Salvaguardando el IoT industrial:Adopción de un enfoque de próxima generación - Parte 2

Trevor Daughney, vicepresidente de marketing de productos de Exabeam

La digitalización de los activos industriales está impulsando una conciencia cada vez mayor de la importancia de proteger los entornos OT conectados de los ciberataques que dañan la producción, la planta y los activos, y exponen datos confidenciales, dice Trevor Daughney, vicepresidente de marketing de productos de Exabeam

Como descubrimos en el artículo anterior, las ciberamenazas se dirigen cada vez más a los sistemas de control industrial (ICS) con el objetivo de cerrar líneas de producción o infligir daños físicos masivos a los equipos.

Con las amenazas a las redes industriales en curso, los empleados responsables de administrar y asegurar TI y OT deberán colaborar estrechamente para identificar posibles vulnerabilidades y priorizar dónde deben cerrarse las brechas de seguridad. Al hacerlo, los equipos de TI y OT obtienen la comprensión profunda que necesitan de las interrelaciones entre los entornos de OT, las redes comerciales y el ecosistema industrial más amplio en sí, que también puede incorporar proveedores, vendedores y socios.

No es una tarea fácil si se tiene en cuenta cómo, hasta ahora, los problemas de seguridad de TI y TO se han abordado en gran medida en sus respectivos silos. Es más, el desafío de abordar la seguridad de las soluciones OT no es fácil de superar.

Los sistemas con espacio de aire no son una solución viable

Cuando se trata de proteger los sistemas de control industrial, muchas organizaciones todavía emplean un enfoque conocido como air-gap, o seguridad por aislamiento, en un intento por reforzar la seguridad de los sistemas OT heredados contra los ciberataques. Sin embargo, aunque es eficaz como medida de seguridad provisional, el espacio aéreo no es una solución ideal a largo plazo. Y ciertamente no debe utilizarse de forma aislada. Tome el ataque del gusano Stuxnet, por ejemplo, que fue diseñado para violar su entorno objetivo a través de una memoria USB infectada, cruzando cualquier espacio de aire. Con gusanos informáticos malintencionados como este, el espacio de aire por sí solo no es una seguridad adecuada.

Aparte del hecho de que los sistemas de espacio aéreo limitan significativamente la capacidad de las organizaciones para aprovechar los datos en tiempo real que estos sistemas generan para reducir costos, reducir el tiempo de inactividad y mejorar la eficiencia, muchas de las arquitecturas modernas de hoy permiten la conexión de OT heredado a Internet con el fin de comando y control operacional moderno. De hecho, el 40% de los sitios industriales tienen al menos una conexión directa a Internet pública, lo que coloca a estas redes OT directamente en la línea de fuego cuando se trata de una posible exposición a adversarios y malware.

Familiarizarse con la complejidad

Desafortunadamente, muchas de las soluciones de seguridad diseñadas para el mundo de la TI no fueron diseñadas a la medida para manejar las complejidades de los entornos de OT conectados de hoy. Esto se debe a que los dispositivos IIoT utilizados dentro de los sistemas OT no fueron diseñados para integrarse con las herramientas de administración y monitoreo de seguridad diseñadas para las redes de TI corporativas.

Las implicaciones de esto para las organizaciones son profundas:no tienen visibilidad de los eventos o activos de la red OT. Y sin una visión de toda la empresa de todos los posibles riesgos, vulnerabilidades y posibles puntos de infiltración, las capacidades de respuesta y detección de amenazas rápidas de estas empresas se ven seriamente comprometidas.

Esa no es una buena noticia para el equipo de seguridad encargado de proteger los entornos de IIoT de un número creciente de actores de amenazas que se dirigen a los sistemas de control de múltiples industrias.

Abordar los riesgos de los dispositivos con UEBA

La buena noticia es que monitorear de manera eficiente y efectiva los dispositivos OT no es una tarea imposible. Típicamente diseñados para operar sin acción humana, estos dispositivos "se comportan" de cierta manera. Por ejemplo, se comunican mediante puertos específicos, con determinadas direcciones IP y dispositivos, en los momentos previstos. Estas acciones se pueden reinterpretar como "comportamiento" y análisis del comportamiento de la entidad de usuario (UEBA) implementado para aumentar las capacidades de monitoreo de seguridad que se pueden integrar con la información de seguridad y la gestión de eventos (SIEM) para realizar un monitoreo integral de la infraestructura de una manera verdaderamente unificada.

En lugar de pasar días o semanas usando un sistema SIEM heredado para consultar y pivotar manualmente cada uno de los cientos o miles de registros por segundo generados por un solo punto de control de OT, UEBA hace que sea más rápido y fácil descubrir indicadores de compromiso.

Mediante el uso de análisis para modelar un perfil completo de comportamiento normal de todos los usuarios y entidades en todo el entorno, las soluciones UEBA identificarán cualquier actividad que sea inconsistente con estas líneas de base estándar. Luego, se pueden aplicar análisis empaquetados a estas anomalías para descubrir amenazas e incidentes potenciales.

De esta manera, es posible monitorear sistemáticamente las voluminosas salidas de los dispositivos IIoT, junto con los dispositivos de TI, para encontrar posibles amenazas a la seguridad. También se pueden monitorear otras actividades, como los devicelogins.

Adopción de un enfoque integrado de seguridad

Como hemos visto, las limitaciones de las soluciones IIoT, OT e IoT heredadas y modernas son persistentes, pero existen algunas medidas que las empresas pueden tomar para garantizar la integridad de sus operaciones comerciales.

La clave aquí es evitar un enfoque de `` solución puntual '' y, en su lugar, optar por una solución integrada que combine UEBA con una plataforma SIEM moderna para brindar una visión empresarial de la seguridad de TI y OT. que permite una mayor detección de amenazas, incluidas técnicas difíciles de detectar como el movimiento lateral.

Con esto en su lugar, un solo equipo de SOC puede aprovechar el SIEM para ingerir y analizar datos de todas las fuentes de la organización y obtener una vista en tiempo real de toda la seguridad, incluida la visibilidad completa de todos los dispositivos en sus entornos de OT.

El autor es Trevor Daughney, vicepresidente de marketing de productos de Exabeam