5 estrategias de supervisión de la ciberseguridad en OT

No cabe duda de que el entorno OT más seguro es una red aislada, que no necesita necesariamente medidas de seguridad especiales. Sin embargo, con la convergencia de las TI y las OT, muchas redes OT necesitan ahora integrarse con sistemas y redes externas. Y para estas redes OT, es crucial que se establezcan estrategias de ciberseguridad completas. Al igual que en las TI, la supervisión de la infraestructura, los dispositivos y los sistemas constituye una parte vital de dichas estrategias. A continuación, se presentan cinco formas en las que la supervisión puede formar parte de una estrategia de ciberseguridad OT.

1

Supervisión de certificados

En TI, la supervisión de certificados forma parte de cualquier plan de ciberseguridad, y lo mismo debería aplicarse a OT. Los estándares industriales como OPC UA emplean el cifrado X.509 basado en certificados, y estos certificados deben mantenerse actualizados. La monitorización puede utilizarse para asegurar que los certificados son siempre válidos, evitando así el tiempo de inactividad o los fallos de seguridad causados por la caducidad de los certificados (para más información sobre esto, lea mi entrada de blog sobre la monitorización de los certificados OPC UA).

La desventaja de utilizar certificados es que aumenta la complejidad y los esfuerzos de administración necesarios, por lo que puede ser más conveniente utilizar otros enfoques en entornos no cifrados.

Detección de anomalías

Una anomalía en una red es cualquier desviación de la norma: cosas como picos en el uso del ancho de banda que no se pueden explicar, tráfico inusual o nuevas conexiones inesperadas en la red. Aunque una anomalía no siempre significa un ataque malicioso, puede ser un indicador de uno.

La capacidad de detectar una anomalía implica que hay un estado base, o la “norma” que se conoce. La monitorización desempeña dos funciones: en primer lugar, puede utilizarse para identificar el estado “normal” durante un periodo de tiempo y, en segundo lugar, puede desplegarse para buscar cualquier desviación de este estado normal. Con la monitorización, puede definir alertas y notificaciones que se activan cuando se superan los umbrales definidos, manteniéndole así al tanto de cualquier actividad sospechosa en su red.

2

3

Defensa en profundidad

Para proteger las redes OT, se necesitan varias capas de defensa especializadas. Este concepto, conocido como “Defensa en Profundidad”, funciona bajo la premisa de que si se tienen varias capas de seguridad, se mantiene más segura la red principal. En el caso de la OT, los cortafuegos industriales suelen proporcionar una capa. Otra posibilidad es la segmentación de la red, en la que la red OT está separada de la red IT por una zona desmilitarizada industrial (segmentación vertical), o en la que la propia red OT está separada en varias zonas (segmentación horizontal). La monitorización puede formar una parte crítica de un enfoque de defensa en profundidad, vigilando los cortafuegos industriales, las interfaces entre segmentos y factores como los puertos abiertos.

Inspección profunda de paquetes (DPI)

Se trata de un mecanismo en el que se examina el contenido de los paquetes de datos, desde la cabecera del paquete hasta la carga útil, para identificar el protocolo y las funciones asociadas a ese paquete de datos. Los datos también se pueden cotejar con un conjunto de reglas para garantizar que no son anómalos. Esto permite aplicar reglas más complejas y detalladas que las que puede gestionar un cortafuegos.

La DPI constituye la base de dos estrategias de ciberseguridad específicas para el sector de las telecomunicaciones: los sistemas de prevención de intrusiones industriales y los sistemas de detección de intrusiones industriales. En un entorno de OT, tanto los IPS como los IDS son dispositivos o sistemas que operan dentro de la red y están destinados a prevenir o activar una notificación cuando se descubren datos anómalos, dependiendo del sistema en uso. La monitorización puede utilizarse junto con las soluciones IPS e IDS para proporcionar una imagen completa de lo que ocurre en la red de OT.

4

5

Alarmas y notificaciones completas

En el caso de un ataque malicioso, la reacción a tiempo es de suma importancia. Esto significa que no sólo es importante detectar un ciberataque, sino también alertar a los equipos que deben actuar. Las alarmas deben activarse cuando se superan los umbrales o cuando se cumplen los criterios definidos, y las notificaciones de estas alarmas se envían directamente a los equipos responsables.

Supervisión de la TI industrial con Paessler PRTG

El software de supervisión PRTG de Paessler puede formar parte de una buena estrategia de ciberseguridad. Además de supervisar varios elementos de TI y OT, también puede supervisar la actividad anómala en las redes industriales. Además, funciona junto con otras soluciones de ciberseguridad populares, como Rhebo y Moxa, para formar una pieza vital de un rompecabezas de ciberseguridad en constante cambio.

5 estrategias de supervisión de la ciberseguridad en OT

1