La transformación digital expone a las centrales eléctricas a ciberataques: Lo que necesita saber

La transformación digital de la tecnología operacional (OT) para monitorizar y controlar procesos físicos ha introducido nuevos puntos ciegos y magnificado otros, haciendo que los sistemas de control industrial (ICS) sean susceptibles a ataques de estados-nación.

Ya hemos visto ataques terroristas que priorizan vulnerar una central eléctrica sobre atacar un área densamente poblada con armamento militar. Considere el ataque a la red eléctrica en diciembre de 2015 que mantuvo a más de 230.000 personas a oscuras en el oeste de Ucrania durante más de seis horas. El país culpó a Rusia. Doce meses después, el sistema eléctrico fue objetivo de nuevo, esta vez afectando gran parte de la capital, Kiev. Un distribuidor de energía en Puerto Rico sufrió un ciberataque de denegación de servicio en junio, causando apagones para cientos de miles de residentes, antes de que un incendio arrasara la subestación.

No es descabellado pensar que un ataque de estado-nación podría apuntar a causar un apagón de semanas en una gran ciudad como Nueva York. De hecho, los expertos creen que algo en ese ámbito es probable que ocurra.

Un informe del Instituto Ponemon patrocinado por Siemens encontró que el 56% de los profesionales de seguridad OT encuestados reportaron al menos un ataque que involucró pérdida de información privada o una interrupción en su entorno OT en los últimos 12 meses.

¿Cómo se han vuelto tan populares este tipo de ataques? ¿Y qué se necesita hacer para fomentar un entorno OT más seguro?

La Cuarta Revolución Industrial

Las utilities se están modernizando, buscando ganancias en eficiencia y productividad. Lograr esos objetivos significa digitalizar y automatizar muchos procesos que antes se hacían internamente y manualmente. Esa transición ocurre tan rápido que la seguridad es una idea tardía.

La rápida revisión digital de procesos industriales, ampliamente conocida como la Cuarta Revolución Industrial, está poniendo más sistemas y procesos en línea. Esto crea inherentemente más puntos de entrada potenciales para actores de amenaza, y con tantas industrias haciéndolo a la vez, hay mayor oportunidad para un ataque más consequencial.

En décadas anteriores, los centros de datos y mainframes que ejecutan componentes ICS estaban "air-gapped", lo que significaba que los sistemas TI estaban en una red local, pero no conectados a internet. Muchas instalaciones pensaron erróneamente que eso hacía sus sistemas seguros de ataque, pero seguían siendo vulnerables a ataques on-premise como un ataque "bash bunny" que podría comprometer un sistema con un virus a través de un dispositivo USB.

Este fue el caso en Irán cuando la central nuclear de Bushehr fue atacada usando el gusano Stuxnet. Introducido en la red vía una memoria USB, Stuxnet se extendió para infectar otros activos en la red, como las centrifugadoras usadas para enriquecer gas de uranio.

A medida que más utilities y instalaciones OT corren para poner sus sistemas en línea, no han asignado recursos adecuados para la seguridad como uno de los pasos en el proceso. Cuantos más equipos heredados se conectan, y dispositivos de internet de las cosas (IoT) se añaden, mayor es la superficie de ataque para actores de amenaza potenciales.

Los actores de amenaza están evolucionando

Magnificando el problema de la seguridad laxa están las formas cada vez más creativas y sofisticadas en que los actores de amenaza explotan organizaciones. De hecho, no siempre son ellos los que infiltran la red.

Según el estudio del Instituto Ponemon, las amenazas internas representan la mayoría de los ataques OT. Uno de los más notables fue en 1999 en lo que entonces era el Shire de Maroochy en Australia. Un trabajador descontento que gestionaba las tuberías de alcantarillado dimitió, y poco después explotó el sistema a través de una copia pirateada del software del sistema de control.

Las amenazas internas no siempre son empleados maliciosos; usuarios negligentes a menudo caen en ataques de phishing, usan contraseñas débiles y hacen clic en enlaces que dan acceso a hackers. Otro vector común es un tercero o contratista que abre una puerta a la red y lleva a la explotación. En el ataque a la cadena de suministro de Kaseya, la banda de ransomware REvil obtuvo acceso a cientos de empresas a través de una actualización de software. Los terceros generalmente no son seguros, y las empresas no deberían asumir que lo son.

Gartner ha sido optimista sobre seguridad OT y ha sonado la alarma de que las organizaciones industriales luchan por definir marcos de control apropiados. Gartner también dice que para 2025, los atacantes "habrán armado entornos OT para dañar o matar humanos con éxito".

Demasiadas empresas están tan arraigadas en sus procesos de las últimas décadas que no ven estos hacks, brechas y ataques de titulares como amenazas para sí mismas. No quieren arreglar lo que, en sus mentes, no está roto. De hecho, ni siquiera ven el potencial de que se rompa hasta que se rompe.

Un nuevo enfoque para asegurar OT

Las empresas necesitan visibilidad adecuada en sus redes y una comprensión integral hasta el nivel de activo individual, incluyendo cómo esos recursos y usuarios se conectan entre sí y las redes en su conjunto. A menudo, quienes finalmente profundizan en los detalles de sus redes encontrarán activos fantasma de los que no eran conscientes. Esos son problemas de seguridad que necesitas detectar antes de que sean explotados.

El primer paso que las empresas pueden tomar para protegerse mejor es simplemente educar a los empleados sobre higiene de seguridad adecuada con formación integral de seguridad. Demasiado a menudo, las empresas que ponen el foco en seguridad lo hacen de forma desordenada, con una presentación rápida y sin seguimiento con los empleados sobre la importancia de lo que acaban de aprender.

La máxima prioridad siempre será la efectividad y funcionalidad de las máquinas OT, pero si están bajo ataque, ¿de qué sirven? Educar a los empleados sobre qué buscar y lo común que se han vuelto los ataques podría ayudar mucho.

Un empleado observador evitó un desastre en marzo de 2021, cuando el sistema de agua en Oldsmar, Florida fue hackeado y el nivel de hidróxido de sodio aumentó por un actor de amenaza a un nivel peligroso. Por suerte, un ingeniero estaba al tanto, notó el cambio y reconoció rápidamente que era un ataque y no meramente un mal funcionamiento.

En octubre, estaciones en todo Irán fueron forzadas a cerrar. El país dijo que un ciberataque fue el culpable, y apuntó a tarjetas electrónicas emitidas por el gobierno que subvencionan precios de combustible para iraníes.

Para proteger contra ataques como estos, las empresas necesitan visibilidad total en sus redes, permitiéndoles ver todos los activos conectados y vulnerables. Pero ese es solo el primer paso. Hay herramientas integrales de seguridad OT disponibles que proporcionan alertas en maquinaria ICS no solo por acciones de seguridad, sino también banderas rojas de productividad. Los controles de seguridad adecuados ofrecerán visibilidad y capacidades de respuesta para la red OT sin afectar las operaciones diarias ni hacer cambios sustanciales en la red.

Las tecnologías pasivas pueden monitorizar actividad sin afectar redes OT sensibles de ninguna manera, a diferencia de plataformas disruptivas "en línea". La plataforma pasiva adecuada podrá atender altos rendimientos y asegurar tasas mínimas de falsos positivos.

Utilizar nuevas herramientas puede ser desalentador para ejecutivos de OT de carrera que son reacios a cambiar procesos probados, pero es mejor estar preparados que vivir con miedo a un ataque potencial que cause daño generalizado tanto a la empresa como a sus consumidores.

Elad Ben-Meir es CEO de SCADAfence.