La infraestructura industrial es objetivo directo de los ciberatacantes
- Seguridad
En 2015 S2 Grupo puso en marcha un Honeypot para atraer ciberamenazas orientadas a infraestructuras críticas e instalaciones industriales, que en sólo dos años recibió cerca de 6.000 ataques. La inmensa mayoría de los ataques registrados se deben a herramientas automatizadas y en torno a unos 100 eran dirigidos.
La supervivencia de las sociedades modernas depende en gran medida de la continuidad de sus infraestructuras, especialmente de las consideradas críticas, como el transporte, las comunicaciones, la energía, etc. Su correcto funcionamiento va ligado a la integridad de los sistemas que los controlan, los cuales están cada vez más expuestos a ciberataques por su integración con los sistemas TIC.
Para comprobar hasta que punto las infraestructuras críticas e instalaciones industriales pueden verse amenazadas por ciberataques y tomar medidas para evitarlos, S2 Grupo ha llevado a cabo un proyecto de investigación llamado ‘iHoney’ consistente en la puesta en marcha de un Honeypot, una maqueta de infraestructura considerada crítica y conectada a Internet de la misma manera que lo hace cualquier otra industria, de manera que, a ojos de cualquier ciberatacante, es un objetivo más. Pues bien, en sólo dos años, este recibió más de 5.500 ataques de diversa intensidad, que, en caso de haber alcanzado una infraestructura crítica real, podrían haber causado consecuencias altamente dañinas. De esos ataques, unos 100 eran dirigidos, con el objetivo de tomar el control del sistema, lo que representaría un gran impacto.
La mayor parte de los ataques registrados provenían de herramientas automatizadas. Se ha comprobado que estos sistemas están expuestos prácticamente a los mismos tipos de ataques que podría sufrir cualquier sistema TI con conexión a Internet. Prueba de ello es que el servidor SCADA empleado fue cifrado por el ransomware Cryptolocker a los pocos días de su puesta en marcha, y también se detectó una subida de archivos en el FTP infectados con un malware de minería de bitcoins.
Por otra parte, el 24% de los ataques procedían de la misma IP. En este sentido, muchas IP son identificadas como maliciosas y figuran en una blacklist, lo cual puede deberse a los ampliamente extendidos que están los servicios web y la amplia variedad de vulnerabilidades que pueden afectarlos. Esto es un factor fundamental a tener en cuenta, debido a la tendencia de los fabricantes de dispositivos conectados a incluir servidores web para configurar los dispositivos, los cuales no suelen utilizarse, dejando a los sistemas expuestos a un vector de ataque del que no se tiene conciencia. Con la irrupción del nuevo paradigma de la industria 4.0, las barreras entre los sistemas industriales y los sistemas de TI se acabarán difuminando, y no tendrá sentido diferenciar las amenazas que afectan a cada entorno.
Finalmente, se ha comprobado que al prescindir el factor humano se reciben los ataques, pero las consecuencias se minimizan, al no activarse parte del malware que precisa la intervención de un usuario desprevenido para iniciar su actividad.
"La tipología y el volumen de ataques indican que el objetivo de los cibercriminales es ganar dinero o hacer daño", señala José Rosell, socio director de S2 Grupo. "Sólo uno de esos ataques puede dejar sin agua potable a una población antera. Hay que empezar a diseñar sistemas defensivos sin hacer actividad intrusiva en los sistemas de control industrial".
