Control de Instalaciones- Seguridad Empresarial

Las Empresas Modernas y la Seguridad Informática:

Control de Instalaciones.

Enrique Daltabuit

Noviembre 2007



Incidentes


• En la primavera de 1997 un adolescente en Worcester, Massachusetts, deshabilito remotamente parte del sistema telefónico paralizando al cuerpo de bomberos, el aeropuerto local y a muchos residentes.


• En la primavera de 2000 un empleado que había sido despedido penetro una red de control de aguas negras en Maroochy Shire en Australia y descargo 264,000 galones de aguas negras en ríos cercanos.

• En agosto de 2003 un gusano infecto el sistema de control de la planta nuclear Davis-Besse en Ohio, y se propago a cinco plantas mas.

• Quizás el apagón de 2003 que afecto a 50 millones de personas en el noreste de EE.UU. y partes de Canadá, y forzó a cerrar 13 aeropuertos fue debido a un ataque. (Cyber Security Industry Alliance(1-1-2007))


• En esta imagen que fue tomada de un video del Departamento de Seguridad de la Patria (Homeland Security Department) se muestra el resultado de una demostración llevada a cabo en marzo de 2007 por el Laboratorio Nacional de Idaho mediante un ataque a una red de control de infraestructura eléctrica. (Clayton, M, (2007))

A mediados del siglo pasado los sistemas críticos se operaban manualmente aunque su supervisión estaba automatizada. A finales de ese siglo los sistemas críticos se operaban y se supervisaban mediante sistemas computarizados que estaban aislados. Pero actualmente la mayor parte emplean conexiones basadas en los protocolos TCP/IP y forman parte de las redes institucionales (corporativas, institucionales o gubernamentales). Muchos de estos sistemas están completamente automatizados, pues las reacciones de los supervisores y operadores humanos son demasiado lentas, y los sistemas son sumamente complicados.

Automatización

El manejo de la infraestructura critica (Scada- supervisory control and data acquisition), como

• la transmisión y distribución de electricidad,
• la presión y flujo adecuado en ductos,
• el tratamiento y distribución de agua y aguas residuales,
• el manejo de sistemas de transporte

requiere de herramientas computarizadas de monitoreo que permiten administrarla y controlarla en tiempo real. Estas herramientas recolectan, despliegan y almacenan información proveniente de transductores y sensores remotos para apoyar el control de dispositivos. Incluyen el equipo y los programas, la interfaz para usuarios. El control puede ser automático o manual. La función genérica es transferir eficientemente la información garantizando al mismo tiempo su integridad y su actualización en tiempo real.


La adquisición de datos que permitan tomar decisiones de control se lleva a cabo mediante: (Ian Wiese,(a),(9-3-1997))

Un sistema central maestro
Una red de comunicaciones
Unidades de telemetría remota (RTU- remote telemetry unit)
Instrumentación de campo.

La instrumentación de campo consta de sensores que miden las variables relevantes. Las unidades de telemetría remota reciben secuencialmente las medidas de los sensores, y transmiten los datos al sistema central maestro a través de la red de telecomunicaciones. Ian Wiese,(b),(9-3-1997)

Frecuentemente se emplean en su lugar controladores lógicos programables, que son pequeñas computadoras industriales con sistema operativo en tiempo real que reemplazaron a la lógica de relevadores (o relés). Con dispositivos de entrada y salida similares a los de una RTU ejecutan un programa que analiza las entradas secuencialmente y toma acciones basadas en estas entradas.

Hasta hace podo tiempo estos sistemas se usaban en forma reactiva para localizar fallas, almacenar datos operativos y llevar bitácoras de eventos para su análisis posterior. Las demandas de eficiencia han obligado a rediseñar los sistemas de control para darles funciones de administración que sirven para prevenir problemas, en lugar de solo detectarlos y registrarlos. Esto llevo a arquitecturas de seguridad deficientes pues solo se tomaron en cuenta criterios de productividad, confiabilidad y eficiencia operativa.

