El papel de los cortafuegos en la protección de los sistemas de control industrial (ics)

Tecnología operacional (OT) contra redes de TI

Los entornos de ICS pertenecen a la categoría más amplia de Tecnología Operacional (OT). Mientras que las redes de TI priorizan la confidencialidad y la integridad de los datos, las redes OT priorizan la disponibilidad y seguridad. Una medida de seguridad que reinicia un servidor en un entorno de TI puede ser una molestia; la misma acción en un entorno OT puede detener una reacción química o cerrar una turbina de energía.

Importancia de la Segmentación de Redes

La segmentación de la red es la práctica de dividir una red en segmentos más pequeños y aislados para limitar la propagación de amenazas y el acceso a control entre zonas. En entornos ICS, esta segmentación es crítica. Purdue Enterprise Reference Architecture], a menudo denominados el modelo de propagación del precio, define una estructura jerárquica para las redes ICS, que separan las funciones en los niveles de tráfico físico (procesos)

El paisaje de amenazas cibernéticas que gira en torno al SIG

La percepción de los entornos del ICS como seguros debido al aislamiento o la oscuridad ha sido destrozada por una serie de incidentes de alto perfil y la maduración de agentes de amenazas contra la infraestructura industrial.

Incidentes históricos y lecciones aprendidas

El sistema de eliminación de la red de sistemas de almacenamiento de datos de los sistemas de seguridad de los países [LT] [FLT]], detectado en 2010, fue un momento de eliminación de la seguridad del sistema de sistemas de inteligencia de los Estados Unidos. Demostró que los agentes estatales podrían desarrollar malware específicamente diseñados para comprometer a los PLC y causar destrucción física mientras ocultaban su presencia de los operadores.

Motivaciones de Ataque

Los actores amenazadores que se dirigen a entornos ICS tienen diversas motivaciones. Los adversarios de los estados nacionales buscan interrumpir la infraestructura crítica para la ventaja geopolítica, realizar espionaje en los procesos industriales, o sentar bases para futuros ataques. Los grupos ciberdelincuentes apuntan cada vez más a organizaciones industriales con ransomware, asegurándose de que el alto costo de las horas de inactividad compelerá el pago rápido.

Vectores de ataque comunes para ICS

Los atacantes suelen tener acceso inicial a entornos de ICS a través de servicios de acceso remoto, correos electrónicos de phishing dirigidos a ingenieros y operadores, conexiones de proveedores comprometidas, o explotando vulnerabilidades no parpadeadas en periféricos de red. Una vez dentro, pueden escanear protocolos industriales, intentar manipular la lógica de control o interrumpir la comunicación entre HMIs y PLCs.

Cómo Firewalls Seguro ICS Medios

Firewalls in ICS environments perform the same fundamental functions as in IT networks, but with adapts to account for the unique protocols, performance requirements, and reliability expectations of industrial operations.

Funciones básicas de cortafuegos en el ICS

En su nivel más básico, firewalls inspecciona el tráfico de red y permite o bloquea paquetes basados en un conjunto de reglas de seguridad. En entornos ICS, firewalls se utilizan para controlar el tráfico entre diferentes zonas de seguridad, como entre la red corporativa de TI y la red de control, o entre diferentes celdas dentro de un piso de planta. Ellos hacen cumplir el principio de mínimo privilegio, asegurando que sólo el tráfico autorizado con direcciones de origen y destino específicas y puertos de servicio.

Tipos de cortafuegos Despliegados en redes ICS

Interruptores de red

Los firewalls de red tradicionales operan en las capas 3 y 4 del modelo OSI, filtrando el tráfico basado en direcciones IP, protocolos y números de puerto. En entornos ICS, estos firewalls se despliegan normalmente en el perímetro entre las redes OT y IT, así como entre las zonas OT internas. Son confiables, bien entendidos, y pueden manejar el alto rendimiento requerido en algunos contextos industriales.

Firewalls basado en la máquina

Los firewalls basados en host son controles basados en software instalados directamente en estaciones de trabajo de ingeniería, HMIs, servidores y en algunos casos, en PLCs o RTUs que soportan tales características. Proporcionan control granular sobre qué procesos y servicios pueden comunicarse con puntos de final específicos. Mientras que los firewalls basados en host añaden defensa en profundidad, deben configurarse cuidadosamente para evitar interferir con lógica de control crítico o tiempo.

Proxigenación de cortafuegos (NGFW)

Los cortafuegos de nueva generación extienden las capacidades tradicionales de cortafuegos con inspección profunda de paquetes, sistemas de prevención de intrusiones (IPS), conciencia de aplicaciones y capacidad para entender y validar protocolos industriales. Un NGFW puede inspeccionar Modbus o DNP3 tráfico en la capa de aplicación, verificando que los códigos de función y las direcciones de registro están dentro de los rangos esperados.

Firewalls y el modelo de púduo

Una estrategia de seguridad ICS bien diseñada utiliza cortafuegos en múltiples niveles del modelo Purdue. En el límite entre el nivel 4 (informática IT) y el nivel 3 (operaciones del sitio), un firewall aplica controles estrictos de acceso y normalmente permite sólo un tráfico específico, bien definido como la replicación de datos historiadores o la programación de entradas.

Mejores prácticas para implementar cortafuegos en el ICS

La instalación de cortafuegos en un entorno de ICS requiere una planificación cuidadosa, la colaboración entre equipos de TI y OT, y la adhesión a normas y marcos reconocidos.

