06
mayo
2019

Sistemas SCADA

Un elevado número de empresas y organizaciones a nivel mundial, basan una parte importante de su negocio en procesos industriales que son monitorizados y gestionados por aplicaciones específicas, conocidas de forma general como Sistemas de Control Industrial (ICS: Industrial Control System), donde uno de sus tipos mayoritariamente empleado son los sistemas SCADA (Supervisory Control And Data Acquisition).

Los sistemas SCADA o de Supervisión, Control y Adquisición de Datos, comprenden todas aquellas soluciones que recogen datos operativos de equipos industriales, los procesan para determinar si los valores están dentro de los niveles de tolerancia y, de ser necesario, toman medidas correctivas para mantener la estabilidad y el control del proceso.

Por lo general, la arquitectura básica comprende uno o varios servidores centrales y estaciones de trabajo, interactuando con sensores y válvulas, controladores lógicos programables (PLC: Programmable Logic Controllers), unidades terminales remotas (RTU: Remote Terminal Units) e interfaces hombre-máquina (HMI: Human Machine Interface), entre otros componentes específicos, orientados todos al control y la supervisión.

Estas infraestructuras suelen estar localizadas de forma general en grandes infraestructuras como sistemas de transporte: metros, trenes, puertos y aeropuertos; industrias (automotriz, química, refinerías); de generación eléctrica (térmicas, hidroeléctricas, nucleares); o para la distribución y control de electricidad, agua, gas, entre otros usos.

Los sistemas SCADA supusieron un gran avance dentro de la automatización industrial, pues permitió a los especialistas de cualquier entidad, llevar un control exhaustivo de todos los dispositivos en tiempo real y, además, crear alarmas y advertencias para corregir posibles desviaciones, de ahí que garantizar la seguridad de su funcionamiento es una tarea crítica en muchas industrias, pues toda su producción depende del correcto desempeño de unas pocas aplicaciones, que ante un fallo o incorrecto desempeño, pueden ocasionar graves pérdidas económicas, cuando no un peligro para los empleados o desastres medioambientales, o convertirse, en algunos casos, en una potencial amenaza para todo un país y su entorno. 

Seguridad en Sistemas SCADA

Los sistemas SCADA fueron diseñados antes del surgimiento de Internet, por lo que en sus inicios estuvieron concebidos para ser sistemas aislados y no conectados en red. Tradicionalmente carecen de dispositivos de seguridad como cortafuegos, mecanismos de cifrado o software antivirus, y su diseño se centraba en la funcionalidad y fiabilidad, y su seguridad se enfocaba en el aspecto físico, fundamentalmente en limitar el acceso a los entornos aislados y controlados donde se desempeñaban. 

Con el fin de abaratar costes y acelerar el desarrollo de nuevos sistemas y la implantación de mejoras, los sistemas SCADA hacen cada vez más uso de tecnologías estándar, como Microsoft Windows, TCP/IP, navegadores Web y conexiones inalámbricas, de ese modo, han aumentado su conectividad con otros sistemas, gracias a lo cual en la actualidad es posible centralizar el control de instalaciones diversas, integrar los resultados del control de procesos en los sistemas administrativos, y mejorar el rendimiento.

A pesar de los beneficios derivados de este desarrollo, el aumento de la conectividad los ha expuesto a nuevas amenazas para las que no estaban preparados (malware, hacking, entre otros), pues al incorporar la conectividad a las redes, los riesgos de amenazas electrónicas se incrementan, ya que muchas medidas de seguridad estándar utilizadas normalmente en estas tecnologías, no han sido adaptadas al entorno SCADA, por tanto, las opciones de seguridad disponibles para mantener el entorno seguro pueden ser insuficientes.

Vulnerabilidades

Los ataques en entornos SCADA pueden deberse a descuidos o errores humanos, al espionaje industrial, las malas prácticas en planta, la falta de concienciación en seguridad, o por la conectividad de componentes.

