CIBERSEGURIDAD PARA SISTEMAS DE CONTROL INDUSTRIAL
Existen diferencias importantes entre el funcionamiento de los sistemas de control industrial (ICS) en comparación con los sistemas de tecnología de la información (IT).
Los ICS han sido diseñados para ser eficientes para la transmisión de datos a alta velocidad y para procesos deterministas, pero no para la seguridad. La disponibilidad es de suma importancia cuando se trata de ICS, en comparación con los sistemas de TI, que priorizan la seguridad y la confidencialidad por encima de todo, con menos énfasis en el determinismo. Además, mientras que un Análisis de Riesgo para TI consideraría el impacto en la posible pérdida de datos o falla en las operaciones comerciales, los Sistemas de Control Industrial consideran primero el riesgo de vida, equipo o pérdida de producto.
A continuación se encuentran nuestras recomendaciones que los usuarios finales y los propietarios de activos deben aplicar al seleccionar e implementar una solución de acceso remoto sólida, escalable y segura.
1. Hacer cumplir el control de identificación y autenticación
PROPORCIONE UNA IDENTIFICACIÓN Y AUTENTICACIÓN ÚNICAS POR USUARIO
Cada usuario debe tener una identificación y autenticación únicas. En caso de que sea necesario revocar el acceso de un usuario (por ejemplo, por abandonar la empresa), debería ser posible hacerlo directamente en la cuenta.
CAMBIE LA CONTRASEÑA PREDETERMINADA CUANDO CONFIGURE EL DISPOSITIVO POR PRIMERA VEZ
Las contraseñas predeterminadas son bien conocidas por la comunidad de automatización industrial, se pueden encontrar fácilmente en Internet o en cualquier manual de instrucciones. No olvide cambiar la contraseña del dispositivo / aplicación cuando la configure por primera vez.
UTILICE LA AUTENTICACIÓN MULTIFACTOR SIEMPRE QUE SEA POSIBLE
La autenticación multifactor debe considerarse entre las mejores prácticas en acceso remoto a máquinas industriales, ya que proporciona una capa adicional de seguridad.
2. Permitir controles de acceso y gestión de conexiones
DEFINIR DIFERENTES DERECHOS POR CADA USUARIO
Una gestión centralizada de los derechos de acceso a las máquinas a nivel de servidor ofrece una capa de seguridad adicional para la gestión de permisos del usuario. Cada usuario debe pertenecer a un grupo que haya asignado roles (permisos) para acceder a cada uno de los routers o grupos de ellos.
El sistema proporcionará la capacidad de soportar la gestión de todas las cuentas por parte de usuarios autorizados, incluyendo agregar, activar, modificar, deshabilitar y eliminar cuentas.
LAS CONEXIONES Y LOS CAMBIOS DEBEN PODER AUDITARSE
El sistema debe ser capaz de registrar eventos en el control de acceso, errores, sistema operativo, sistema de control, respaldo y restauración, cambios de configuración, posible actividad de reconocimiento y registro de auditoría. Los registros de auditoría individuales deben incluir la marca de tiempo, la fuente, la categoría, el tipo, el ID del evento y el resultado del evento.
PERMISO/ FINALIZACIÓN DE LA SESIÓN REMOTA
Los proveedores generalmente requerirán acceso remoto por dos razones: soporte operativo de emergencia y mantenimiento del sistema. El mantenimiento del sistema normalmente se puede programar y se pueden establecer y monitorizar protocolos para conexiones de acceso remoto.
Por lo tanto, para proporcionar seguridad y control adicionales, la VPN y / o el acceso a Internet deben habilitarse / deshabilitarse mediante una señal mecánica, como un interruptor de llave. Esto permite que el propietario del activo desactive la conectividad remota del proveedor hasta que sea necesario. Una vez que se completan las tareas, el propietario del activo puede deshabilitar la conectividad remota del proveedor una vez más.
3. Todas las conexiones deben ser confidenciales y encriptadas
EL SOPORTE DE VPN ES UNA MEJOR PRÁCTICA
El personal de soporte remoto que se conecta a través de Internet debe usar un protocolo encriptado, como ejecutar un cliente de conexión VPN, un servidor de aplicaciones o un acceso HTTP seguro, y autenticarse utilizando un mecanismo fuerte, como un esquema de autenticación multifactor basado en token.
4. Diseñe una arquitectura de acceso remoto adecuada dentro de sus instalaciones
LOS PROVEEDORES DE MÁQUINAS DEBEN TENER ACCESO SOLO A SU MÁQUINA, NO A LA RED DE LA PLANTA
El vendedor de máquinas solo debe comunicarse con las máquinas bajo su responsabilidad de soporte y mantenimiento en la planta. Por lo tanto, el sistema debe ser configurable para segregar el segmento o zona de red de la máquina del resto de la red.
EVITE USAR UN DISPOSITIVO DE CONTROL (HMI, PC, PLC ...) COMO HOST VPN PARA CONECTIVIDAD REMOTA
El uso de cualquier equipo que sea parte del control de la máquina (como una PC, HMI o un PLC) como un host VPN podría reducir sus recursos y, por lo tanto, su rendimiento para su tarea principal, que es el control en sí. Para garantizar la disponibilidad del sistema de control, también debe proporcionar la capacidad de operar en modo degradado durante un evento DoS (Denegación de Servicios).
Por lo tanto, un router externo actuará como un dispositivo de protección de límites para filtrar ciertos tipos de paquetes para proteger los sistemas de control de ser directamente afectados por eventos DoS, evitando así cualquier ataque externo que afecte directamente el sistema de control y pare la máquina.
PERMITIR SOLO CONEXIONES SALIENTES DE ZONAS CONFIABLES A ZONAS NO CONFIABLES
No se deben abrir ni exponer a Internet puertos de firewall entrantes y no se requieren direcciones IP estáticas de Internet.
El router industrial debe iniciar una conexión punto a punto segura del túnel VPN saliente con una cuenta específica en la nube. Este túnel está autenticado y encriptado con HTTP, y pasa a través de la red corporativa y a través del firewall (solo saliente).
5. Elija una solución mantenible con vistas al futuro
MANTÉNGASE ACTUALIZADO CON LA ÚLTIMA VERSIÓN DE FIRMWARE Y ACTUALIZACIONES DE PARCHES DE SEGURIDAD
De acuerdo con las recomendaciones del fabricante del dispositivo. Además, el ICS-CERT (Sistema de control cibernético de sistemas de control industrial) puede notificarle sobre las vulnerabilidades que se encuentran en los equipos de automatización industrial y también recibir recomendaciones sobre los parches necesarios.
Los sistemas incluidos en una solución de acceso remoto (router y servicios en la nube) no siempre son críticos y la mayoría de las veces están desconectados. Por lo tanto, no es necesario seguir políticas específicas para la actualización del sistema que no sean las recomendadas por el fabricante. El propietario del activo debe estandarizar y mantener cómo y cuándo recibir el último parche de seguridad.
ALTA DISPONIBILIDAD DEL SERVICIO DE ACCESO REMOTO
Siempre que se necesite soporte de acceso remoto para soporte operativo de emergencia, el servicio remoto se vuelve crítico para la disponibilidad de la máquina. Por lo tanto, el proveedor de servicios del acceso debe garantizar un servicio de alta disponibilidad del servicio en la nube con un SLA (Acuerdo de Nivel de Servicio) y este SLA debe ser reforzado por varias acciones y objetivos de control.
Estas son solo algunas de nuestras recomendaciones para todas las empresas que buscan estandarizar una solución de conectividad remota.