Cuando aparece una vulnerabilidad en un equipo industrial, la respuesta no siempre puede ser actualizarlo inmediatamente. En muchos entornos OT, la alternativa pasa por conocer cómo está conectado el activo y limitar las comunicaciones y accesos que realmente necesita para funcionar.
El problema de las redes industriales que han crecido sin una segmentación clara
Una instalación industrial puede empezar con una arquitectura de red relativamente sencilla y crecer durante años mediante ampliaciones, nuevas máquinas, puestos de supervisión, sistemas de mantenimiento, acceso remoto y equipos conectados a la red corporativa.
El resultado puede ser una red en la que diferentes equipos y zonas de producción mantienen comunicaciones que fueron necesarias en algún momento, pero cuya función ya no está documentada o ni siquiera es necesaria para el funcionamiento actual de la planta.
Cuando es necesario modificar la instalación, revisar una incidencia de seguridad o incorporar un nuevo activo, hay que analizar manualmente qué dispositivos pueden comunicarse entre sí, qué puertos y protocolos están abiertos y qué accesos deben mantenerse disponibles.
Una red industrial no es necesariamente más segura por tener más dispositivos conectados y protegidos. La arquitectura debe permitir controlar quién puede comunicarse con quién.
Segmentar la red para controlar las comunicaciones
La segmentación divide la red industrial en diferentes zonas y permite controlar las comunicaciones entre ellas. No todos los equipos necesitan acceder a todos los sistemas de la instalación.
Una célula de producción puede necesitar comunicarse con su sistema de supervisión, con determinados equipos de control o con un servidor concreto. Eso no significa que deba poder acceder libremente al resto de activos presentes en la red OT.
Mediante switches gestionables, routers industriales y firewalls es posible definir y supervisar la arquitectura de comunicaciones, separar diferentes zonas y establecer qué conexiones están autorizadas entre ellas.
Un PLC puede seguir funcionando durante décadas. Su nivel de exposición puede cambiar.
Un PLC puede llevar 20 o 25 años funcionando en planta sin un solo fallo relevante. El hardware sigue cumpliendo correctamente su función y puede formar parte de un proceso cuya sustitución resulta compleja o requiere una parada de producción.
Sin embargo, el entorno en el que trabaja puede haber cambiado por completo.
La incorporación de nuevas conexiones Ethernet, sistemas de supervisión, acceso remoto, dispositivos IIoT o enlaces con otros sistemas puede modificar la superficie de exposición de un activo sin necesidad de realizar ningún cambio sobre el propio PLC.
El equipo puede seguir siendo estable desde el punto de vista operativo, mientras que su exposición dentro de la red es muy diferente a la que tenía cuando fue instalado.
El riesgo no depende únicamente de la antigüedad del activo. También depende de cómo está conectado y qué sistemas puede alcanzar.
Cuando aparece una vulnerabilidad, actualizar no siempre es posible
La gestión de vulnerabilidades en un entorno OT tiene condicionantes diferentes a los de una infraestructura IT convencional.
Una actualización de firmware puede requerir una parada programada, pruebas de compatibilidad con el resto del sistema o una intervención física sobre un equipo situado en producción. En determinados casos, la actualización inmediata no es técnicamente viable.
Esto no significa que la vulnerabilidad deba ignorarse. Significa que es necesario analizar el contexto en el que se encuentra el activo y aplicar medidas que reduzcan su exposición mientras se determina la actuación más adecuada.
Una de esas medidas es limitar las comunicaciones que pueden llegar al equipo y controlar qué conexiones puede establecer hacia otros sistemas de la instalación.
Firewalls industriales: controlar el tráfico entre zonas
Un firewall industrial permite establecer reglas sobre el tráfico que puede circular entre diferentes zonas de la red. Estas reglas pueden utilizarse para autorizar únicamente las comunicaciones necesarias para el proceso y bloquear aquellas que no estén justificadas.
Por ejemplo, una máquina puede requerir comunicación con un servidor de supervisión mediante un protocolo concreto, pero no necesita acceso general a todos los dispositivos conectados a la red de producción.
Definir estas relaciones permite reducir las comunicaciones innecesarias y limitar las posibilidades de propagación de un incidente entre diferentes zonas de la instalación.
La segmentación no elimina una vulnerabilidad existente en un equipo, pero puede reducir las vías disponibles para alcanzar ese activo o utilizarlo como punto de acceso hacia otros sistemas.
La segmentación no corrige el software vulnerable. Su función es reducir la exposición y limitar el alcance que podría tener un incidente.
La importancia de conocer las comunicaciones reales de la planta
Para diseñar una arquitectura de red segura no basta con elaborar un inventario de equipos. Es necesario entender las comunicaciones que necesita realmente el proceso.
Esto implica identificar qué sistemas deben intercambiar información, qué protocolos utilizan, qué servicios necesitan estar disponibles y qué conexiones pueden eliminarse sin afectar a la operación.
En una instalación industrial pueden coexistir redes de control, células de producción, sistemas de supervisión, ordenadores industriales, dispositivos de acceso remoto y conexiones con sistemas de nivel superior. No todos requieren el mismo nivel de acceso ni deben tener las mismas posibilidades de comunicación.
La infraestructura de red debe adaptarse a esa arquitectura, utilizando los mecanismos de segmentación, filtrado y control adecuados para cada aplicación.
El acceso remoto también forma parte de la arquitectura de seguridad
La conectividad remota permite realizar tareas de mantenimiento, diagnóstico y soporte sin necesidad de desplazarse a la planta. Sin embargo, cada acceso externo debe formar parte de la estrategia de seguridad de la instalación.
No se trata únicamente de permitir o bloquear el acceso. También es necesario controlar quién puede conectarse, a qué equipos puede acceder y durante qué condiciones o periodos se mantiene disponible esa conexión.
Las soluciones de acceso remoto seguro permiten integrar estas conexiones dentro de la arquitectura OT, evitando que una necesidad de mantenimiento se convierta en una vía de acceso permanente y sin control hacia la red industrial.
Ante una vulnerabilidad, la pregunta no es solo qué equipo está afectado
Cuando se identifica una vulnerabilidad en un equipo industrial, conocer el modelo afectado es solo el primer paso.
También hay que analizar dónde se encuentra ese activo dentro de la arquitectura, qué comunicaciones tiene permitidas, qué otros sistemas puede alcanzar y qué barreras existen entre las diferentes zonas de la red.
Dos equipos con la misma vulnerabilidad pueden representar riesgos muy diferentes dependiendo de cómo estén conectados y protegidos dentro de la planta.
¿Sabes qué equipos pueden comunicarse entre sí dentro de tu red industrial?
En Dtisa te ayudamos a diseñar y suministrar soluciones para redes industriales, desde infraestructura de comunicación y equipos gestionables hasta segmentación, protección de comunicaciones y acceso remoto seguro.