Particularidades de los entornos SCADA

A nada que uno empiece a indagar un poco en las problemáticas de seguridad de los sistemas de control industrial (ej. sistemas SCADA) no tardará demasiado en tropezar con algún artículo en el que se haga mención a la imposibilidad de aplicar a este tipo de entonos las medidas tradicionales de seguridad del mundo TIC, al menos no de una manera fácil y directa. Hay varias causas que contribuyen a este hecho y que trataré de desmenuzar en esta entrada.

Primeramente hay que tener claro que en sus or ígenes un sistema de control lo conformaban un conjunto de dispositivos basados en hardware y software propietario, interconectado por protocolos de comunicaciones, también propietarios, y radicalmente distintos del modelo TCP/IP. Además estos sistemas se encontraban físicamente aislados del resto del mundo y su objetivo fundamental era maximizar el rendimiento, la robustez y la disponibilidad del sistema, dejando de lado aspectos relacionados con la seguridad lógica. Sin embargo sí que se mantenían, y se siguen manteniendo, férreos controles de seguridad fí sic a, como el control de accesos a áreas restringidas. En la actualidad, en aras de lograr una reducción de costes en la producción y por ende un incremento en los beneficios, las empresas que utilizan sistemas de telecontrol han comenzado a introducir la tecnología TCP/IP, a estandarizar los protocolos de control, a adoptar sistemas operativos estándar como Windows y Linux y, f inalmente, a interconectar estas redes con la red empresarial o corporativa así como con Inter net. Por lo tanto nos encontramos con un entorno híbrido en el que se entremezclan tecnologías que son viejas conocidas en el mundo TIC con las más propias del mundo del control industrial. Así, amenazas como el malware y los hackers se encuentran con la posibilidad de actuar de manera remota, y con herramientas y técnicas tradicionales. Para evitarlo, lo inmediato sería introducir las tecnologías de seguridad propias de los entornos TIC: firewalls, IDS, antivirus, UTM, etc. No obstante, existen ciertos condicionantes que se derivan de la propia naturaleza y operación de los entornos de control, que hacen que sean necesario una adaptación de estas tecn ologías o incluso la creación de nuevas soluciones.

Uno de los aspectos que más condicionan la aplicabilidad de las soluciones de seguridad tradicionales en los entornos de control industrial, es la necesidad de garantizar respuestas a tiempo y en el instante preciso. Por ejemplo, si se produce una reducción no controlada de la producción de electricidad de un generador principal será vital que el generador secundario compense esa reducción justo en el instante preciso y así evitar una inestabilidad en la red. Esto se traduce en que las órdenes de control que gestionan este proceso deben llegar a tiempo y en el instante preciso a los sistemas pertinentes. Por lo tanto, ni el retardo excesivo en la respuesta ni su variabilidad (jitter) son aceptables. Así, el uso de un firewall, cuyo rendimiento varía mucho según la carga de trabajo, introduciría un jitter en la red que podría hacer fracasar al sistema de control ante un intento de ataque de denegación de servicio. Igualmente, si introdujéramos un antivirus, un escaneo intensivo podría sobrecargar la CPU introduciendo en consecuencia un retardo en las operaciones de control.

Otro condicionante importante es la necesidad de funcionamiento 24x7 de estos sistemas. La necesidad de alta disponibilidad de estos dispositivos hace que sea imposible realizar operaciones tan habituales en el mundo TIC como pueden ser un reinicio del sistema posteriormente a haberlo actualizado. En estos casos la redundancia suele ser una solución interesante, aunque costosa.

Por otro lado, cualquier herramienta de seguridad que se quisiera utilizar para hacer una auditoría, requeriría un testeo previo en un entorno réplica del de producción para garantizar que no se vayan a producir consecuencias inesperadas. Hay que tener en cuenta que gran parte del SW en los entornos de control están programados para que funcionen bajo condiciones normales de operación y no lo están para resolver las situaciones ilógicas a las que pueden presentarles los escáneres de vulnerabilidades. Esto mismo podría aplicarse a los parches de seguridad que distribuyen los fabricantes.

En estos sistemas, el uso de una política estricta de contraseñas carece de sentido porque la capacidad de reacción de una persona ante un incidente tiene que ser máxima. A Grosso modo esto viene a decir que no podemos permitirnos que el ingeniero que está de guardia no recuerde la contraseña de la consola de gestión porque tiene 20 caracteres de longitud cuando un reactor nuclear está a punto de reventar.

Como ya hemos dicho, en los actuales sistemas de control nos podemos encontrar que se entremezclan sistemas antiguos con sistemas más modernos. Estos sistemas más antiguos suelen estar limitados tanto en recursos HW (CPU, memoria, etc.) como por su difícil programación. Estas restricciones a nivel de recursos hacen que en muchos casos no podamos introducir un módulo de cifrado de comunicaciones, o instalar un sistema antivirus.

Igualmente, decir que existe una miríada de sistemas operativos más o menos conocidos así como multitud de aplicaciones, todos ellos formando parte de un mismo sistema. Gestionarlos de manera centralizada (mantenimiento, actualizaciones, etc.) resulta prácticamente imposible lo que hace mucho más compleja la tarea de los técnicos y responsables de seguridad.

Y para terminar no hay que olvidar que muchas de las tecnologías de seguridad no entienden los protocolos de control. Esto supone que hasta que no se añadan extensiones a los mismos, su utilidad se ve muy reducida. Piénsese por ejemplo en los IDS o FW de alto nivel.

Aunque existen algunos otros condicionantes, los expuestos son los más importantes y quizás, los más difíciles de superar. No obstante poco a poco la tecnología evoluciona lográndose adaptaciones más o menos exitosas así como ingeniando nuevas soluciones que recogen algunas de las exigencias anteriores.

Elyoenai Egozcue
S21sec Labs

Fuente: http://blog.s21sec.com/2008/08/particularidades-de-los-entornos-scada.html

Suscríbete a nuestro Boletín