El objetivo principal es proteger las redes de control frente a accesos no autorizados, tanto desde la propia industria como desde equipos remotos. Algunas vulnerabilidades comunes en relación a incidentes en sistemas SCADA son:

  • Permisos, privilegios y control de acceso: permisos y controles de acceso indebidos de los usuarios. El usuario sólo debe acceder a lo estrictamente necesario.
  • Gestión de credenciales e identidades: contraseñas débiles y las políticas no adecuadas, que no obligan a cambiarla con determinada frecuencia, o que permiten introducirla sin penalización (límite de reintentos) hasta ser descubiertas por fuerza bruta.
  • Configuración y mantenimiento de la seguridad de los componentes del sistema: entendido como la gestión de parches y actualizaciones inadecuadas o no existentes.
  • Debilidad del diseño de red: carencia de segmentación de red y zonas de cuarentena, no existencia de zonas funcionales desmilitarizadas DMZ, insuficientes elementos de protección como firewalls, entre otros.
  • Auditoría y monitorización de eventos: carencia de análisis sobre el empleo de la red, inadecuada monitorización de zonas vulnerables.

Ataques a Sistemas SCADA

En los últimos años se han detectado multitud de ciberataques a infraestructuras críticas industriales, los cuales han aprovechado fundamentalmente vulnerabilidades en protocolos industriales. Desafortunadamente, se ha tardado mucho en reconocer las potenciales vulnerabilidades procedentes de accesos desautorizados y amenazas de malware, y como resultado de esta falta de preparación, los ataques maliciosos a sistemas SCADA a nivel mundial son cada vez mayores:

  • Explosión en gaseoducto siberiano (1982): uno de los primeros incidentes de seguridad en infraestructura industrial. El atacante plantó un troyano en un sistema SCADA que controlaba el gaseoducto siberiano. Como consecuencia, se produjo una explosión equivalente a 3 kilotones de TNT.
  • Ducto de gasolina de Bellingham (1999): este ducto de gasolina en EEUU empleaba un sistema SCADA que no fue capaz de ejecutar correctamente las funciones de control y monitoreo, provocado por trabajos de los desarrolladores en la base de datos del sistema mientras este era empleado para operar el gaseoducto. El daño liberó una fuga de gases tóxicos, derrame de gasolina y una explosión, que causó la muerte a 3 personas, daños medioambientales a un río, y una fuerte humareda de 10 km de altura.
  • Night Dragon (2009): en este año cinco firmas globales de energía y petróleo fueron golpeadas por una combinación de ataques que incluían ingeniería social, troyanos y exploits. El ataque fue conocido como Dragón Nocturno, y su principal objetivo era realizar tareas de espionaje y robo de información sensible, para su posterior venta, aprovechándose de vulnerabilidades conocidas en Windows.
  • Stuxnet (2010): es considerado el primer malware que atacó infraestructura crítica de gobiernos extranjeros, ocurrido en la planta nuclear de Natanz, Irán. Constituye un programa altamente sofisticado que tiene características de un gusano informático (que se autoreplica, sin ayuda humana), de virus (que depende del apoyo humano), y de troyano (que permite acceso externo a funcionalidades del sistema agredido), además, fue extremadamente difícil de detectar porque usaba vulnerabilidades del día cero (zero-day). Fue creado para infectar exclusivamente la configuración SCADA de los dispositivos conectados a un Siemens S7-300, y se presume algún personal lo introdujo dentro del perímetro protegido de la red SCADA vía una memoria USB. Golpeó las centrífugas de partículas del programa de enriquecimiento de uranio iraní, al afectar la frecuencia de rotación, de los motores de la planta que giraban en un rango determinado, provocando cambios bruscos de aceleración y desaceleración, y un estrés severo a la maquinaria, con una alta tasa de colapso.
  • Duqu (2011): malware cuya estructura interna y funcionalidad era muy similar a Stuxnet, con similar modo de operar, a pesar de que esta vez el vector de infección era mediante un documento ofimático adjunto a un correo electrónico, que contenía varios exploits que se aprovechaban de vulnerabilidades 0-day en Windows. El principal objetivo era infectar y obtener información de los sistemas SCADA de las empresas de Oriente Medio. Entre sus funcionalidades se caracterizaba por la capacidad de robo de credenciales y claves digitales (certificados) para instalar módulos más complejos, con el fin de evitar la detección y continuar con la propagación tanto por red, como usando medios extraíbles tipo memorias USB.
  • Flame (2010): malware muy complejo orientado a recabar información de compañías de petróleo y gas de Oriente Medio y Europa. Su vía de infección era mediante memorias USB, y entre sus funcionalidades destaca la activación de webcam y micrófonos, geolocalización de fotografías y la auto propagación vía red local y USB.
  • BlackEnergy y CrashOverride (2015): ambos malware altamente sofisticados, dirigidos a infringir daño a la industria eléctrica de Europa del Este y Norteamérica. Se propagaban por correo electrónico como adjunto en un documento de Micrsoft Office malicioso, casi siempre un Excel con macros. Su principal factor en común era que pretendían conseguir una denegación de servicio en la industria infectada mediante sabotaje, atacando protocolos específicos de la infraestructura SCADA energética, con capacidad de eliminar registros para evitar ser detectados.
  • Triton o Hatmat (2017): malware que igualmente utilizó la propagación USB como principal vía de infección, siendo afectadas empresas de Europa del Este. Su principal objetivo era cambiar el comportamiento de determinados equipos de protección, para que se detuviera la producción o se causaran daños mayores en la propia instalación física en caso de fallo.

