IT de las infraestructuras OT son el principal vector de ataque. En nuestra herramienta se denominan Bahía de Ingeniería y HMI, sistemas que son usualmente soportados en sistemas operativos y protocolos comunes en redes IT.

Estos ataques detectados en su mayoría se pueden mapear con las técnicas que componen las tácticas de acceso inicial enmarcadas en la matriz ATT&CK para ICS, la cual fue actualizada el 21 de abril.

Adicionalmente, estas detecciones suelen convertirse en ataques de ransomware, como indicó Nozomi Networks en su reporte de seguridad del segundo semestre de 2021.

La mayor preocupación de este incremento se centra en las repercusiones físicas que estos ataques pueden generar, las cuales se han visto incrementadas en los últimos dos años.

Casos como el secuestro de JBS Food, que generó desabastecimiento de carnes en varios países en el mundo, sumaron en 10 casos de impacto en 2020, superaron los 20 en 2021, y se proyecta que llegarán a los 50 en 2022, según el informe de incidentes de OT de waterfall y icsstrive.

Mejoras para la detección de amenazas en sistemas industriales

Esta tendencia ha generado que se investigue con mayor profundidad y detalle las posibles vulnerabilidades en equipos de los sistemas industriales, las cuales solo para el segundo semestre de 2021 ya sumaban 651 reportes en 47 fabricantes y 144 productos.

Las empresas del sector industrial han mejorado sus propios sistemas de pruebas y detección de amenazas. El mejor ejemplo de ello se tiene con Siemens, quien creó un CERT y reporta una vez al mes todas las vulnerabilidades o actualización de las vulnerabilidades de sus productos (un proceso similar al que hace Microsoft) Para el mes de mayo de 2022 reportaron 27 alertas, de las cuales 12 eran reportes de nuevas detecciones.

Esta iniciativa la han seguido otras compañías del sector como Schneider Electric, que al igual de Siemens optó por la estrategia de un reporte mensual de las detecciones de amenazas evidenciadas por sus equipos de investigación o por investigadores externos. En este caso, para el mes de mayo reportaron 6 alertas.

La ciberseguridad, una necesidad apremiante para la industria

Estos cambios en los ambientes industriales sin duda hacen que la ciberseguridad se convierta en una necesidad apremiante. Como ya hemos dicho en anteriores ocasiones requieren un cambio de aproximación de los equipos de operaciones y una integración de estas redes al gobierno de la seguridad que se tenga en las entidades o empresas.

Uno de los puntos comunes en los análisis especializados de ciberseguridad en OT es la falta de visibilidad de los sucesos dentro de las redes de operaciones, lo cual genera que los incidentes no puedan ser detectados en sus fases iniciales.

La razón es que no puedes proteger lo que no puedes ver, y en algunos estudios de la industria se ha confirmado que menos del 62% de las empresas tienen una visibilidad completa de los eventos de red.

En cuanto al personal, es fundamental que en los ambientes de operaciones se inicien con los procesos de capacitación en ciberseguridad de forma permanente, así como se capacita constantemente en procesos de seguridad en el trabajo, riesgos operacionales y salud ocupacional. Es fundamental que los operarios entiendan la importancia y procedimientos que deben cumplir para la salvaguarda de la información.