SEGURIDAD EN LOS SISTEMAS SCADA

ALVARO JOSE RUIZ JIMENEZESTUDIANTE DE INGENIERIA ELECTROMECANICACODIGO: 1090491E-mail: alvarojr_est@hotmail.com

U N I V ER S I DA D F R A N C I S C O DE P A U LA S A N TA N DER5

Resumen: En el presente informe se muestra una revisin de las metodologas utilizadas para la implementacin de un sistema de gestin de seguridad de la informacin en un SCADA (Supervisory Control and Data Acquisition). Se enfatizara en el uso de las herramientas Magerit y PILAR, elaboradas por el Consejo Superior de la Administracin Electrnica en Espaa y promovidas por el Centro Criptologico Nacional, de acuerdo a la legislacin de ese pas. Por otro lado, se analizaran tambin la normatividad que promueve la seguridad de la informacin tales como ISO 27001, ISO 27005 y la ISO 31000, las cuales aportan a la identificacin de los riesgos a los cuales estn expuestos los sistemas de control industrial y a la implementacin de estrategias de mitigacin de los mismos. Abstract: This report reviews the methods used to implement a safety management system of information in a SCADA (Supervisory Control and Data Acquisition) is shown. It will emphasize the use of Magerit and PILAR tools, prepared by the Higher Council of eGovernment in Spain and promoted by the National Cryptologic Centre, according to the laws of that country. On the other hand, they also analyzed the regulations that promote information security such as ISO 27001, ISO 27005 y la ISO 31000,, which contribute to the identification of the risks to which they are exposed industrial control systems and implementing strategies to mitigate them.

Palabras Claves: SCADA, Seguridad, riesgos, informacin, gestin, prevencin

1. Introduccin

Anteriormente, la seguridad de los sistemas SCADA (Supervisory Control and Data Acquisition) se realizaba controlando el acceso fsico no autorizado a los dispositivos existentes en los procesos industriales. Hoy en dia, gracias a la convergencia que existe entre las tecnologas de la informacin (IT) con las redes de operacin (OT) estos sistemas ya no estn aislados y no es necesario estar presente de forma fsica para poder hacer dao intencionado en algn proceso industrial, provocando una exposicin a ataques informticos de toda ndole. Debido a las graves consecuencias que pueden tener estos ataques se ha generado todo tipo de investigaciones tendientes a proteger, asegurar y promover conductas de seguridad en la implementacin y mantencin de estos sistemas. Una vulnerabilidad implica que existen puntos dbiles en la infraestructura tecnolgica, segn la seguridad ciberntica. Adelantarse a las acciones maliciosas y realizar una intensiva bsqueda de vulnerabilidades, es una actividad que se puede aplicar como contramedida a estos ataques cibernticos.

2. Que son los sistemas SCADA?

Los sistemas SCADA (Supervisory Control and Data Acquisition) es el conjunto de tecnologas, protocolos y plataformas que manejan informacin acerca de procesos industriales determinados. Estos hacen parte de lo que se denomina, sistemas de control industrial (SCI). Habitualmente, estos sistemas tienen acceso a los procesos de automatizacin y control en cada uno de los niveles de la pirmide CIM, desde la toma de datos en los niveles bajos, tales como presin, temperatura, humedad, pasando por el nivel intermedio donde son capaces de dirigir dispositivos con supervisin remota hasta la parte alta, tomando decisiones como mantener el nivel de un tanque, un rango de presin en una lnea de vapor, etc. Estos sistemas son de gran importancia ya que se destacan entre los activos de informacin crticos, teniendo graves consecuencias sobre la poblacin en caso de una falla. Anteriormente, estos sistemas eran implementados en recintos cerrados, supervisando tareas con dispositivos cercanos, pues la mayor parte solo registraba y controlaba variables fsicas (presin, temperatura, etc). Gracias a esa forma de implementacin, estos sistemas eran inmunes a los ataques que sufren las redes desde el exterior, debido a que estaban desconectados y su acceso era denegado desde las redes administrativas e Internet. Hoy en dia, estos sistemas se interconectan los sistemas de control de un proceso con empresas proveedoras mediante Internet, o realizar tareas sobre dispositivos remotos a travs de la red celular. Debido a todo esto, los sistemas SCADA, son cada vez ms expuestos a ataques cibernticos externos, provocando disfuncionalidad y afectndolos de forma seria.

