Serie de ciberseguridad: Proteger los sistemas SCADA de los hackers

Las empresas de suministro de agua se centran cada vez más en aumentar la resiliencia frente a las amenazas de ciberseguridad en sus redes. La interfaz hombre-máquina (HMI, por sus siglas en inglés) es una de las vías más comunes por las que los hackers se infiltran en los sistemas SCADA. En la segunda parte de nuestra serie sobre ciberseguridad, Steven Miller, Director de Seguridad de Productos de Xylem y Radhika Upadrashta, Ingeniero de Seguridad de Productos, discuten las mejores prácticas para la aplicación segura de HMI y los pasos que los operarios de la red pueden realizar para reducir las vulnerabilidades.

En Xylem creemos que la protección de los procesos críticos que proporcionan agua potable limpia, tratan las aguas residuales, informan sobre la calidad del agua y miden el consumo de agua, gas y electricidad requiere un modelo de responsabilidad compartida: una asociación entre desarrolladores y proveedores de tecnología, integradores, propietarios de activos y todos los elementos de la cadena de suministro. La responsabilidad de Xylem es diseñar y construir productos que incluyan características de seguridad. A su vez, el papel de nuestros clientes es comprender los riesgos inherentes a sus procesos y tomar medidas para el funcionamiento y el mantenimiento de sus soluciones de forma segura.

La interfaz hombre-máquina (HMI) es el elemento más vulnerable de un sistema informático. La HMI se refiere a un cuadro de mandos o una pantalla utilizada para controlar o supervisar la maquinaria, ya sea in situ o a distancia. Al ser la principal interfaz de usuario para controlar los equipos o un proceso, la HMI es uno de los aspectos más atacados de la infraestructura del sistema de control industrial (ICS, por sus siglas en inglés). El acceso no autorizado a la HMI puede causar estragos: los operarios pueden perder la capacidad de controlar un proceso; la brecha puede provocar daños y destrucción de los activos; y en casos extremos, el incidente puede provocar lesiones en los equipos o incluso la pérdida de vidas durante el mantenimiento.

La buena noticia es que los operarios pueden tomar medidas para asegurar la HMI y establecer un enfoque que equilibre la seguridad con la funcionalidad y la capacidad de respuesta necesarias para un funcionamiento eficaz.

Capas de un modelo de «seguridad tipo cebolla»

A la hora de diseñar un procedimiento de seguridad, recomendamos un enfoque de «seguridad tipo cebolla». Esto implica pensar en las capas del sistema para maximizar la seguridad. Ninguna medida individual es invencible; crear la seguridad por capas, considerando el entorno físico, la red, el servidor y el sistema operativo y, por último, la propia aplicación o HMI, es un enfoque prudente para maximizar la protección.

Veamos cada una de estas capas por separado:

Entorno: Proteger el acceso físico a la zona donde se encuentra la HMI (la sala de control o la planta de fabricación, por ejemplo) es fundamental. Las HMI están siempre encendidas, son fácilmente accesibles y, en algunas circunstancias, no requieren ninguna forma de autenticación. Incluso cuando están protegidos con contraseña, las HMI siguen siendo relativamente vulnerables. Limitar el acceso físico minimiza la posibilidad de que se desplieguen dispositivos maliciosos o se muevan los cables, por ejemplo.

Protección de la red: En el caso de las HMI con capacidades de red, es vital que se disponga de una infraestructura de red adicional para proteger la red más amplia. Esto incluye el cableado de la HMI a la red, además de medidas como el direccionamiento IP, los rúteres, los interruptores, los puntos de acceso/red Wi-Fi, etc. La segmentación de la red mediante cortafuegos es una medida de seguridad habitual.

Se recomienda una sólida política de control de acceso a la red (NAC, por sus siglas en inglés). Un sistema NAC puede identificar servidores nuevos y previamente desconocidos y ponerlos en cuarentena para que no tengan un acceso más amplio a la red hasta que lo apruebe un administrador de red. Contar con protecciones sólidas (y automatizadas) de acceso a la red reduce significativamente el potencial acceso no autorizado. El cifrado del tráfico de red puede evitar escuchas y la autenticación de múltiples factores (AMF) mediante el uso de redes privadas virtuales (VPN, por sus siglas en inglés) para las conexiones remotas a la red también reduce el riesgo. Por último, los sistemas de detección y prevención de intrusiones (IDS/IPS, por sus siglas en inglés) para supervisar la actividad de la red son otra medida de seguridad útil.

Protección del servidor y del sistema operativo: Se refiere al sistema operativo que aloja la HMI, así como a su hardware, interfaces y unidades. La capacidad de construir la protección en esta capa dependerá de si las HMI se instalan en un servidor fabricado a propósito, es decir, un sistema cerrado que no puede ser modificado, o si se visualizan desde un hardware básico (o listo para usar).

Lo ideal es que los servidores tengan una superficie de ataque mínima; los puertos innecesarios (tanto físicos como virtuales), así como los servicios del sistema innecesarios, deben ser desactivados. Deben eliminarse las aplicaciones que no se utilicen. Los parches de seguridad del sistema operativo y los servicios antivirus deben mantenerse actualizados y las conexiones para las HMI a distancia deben estar siempre protegidas por contraseña.

Protección de la aplicación/de la HMI: Al igual que el servidor o el sistema operativo, la capacidad de utilizar la protección en la capa de aplicación variará en función de las características de seguridad incorporadas por el fabricante de la HMI. Utilice políticas de autenticación y autorización sólidas, cuando proceda. Un usuario solo debe tener las credenciales de acceso necesarias y adecuadas a su función. La aplicación de la HMI debe utilizar una comunicación cifrada para evitar las escuchas y limitar el acceso al sistema operativo.

La ciberseguridad es la piedra angular de la creación de redes resistentes. Aunque las ciberamenazas siguen evolucionando y expandiéndose, las empresas de suministro de agua pueden tomar medidas para reducir el riesgo y proteger sus infraestructuras críticas y no tienen que hacerlo solas.

Conozca más sobre el enfoque de Xylem en materia de ciberseguridad aquí.

Consulte este blog sobre cómo empezar a planificar una respuesta inteligente a los incidentes hoy mismo.