Asegurando los sistemas integrados SCADA contra los ciber ataques

Hasta fechas recientes, los sistemas SCADA estaban separados de otros sistemas que operaban independientemente de las networks. Antes de sufrir los efectos de un posible ataque, es importante proporcionar toda la protección que los sistemas SCADA requieren. Sin embargo, a lo largo del tiempo los sistemas SCADA quedan integrados en las networks de las grandes compañías como un medio para equilibrar sus datos valiosos e incrementar la eficiencia de planta. El resultado de esto es que ahora la seguridad de los sistemas SCADA es a menudo tan fuerte como la seguridad de la red en su conjunto.

El proceso de proteger las redes SCADA comienza con la creación de una política de seguridad escrita. Si se falla en tener una política adecuada la compañía está expuesta a los ataques, pérdidas de ingresos y acciones legales. La política de seguridad también será un documento vivo, no una política estática creada tan solo una vez.

Antes de implementar una política escrita debe llevarse a cabo una valoración de la vulnerabilidad que identifique el riesgo potencial asociado con diferentes aspectos de la infraestructura IT relacionada con SCADA, y la prioridad de diferentes aspectos de la infraestructura. Adicionalmente, la valoración de la vulnerabilidad también actúa como un mecanismo para identificar huecos y grietas en la comprensión de cómo el sistema está construido y donde pueden originarse las amenazas contra el sistema.

Para completar con éxito una valoración de vulnerabilidad, deben auditarse todos los equipos computerizados y la networking, software asociado y routing de la network que necesita realizarse. Se usará un diagrama de network claro y exacto para presentar una imagen detallada de la infraestructura.

Los resultados típicamente se presentarán de forma jerárquica, dando prioridad a los niveles asociados con cada área de vulnerabilidad. Por ejemplo, con un ambiente SCADA típico, los aspectos clave y la jerarquía relacionada puede ser la siguiente:

• Disponibilidad operacional de estaciones del operador.
• Exactitud de datos en tiempo real.
• Protección de los datos de configuración del sistema.
• Interconexión a la red comercial.
• Disponibilidad de datos históricos.
• Disponibilidad de estaciones de usuario casuales.

Después de definir la jerarquía y auditar los diferentes componentes del sistema, se considerarán las medidas relacionadas con la seguridad. Para redes SCADA hay algunos mecanismos de seguridad comunes que se aplican a todas las networks que tienen cualquier forma de wide area (WAN) o requerimientos de acceso basado en internet. Estas incluyen: Diseño de red; regulación del acceso físico; firewall; detección de intrusiones; redes privadas virtuales (VPN); seguridad IP (IPSpec); zonas demilitarizadas (DMZs).

Diseño de redes: Es un hecho que una red simple tiene menos riesgo que las más complejas redes interconectadas. Por lo tanto es importante mantener la red lo más simple posible y bien documentada desde el principio. Un factor clave en asegurar la red es el número de puntos de contacto. Estos se limitarán todo lo que sea posible. Si bien los firewall han asegurado el acceso desde internet, muchos sistemas de control existentes tienen módems instalados para permitir a los usuarios remotos par operaciones de depuración. Estos módems a menudo se conectan directamente a los controladores en las subestaciones. El punto de acceso, si se requiere, sería un único punto que está protegido con password y está protegido donde puede registrarse la acción del usuario.

Regulando acceso físico a la red SCADA: Los beneficios de redes diseñadas de manera simple pueden disiparse rápidamente si no se siguen estrategias básicas de protección. Por ejemplo, el acceso físico a la red puede controlarse. Primero, no permitiendo que nadie que no pertenezca a la organización se conecte a la red Ethernet o tenga acceso físico a la sala del servidor TI. Un firewall se instala a menudo en un computador diseñado específicamente en un computador separado del resto de la red.

En la práctica, la mayoría de los ambientes comerciales usan alguna combinación de sistemas IDS basados en aplicación y/o red/host para observar lo que está ocurriendo en la red.

Virtual Prívate Network (VPN): Una de las principales cuestiones relacionadas con la seguridad a las que se enfrentan las redes más complejas es el acceso remoto. VPN es una forma segura de conectarse a redes SCADA remotas. Con una VPN, todas las trayectorias de los datos son en cierta medida un secreto, aunque abiertas a un pequeño grupo de personas. Hay numerosos sistemas que permiten la creación de redes usando Internet como medio para transportar datos. Estos sistemas usan encriptación y otras medidas de seguridad para asegurar que sólo usuarios autorizados tengan acceso a la red y los datos no puedan ser interceptados.

IP Security (IPsec): IPsec se despliega ampliamente para implementar VPN, soportan el intercambio seguro de paquetes en la capa IP. IPsec puede desplegarse en una red que proporcione autenticación a nivel de computador, así como encriptación de datos. También se usa para crear una conexión VPN entre dos redes remotas usando el altamente asegurado Layer Two Tunnelling Protocol con Internet Protocol security (L2TP/IPSec).

Demilitarised zones (DMZ): El uso de buffers DMZ es cada vez más común como método de red Scada y red corporativa o internet, separada a través de firewalls y buffers adicionales, que proporcionan una capa extra de seguridad contra los cibre ataques.

Bibliografía: Securing integrated Scada systems against cyber attacks. Engineerlive September 2009