Figura 1. Sistema SCADA. Fuente: Autor. 3. Riesgos en los sistemas SCADA.Un estudio reciente de la empresa TrendMicro, ha arrojado el porcentaje de ataques contra sistemas de control industrial por pases (Figura 1), lo que incentiva a una real preocupacin por parte de la industria de la seguridad a tomar contramedidas.

Figura 2. Numero de intento de ataques por pas. Fuente: Seguridad en Sistemas SCADA, un acercamiento practico a travs de EH e ISO 27001.

Los sistemas SCADA, nos ofrecen un gran nmero de beneficios, sin embargo, la necesidad de aumentar su conectividad los ha expuesto mayoritariamente a nuevas amenazas como gusanos, troyanos, virus, etc.Si se llegase a explotar en gran manera la vulnerabilidad de los sistemas SCADA, tendramos consecuencias serias tales como: Denegacin del servicio. Perdida de la integridad de datos. Perdida de la confidencialidad de datos. Perdida de reputacin. Impacto en las condiciones de trabajo [1]. Muchas de las compaas que desarrollan software SCADA hacen difcil la instalacin de parches o, en ocasiones ante el temor de que este cdigo adicional afecte el software de operacin, no ofrecen una estrategia de soporte para sistemas parchados. Por lo anterior, y como suele suceder en sistemas legados, se deja toda la estrategia de seguridad a la inclusin defirewallsy dispositivos de deteccin de intrusos que aslen la infraestructura SCADA del resto de la red. Los sistemas SCADA fueron desarrollados pensando en redes que siempre estaran aisladas [2].De acuerdo a esto, las consideraciones econmicas nos llevaron a un entorno donde las redes SCADA no se pueden separar de las redes de TI, y lo nico que se puede hacer es lograr una separaciones de estas redes mediante tecnologas de switcheo y a su vez complementarlas con dispositivos detectores de intrusos.

4. Seguridad en Sistemas SCADA.

La necesidad de un cumplimiento regulatorio ha llevado a las empresas a la implementacin de mejores prcticas de seguridad y administracin de la informacin. Cada organizacin debe evaluar los riesgos para poder incluir los requisitos de seguridad, indicar cuales son los activos de informacin crticos para la continuidad del negocio e identificar de forma detallada las vulnerabilidades existentes en cada activo de informacin.Sea cual sea la norma que se elija existen tres principios fundamentales en todas las normas, guas o estndares: la disponibilidad, integridad y confidencialidad. Estos se conocen como la trada de la seguridad de la informacin. El nivel de seguridad requerido para llevar a cabo estos principios es decisin de cada empresa, debido a que cada una tiene su propia combinacin de objetivos de negocio y de requisitos de seguridad. Todos los controles de seguridad, mecanismos y contramedidas se aplican para proporcionar uno o ms de estos principios, y todos los riesgos, amenazas y vulnerabilidades se miden por su capacidad potencial de comprometer uno o todos los principios de la triada de la seguridad de la informacin [3].

En este trabajo, se har nfasis en las herramientas Margerit y PILAR, utilizadas en Espaa, por el Centro Criptologico Nacional. Estas normas fueron creadas a partir de la Ley 11/2002 del 6 de Mayo, reguladora del centro nacional de Inteligencia.

4.1. Herramienta MAGERIT. Metodologa de Anlisis y Gestin de Riesgos de los sistemas de Informacin.

MAGERIT es la metodologa de anlisis y gestin de riesgos elaborada por el Consejo Superior de Administracin Electrnica y su misin se encamina a la proteccin de la informacin en una organizacin y crear una aproximacin metdica que no deje lugar a la improvisacin, ni dependa de la arbitrariedad de la persona analista.

Figura 3. Logo herramienta Magerit. Fuente: http://administracionelectronica.gob.es/pae_Home/pae_Documentacion/pae_Metodolog/pae_Magerit.html#.VVqUJfl_Oko

MAGERIT persigue los siguientes objetivos:Directos: - Concienciar a los responsables de las organizaciones de informacin de la existencia de riesgos y de la necesidad de gestionarlos- Ofrecer un mtodo sistemtico para analizar los riesgos derivados del uso de tecnologas de la informacin y comunicaciones (TIC).- Ayudar a descubrir y planificar el tratamiento oportuno para mantener los riesgos bajo control. Indirectos: - Preparar a la Organizacin para procesos de evaluacin, auditora, certificacin o acreditacin, segn corresponda en cada caso.