Vulnerabilidad

Los servidores centrales de los sistemas de supervisión y control son blancos apetitosos para los terroristas y los criminales. Tienen las vulnerabilidades de los sistemas comerciales ordinarios. Los sistemas de control, como todas las redes informáticas, son vulnerables a intrusiones, perdida de datos y alteración de datos. Hay cuatro categorías de amenazas:

Código Malicioso
Ataques internos
Ataques externos
Terrorismo empresarial o militar

La mayor parte de las empresas tienen dificultades para implantar medidas de seguridad, tales como cortafuegos o sistemas antivirus, porque se requieren recursos computacionales que están dedicados principalmente a la operación y que al compartirse podrían interferir o degradar las aplicaciones en tiempo real existentes. Es necesario crear en cada empresa (o sector) un sistema de administración de la seguridad cibernética (CSMS – cyber security managment sistem) que tome en cuenta los sistemas de manufactura, control, tecnologías de la información y comunicaciones y la cadena de valor. (Chemical Sector Cyber Security Program,(2006))

Seguridad

Es recomendable adoptar el siguiente enfoque:




PLANEAR

• Importancia
• Alcance
• Políticas
• Identificación de riesgos
• Administración de riesgos
• Aplicabilidad
• Continuidad de actividades



REALIZAR

• Seguridad de la organización
• Seguridad del personal
• Seguridad Física y Ambiental
• Administración de riesgos y su implantación
• Planeación de incidentes y su manejo
• Comunicaciones
• Operaciones
• Administración de cambios
• Control de acceso
• Administración de información y documentación
• Adquisición o desarrollo y mantenimiento de sistemas
• Capacitación y Concientización


VERIFICAR

• Cumplimiento
• Monitoreo y revisión del sistema de administración Seguridad cibernética

ACTUAR

• Mantener el sistema
• Implantar las mejoras.

Tecnología

Las tecnologías para proteger los activos de control son: (ISA SP-99,(2005))

• Autenticación y autorización
• Filtros, bloqueos y control de acceso
• Criptografía
• Auditoria, medición, monitoreo y detección
• Programas de cómputo específicos
• Controles de seguridad física.

Antes de adoptar estas tecnologías hay que (AGA 12 Task Group(14-3-2006) )

• Entender las amenazas a las comunicaciones que se usan para el control
• Desarrollo e implantación de políticas de seguridad informática
• Programas amplios de pruebas de equipos
• Métodos y problemas de la modernización de equipos existentes
• Instalación y vigilancia de redes de telecomunicaciones
• Instalación y vigilancia de los sistemas que usan dichas redes
• Criptografía incrustada en los equipos
• Administración de claves
• Protección de datos almacenados


Un buen mecanismo para evitar la intrusión a los sistemas de control de infraestructura es colocar todos los dispositivos en una red local virtual. (Baek, K. H. Bratus S. Sinclair S. Smith S. W.,(2007)). También se debe adoptar un sistema de control de acceso que use autenticación de dos etapas, el acceso remoto debe permitirse solamente a través de enlaces privador virtuales (redes privadas virtuales), hay que evitar el uso de redes inalámbricas y tratar de usar diversos sistemas operativos. ( Fernandez, J. D and Fernandez, A. E. (2005))


Referencias

AGA 12 Task Group (2006) ,Cryptographic Protection of SCADA Communications Part 1: Background, Policies and Test Plan, American Gas Association, http://www.aga.org/NR/rdonlyres/B797B50B-616B-46A4-9E0F-5DC877563A0F/0/0603AGAREPORT12.PDF

Baek, K. H. Bratus S. Sinclair S. Smith S. W.,(2007), Dumbots: Unexpected Botnets through Networked Embedded Devices,,Dartmouth College Computer Science, Technical Report TR2007-591 www.ists.dartmouth.edu/library/342.pdf

Chemical Sector Cyber Security Program, (2006),Guidance for Addressing Cyber Security in the Chemical Industry,American Chemistry Council's http://www.chemicalcybersecurity.com/cybersecurity_tools/ProgramCyberSecurityGuidanceFINAL.pdf

Clayton, M, (2007) New U.S. tack to defend power grid, The Christian Science Monitor http://www.csmonitor.com/2007/1030/p01s06-usgn.html

Cyber Security Industry Alliance(1-1-2007),SCADA: Get the Facts https://www.csialliance.org/issues/scada/

Fernandez, J. D and Fernandez, A. E.(2005),Scada Systems: Vulnerabilities And Remediation,,Journal of Computing Sciences in Colleges,20, http://delivery.acm.org/10.1145/1050000/1047872/p160-fernandez.pdf?key1=1047872&key2=0688763911&coll=GUIDE&dl=GUIDE&CFID=40869740&CFTOKEN=64783980

ISA SP-99(2005) Guide to the ISA-99 Standards Manufacturing and Control Systems Security, Instrumentation Society of America, www.isa.org/link/Guideto99

Wiese, I., (1997) Components of SCADA systems, Tek Soft Consulting, http://members.iinet.net.au/~ianw/primer.html

Wiese, I. 1997), SCADA RTU's, Tek Soft Consulting, http://members.iinet.com.au/~ianw/rtu.html