Buenas Prácticas

De manera general, en la Industria 4.0 o de cuarta generación, en donde la automatización y la conectividad resultan vital e ineludible, los sistemas SCADA desempeñan un rol fundamental, y su seguridad, una característica primordial en todo el proceso. Para lograrla, es imprescindible:

  • Segmentar físicamente la red IT de aplicaciones empresariales de la red OT que soporta las operaciones de los dispositivos SCADA y procesos de control.
  • Crear una zona desmilitarizada DMZ (Demilitarized Zone) para aislar el sistema SCADA en segmentos protegidos separados del resto de la red, sin conexiones directas o potenciales puertas traseras para otras vías de ataques.
  • Monitorizar no sólo las conexiones de entrada a la red donde operan los sistemas SCADA, sino también las de salida.
  • Utilizar firewalls específicos para entornos industriales con inspección profunda de paquetes DPI (Deep Packet Inspection), que permiten dividir el tráfico y configurar reglas de acceso especificando protocolos típicamente industriales.
  • Emplear sistemas combinados de detección/prevención de intrusos (IDS/IPS), y antivirus con exploración heurística de malware y ataques de día cero.
  • Utilizar una transmisión cifrada de los datos mediante el empleo de redes privadas virtuales VPN, para asegurar que la información no pueda ser interceptada o manipulada.
  • Instalar los últimos parches de seguridad para aplicaciones empresariales u sistemas operativos.
  • Proteger los sistemas operativos que se empleen eliminando cuentas por defecto y cerrando servicios y puertos no utilizados, eliminando puertas traseras del sistema a nivel de software, firmware y hardware, así como servicios que utilizan canales subliminares.
  • Configurar adecuadamente permisos y autenticación de usuarios, y sólo permitir contraseñas robustas, en combinación con el uso de tarjetas inteligentes de acceso o sensores biométricos.
  • Implantar herramientas para el manejo de accesos e identidades IAM (Identity and Access Management) y prevención de pérdida de datos DLP (Data Loss Prevention).
  • Limitar la disponibilidad de información técnica sobre el sistema SCADA que se emplee, así como su configuración y mantenimientos.
  • Utilizar hardware redundante tolerante a fallos, aplicando mecanismos de failover y fallback.
  • Emplear herramientas para valorar el impacto de pérdida o desconexión de uno o más componentes del sistema.
  • Implantar planes de recuperación de desastres probados y no ambiguos.
  • Aplicar procedimientos de copias de restaura del sistema, bien definidos y garantizados.
  • Implementar procedimientos de revisión, estudio y aprendizaje de incidentes de seguridad ocurridos, así como aplicar las correspondientes medidas preventivas para evitarlos en el futuro.

La industria 4.0 que es el nuevo paradigma de desarrollo, que incluye la seguridad de todo el proceso en general, y de los sistemas SCADA en particular, lo que es parte fundamental para que esta estrategia tenga éxito.