La metodologa Magerit se basa en los siguientes elementos: activos, amenazas, vulnerabilidades, impactos, riesgos y salvaguardas. Segn la metodologa Margerit, hay dos tareas bsicas a realizar, Analisis de riesgos y tratamientos de los riesgos. La primera organiza que tiene la organizacin y estima lo que podra pasar, y la segunda permite organizar la defensa y al tiempo estar preparados para atajar las emergencias, sobrevivir a los incidentes y seguir operando en las mejores condiciones. Ambas actividades, se combinan en un proceso denominado gestin de riesgos. El anlisis de riesgos considera tres elementos bsicos los cuales son: activos, amenazas y salvaguardas. Con estos elementos se puede estimar el impacto, es decir, lo que podra pasar y el riesgo, lo que probablemente pase. Los resultados del anlisis de riesgos permiten a la gestin de riesgos recomendar las medidas apropiadas que deberan adoptarse para conocer, prevenir, impedir, reducir o controlar los riesgos identificados y as reducir al mnimo su potencialidad o sus posibles perjuicios. La gestin de riesgos es mostrada de forma metdica en la figura 3.

Figura 4. Proceso de gestin de riesgos. Fuente: ISO 31000.

La metodologa MAGERIT se estructura de la siguiente forma: El captulo 2 presenta los conceptos informalmente. En particular se enmarcan las actividades de anlisis y tratamiento dentro de un proceso integral de gestin de riesgos. El captulo 3 concreta los pasos y formaliza las actividades de anlisis de los riesgos. El captulo 4 describe opciones y criterios de tratamiento de los riesgos y formaliza las actividades de gestin de riesgos. El captulo 5 se centra en los proyectos de anlisis de riesgos, proyectos en los que nos veremos inmersos para realizar el primer anlisis de riesgos de un sistema y eventualmente cuando hay cambios sustanciales y hay que rehacer el modelo ampliamente. El captulo 6 formaliza las actividades de los planes de seguridad, a veces denominados planes directores o planes estratgicos. El captulo 7 se centra en el desarrollo de sistemas de informacin y cmo el anlisis de riesgos sirve para gestionar la seguridad del producto final desde su concepcin inicial hasta su puesta en produccin, as como a la proteccin del propio proceso de desarrollo. El captulo 8 se anticipa a algunos problemas que aparecen recurrentemente cuando se realizan anlisis de riesgos.

Figura 5. Proceso de gestin de riesgos. Fuente: Magerit.

4.2. Herramienta PILAR.

PILAR conjuga los activos TIC de un sistema con las amenazas posibles, calcula los riesgos y nos permite incorporar salvaguardas para reducir el riesgo a valores residuales aceptables. Esto nos permite fundamentar la confianza en el sistema.Las organizaciones pblicas dependen de forma creciente de las tecnologas de la informacin y comunicaciones (TIC) para la consecucin de sus objetivos de servicio. La razn de ser de PILAR est directamente relacionada con la generalizacin del uso de los medios electrnicos, informticos y telemticos, que supone unos beneficios evidentes para los usuarios; pero tambin da lugar a ciertos riesgos que deben minimizarse con medidas de seguridad que generen confianza en el uso de tales medios. Los objetivos perseguidos por la Herramienta Pilar son:

Realizar el anlisis de riesgos segn la metodologa Magerit e ISO/IEC 27005.

Diseo del plan de mejora de la seguridad.

PILAR consiste en una aplicacin informtica que compila los activos del sistema, sus relaciones de interdependencia y su valor para la organizacin. Conocido el sistema, permite introducir las amenazas posibles en los aspectos de disponibilidad, integridad, confidencialidad, autenticidad y trazabilidad, para derivar los riesgos potenciales sobre el sistema.Una vez conocidos los riesgos, se pueden determinar una serie de salvaguardas y estimar el riesgo residual. En tratamiento del riesgo es un proceso continuo y recurrente en el que el sistema de proteccin se va mejorando regularmente para afrontar nuevos riesgos y aumentar la confianza que el sistema merece para los responsables y los usuarios.

Figura 6. Interfaz grfica de la herramienta PILAR versin 5.3. Fuente: http://www.ar-tools.com/es/index.html

Los resultados que se obtienen con el uso de esta herramienta son los siguientes: Impacto potencial y residual. Riesgo potencial y residual. Mapa de riesgos. Plan de mejora de la seguridad Monitorizacin contina del Estado de Riesgo.

Las ventajas que conlleva la utilizacin de esta herramienta son las siguientes: Conocer los riesgos a fin de poder tratarlos. Conocer el grado de cumplimiento de diferentes perfiles de seguridad: 27002, proteccin de datos de carcter personal, esquema nacional de seguridad, etc. Implementar la metodologa Magerit e ISO/IEC 27005.

