Vulnerabilidades en la cadena de suministro amenazan seguridad del Industrial IoT

Las firmas de Industrial IoT (IIoT) dependen de una cadena de suministro fiable para obtener materias primas y componentes que mantienen líneas de producción funcionando. Mientras estas cadenas de suministro primarias son monitoreadas de cerca, una segunda cadena, a menudo pasada por alto, entrega el hardware que impulsa la infraestructura IIoT. Debido a transparencia limitada, los orígenes de componentes internos dentro de dispositivos IIoT son difíciles de rastrear, y muchos llegan con fallos de seguridad explotables.

Con un solo dispositivo IIoT a menudo ensamblado desde docenas de proveedores globales, el riesgo de vulnerabilidades embebidas se multiplica. El reporte Finite State Supply Chain Assessment 2019 de Finite State señala que componentes pasan a través de múltiples capas de proveedores e integradores antes de ser integrados en una placa, testados y enviados por el OEM.

Riesgos reales y múltiples para infraestructuras IIoT

Operadores de red reconocen riesgos de supply chain, pero identificar vulnerabilidades específicas es desafiante. Despliegues IIoT a menudo se extienden más allá de muros del fabricante a transportistas, comerciantes y socios. A medida que la red crece, aumenta la chance de que código malicioso se propague —y que firmware aparentemente benigno exponga puertos abiertos.

Matt Wyckhouse, CEO de Finite State, observa que muchos sistemas embebidos contienen vulnerabilidades ocultas que los propietarios de activos desconocen. Una brecha puede convertirse en punto de apoyo para atacantes para infiltrar sistemas corporativos, comprometiendo sistemas de control industrial (ICS), procesos de producción y datos corporativos críticos. El problema se amplifica cuando actualizaciones de firmware se retrasan o nunca se aplican.

La encuesta The State of Industrial Cybersecurity de ARC Advisory Group de julio 2019 encontró que el 26% de encuestados consideraba amenazas de terceros —como riesgos de supply chain o socios— una preocupación mayor, mientras el 44% las veía como preocupación menor. Notablemente, ransomware (70%) y ataques dirigidos (68%) podrían lanzarse vía brecha de supply chain.

En la misma encuesta, el 28% de encuestados sintió que era "muy probable" o "bastante probable" que su ICS sería objetivo. La encuesta Global Connected Industries Cybersecurity Survey 2019 de Irdeto reveló que solo el 17% de dispositivos IoT usados por grandes empresas permanecieron libres de ataques el año pasado.

Para más sobre seguridad IoT, regístrese en nuestro IoT Security Summit este diciembre.

Cómo se comprometen las cadenas de suministro IIoT

A diferencia de disrupciones convencionales de supply chain que detienen producción, las brechas IIoT son encubiertas, a menudo desarrollándose durante semanas o meses. Atacantes típicamente comprometen proveedores tier-2 de industrial IoT, infiltran sus sitios web y reemplazan firmware legítimo con versiones troyanizadas. Administradores de red pueden descargar y desplegar inconscientemente este firmware malicioso, dando a atacantes un punto de apoyo dentro de los firewalls de la planta.

Una vez dentro, atacantes pueden propagar de redes industriales a redes de datos corporativos, creando efecto multiplicador. Dispositivos antiguos —sensores y componentes en lugar por una década o más— representan mayores riesgos por soporte y parcheo desactualizados. Investigación de Finite State citó un componente Huawei que usaba versión OpenSSL 2003, una vulnerabilidad bien documentada.

Backdoors —ya sean puertos de debug intencionales o puntos de acceso API ocultos— también pueden servir como rutas de entrada para actores maliciosos. En muchos casos, fabricantes dejan estos puertos abiertos para ayudar soporte, proporcionando inadvertidamente a atacantes una entrada fácil. Algunos países pueden incluso exportar productos con backdoors intencionales para robar propiedad intelectual.

Investigación de la Tandon School of Engineering de NYU destaca que IoT permanece largamente no regulado en estándares de seguridad. Propietarios de dispositivos tienen poco control sobre supply chains upstream, y muchos proveedores no revelan sus prácticas de ciberseguridad.

Objetivos de actores maliciosos

Ataques a menudo buscan ransomware, que puede detener producción hasta pagar rescate. Disrupciones a líneas de producción —mediante datos de sensores alterados o configuraciones de máquina inseguras— pueden llevar a productos defectuosos y riesgos de seguridad. Un reporte de marzo 2020 OT Security Best Practices advirtió que tales brechas amenazan seguridad humana, medio ambiente y economías nacionales.

Sectores de alto perfil —energía, redes eléctricas, oil & gas, y cada vez más salud en medio de la pandemia— son objetivos principales. Wyckhouse de Finite State nota auge de ransomware en hospitales, mientras Byres de Adolus identifica sector médico como nuevo entorno target-rich.

Más allá de motivos financieros, atacantes pueden buscar propiedad intelectual o usar supply chain como punto de apoyo inicial para infiltrar redes corporativas.

Mitigando debilidades de supply chain IIoT

Defensa efectiva comienza con inventario comprehensivo de todos los dispositivos IIoT. Seguido con evaluación de riesgo de supply chain que identifique riesgos macro —como ransomware y robo de datos— y evalúe vulnerabilidades específicas de cada dispositivo.

Considerar aislar tráfico IIoT vía air-gapping para separar redes OT de IT. Evaluar proveedores en punto de compra; la postura de seguridad del vendedor es más evaluable durante adquisición. Para compras de alto volumen, establecer proceso formal de vetting para asegurar estándares de seguridad consistentes.

Exigir más que una declaración de seguridad —solicitar reportes de seguridad detallados o evaluaciones de terceros. Aprovechar recursos públicos como la Base de Datos Nacional de Vulnerabilidades del National Institute of Standards and Technology (NIST) para cruzar referencias de Common Vulnerabilities and Exposures (CVEs).

Servicios emergentes abordan estos retos. Adolus, nacido de una iniciativa del Department of Homeland Security de EE. UU., ofrece base de datos que rastrea linaje de dispositivos, orígenes de componentes y vulnerabilidades conocidas. Finite State proporciona herramientas de análisis de firmware que detectan riesgos ocultos y reevalúan perfiles de riesgo tras actualizaciones.