Establecimiento de zonas y conductos

La serie de normas IEC 62443, desarrollada específicamente para las redes de comunicación industrial y seguridad ICS, define los conceptos de zonas y conductos. Una zona es una agrupación de activos que comparten requisitos de seguridad comunes basados en la crítica, el riesgo y la función. Un conducto es una vía de comunicación entre las zonas.

Configuración y gestión de reglas de cortafuegos

Las reglas de cortafuegos en entornos de ICS deben ser tan específicas y restrictivas como sea posible. Las reglas deben especificar direcciones de origen y destino IP, protocolos, números de puerto y, cuando sea posible, parámetros de nivel de aplicación. El principio de la negación por defecto debe aplicarse: todo el tráfico está bloqueado a menos que se permita explícitamente. Este enfoque, aunque a veces se reta a implementar en entornos complejos, obliga a los propietarios de activos a documentar y justificar cada ruta de comunicación permitida.

Supervisión y registro continuos

Un firewall es sólo eficaz si sus registros son monitorizados activamente. En entornos ICS, los registros de firewall deben ser centralizados y analizados para indicadores de compromiso, intentos de acceso no autorizados y violaciones de políticas. Los sistemas de información de seguridad y gestión de eventos (SIEM) pueden correlacionar eventos de firewall con otros datos de seguridad como alertas de banda IDS, registros de autenticación excesivos e información de estado de dispositivo.

Actualizaciones regulares y gestión de parches

El firmware y el software de cortafuegos deben mantenerse al día para protegerse contra vulnerabilidades conocidas. Muchos firewalls son en sí mismos sistemas integrados que requieren parche periódico. En entornos OT, la gestión de parches es a menudo complicada por la necesidad de programar tiempo de inactividad y validar que las actualizaciones no rompen la compatibilidad con aplicaciones industriales.

Desafíos y consideraciones para el despliegue de cortafuegos en el ICS

Si bien los cortafuegos son esenciales, la aplicación de los mismos en entornos de la ICS presenta desafíos únicos que deben abordarse para evitar perturbaciones operacionales.

Equilibración de la seguridad con disponibilidad operacional

La máxima prioridad en cualquier entorno ICS es mantener operaciones seguras y fiables. Los controles de seguridad que introducen latencia, dejan el tráfico legítimo o requieren reinicios frecuentes son inaceptables. Los cortafuegos deben configurarse para manejar los requisitos de rendimiento y latencia de los protocolos industriales. La inspección del paquete profundo, mientras que valiosa, puede introducir demoras si no es de tamaño adecuado para la red.

Gestión de sistemas de Legacy

Muchos entornos de ICS incluyen sistemas heredados que ejecutan sistemas operativos obsoletos y utilizan protocolos patentados. Estos sistemas pueden no soportar características de seguridad modernas y pueden ser difíciles de integrar con firewall sin romper funcionalidad. En algunos casos, los protocolos heredados utilizan puertos no estándar o asignaciones de puertos dinámicas que no son susceptibles a las reglas tradicionales de firewall.

Complejidad y escalabilidad

A medida que las redes industriales crecen y se interconectan más, aumenta la complejidad de gestionar las reglas de cortafuegos. Las grandes instalaciones pueden tener cientos de cortafuegos y miles de reglas. Mantener las reglas precisas y actualizadas requiere documentación disciplinada y herramientas automatizadas. Las herramientas de análisis de reglas de cortafuegos pueden identificar reglas redundantes, conflictivas o excesivamente permisivas.

Integrar los cortafuegos en una estrategia integral de seguridad del SII

Los cortafuegos son un componente crítico de la seguridad del ICS, pero no son una bala de plata. Deben ser parte de una estrategia más amplia de defensa en profundidad que aborda a las personas, procesos y tecnología.

Defensa en Depth

Un enfoque de defensa en profundidad es capas múltiples controles de seguridad para que si un control falla, otros continúan protegiendo el sistema. Además de los cortafuegos, los programas de seguridad del ICS deben incluir segmentación de red, sistemas de detección de intrusiones, seguridad de punto final (donde está soportado), soluciones de acceso remoto seguras, autenticación multifactor, evaluaciones de vulnerabilidad regulares y pruebas de penetración, y planes de respuesta integral a incidentes.

Cumplimiento de las normas

Muchas industrias que utilizan el ICS están sujetas a requisitos regulatorios y normas que ordenan controles específicos de seguridad. Las normas Corporación Norteamericana de Confiabilidad Eléctrica Protección de Infraestructura Crítica (NERC CIP) requieren controles de seguridad perímetro para sistemas de energía a granel. El estándar DIC 62443

El papel de otras tecnologías de seguridad

Los sistemas de detección de intrusiones (IDS) y los sistemas de prevención de intrusiones (IPS) pueden monitorear el tráfico de patrones maliciosos y bloquear ataques que desvían las reglas de cortafuegos. Las herramientas de análisis de tráfico de redes pueden establecer bases de comportamiento normal y detectar anomalías que pueden indicar compromiso.

Conclusión

Los firewall son un control de seguridad fundamental e indispensable para proteger los sistemas de control industrial de las amenazas cibernéticas. Mediante el segmentado de redes, el control de tráfico entre zonas y la visibilidad en comunicaciones industriales, los firewall reducen la superficie de ataque y limitan el impacto potencial de las infracciones. La evolución de la tecnología de firewall, en particular el desarrollo de firewalls de Next-Generation con capacidades de inspección de protocolo industrial, los