4.3. ISO 27001:2005.

La norma ISO 27001:2005[4] define los requisitos para un sistema de gestin de seguridad informacin (SGSI) e ISO 17799 se utiliza para identificar controles de seguridad de la informacin adecuados para el SGSI. La norma ISO 27001:2005 incorpora un resumen de los controles ISO 17799:2005 como apndice. El origen histrico de la familia ISO 27000 fue la BS 7799-1, de los cuales las piezas esenciales fueron tomadas en el desarrollo de ISO/IEC 17799:2005 Information Tecnology: cdigo de prctica para administracin de seguridad de la informacin. Fue desarrollado y publicado por el British Standards Institution (BSI), etiquetado como BS 7799-1:1999. La norma fue publicada en el ao 2000 en su primera edicin, y fue actualizada en junio de 2005.

4.4. ISO 27005.

La norma internacional ISO 27005[5] proporciona directrices para la gestin de riesgos de seguridad de la informacin en una organizacin, apoyando, en particular, los requisitos de un SGSI segn lo establecido en la norma ISO/IEC 27001:2005. Sin embargo, este ltimo estndar internacional no proporciona ninguna metodologa especfica para la gestin de riesgos de seguridad de la informacin. Por este motivo ISO/IEC se enfoca en la gestin de riesgo, dependiendo, por ejemplo, del alcance del SGSI, el contexto de la gestin de riesgo, y por supuesto el sector de la industria en la que se quiere aplicar. Esta norma sin embargo, no excluye que se puedan utilizar otras metodologas existentes para la gestin de riesgos, siempre que estas estn bajo el marco que se describe en ISO 27001:2005 para implementar los requisitos de un SGSI.

4.5. ISO/FDIS 31000.

Esta norma recomienda que las organizaciones desarrollen, implementen y mejoren continuamente un marco de trabajo con el propsito de integrar el proceso de gestin de riesgo en el gobierno corporativo de la organizacin, que incluyen la estrategia y planificacin, gestin, informes, procesos, polticas, valores y cultura[6]. Por lo que establece una serie de principios que deben ser satisfechos para hacer efectiva la gestin de riesgos.

Para mejorar la seguridad en los sistemas ICS y SCADA es necesario aplicar estndares internacionales para mantener una gestin adecuada de los activos de informacin. Al contrastar los riesgos encontrados con los controles propuestos en la norma ISO/IEC 27001:2005[4] se puede mitigar los riesgos aplicando los siguientes controles: o 11.1.1 Poltica de Control de Acceso o 11.2.3 Administracin de Contraseas o 11.3.1 Uso de las contraseas o 10.3.2 Aceptacin de sistemas o 11.4.3 Identificacin de equipos en la red o 11.4.5 Segregacin en la red o 11.4.7 Control de enrutamiento de la red o 12.6.1 Control tcnico de vulnerabilidades o 10.1.2 Control de Cambios o 10.2.3 Administracin de cambios a servicios de terceros o 12.5.1 Procedimientos para el control de cambios.

5. CONCLUSIONES.

La importancia de la seguridad en la informacin que manejan las organizaciones es un tema nuevo para el rea de investigacin en los sistemas de control industrial. Es por ello que se hace necesario conocer el impacto que puede ocasionar un ataque ciberntico y las consecuencias que se pueden derivar de los mismos. - Los sistemas de generacin de energa elctrica masivos, las plantas de aguas residuales y de acueducto a gran escala, deben ser considerados de seguridad nacional. Blindar los sistemas SCADA de estas industrias e infraestructuras traer consigo beneficios importantes para la poblacin en general, ya que una falla en ellos puede acarrear una consecuencia desastrosa.

- Las investigaciones que se pueden desarrollar a futuro, se enfocaran en el desarrollo de nuevas tecnologas, con la finalidad de crear simulaciones y detectar ataques cibernticos en un ambiente real de sistemas SCADA. Modelar estos ataques, para conocer el impacto que puede causar a gran escala.

- Con la implementacin de los sistemas de gestin para la seguridad de la informacin se quiere planificar y manejar de forma eficiente la seguridad de la informacin en sistemas de control industrial, as como adoptar herramientas metodolgicas que facilitan el proceso integral de gestin de riesgos, seguridad de la informacin y concientizacin en seguridad en sistemas de control industrial.

6. BIBLIOGRAFIA.

[1] Seguridad en los sistemas SCADA. Guia de Seguridad de las TIC (CCN STIC 480). 2010.

[2] SAN ROMAN, Esteban. Los sistemas SCADA y su exposicin ante ataques informticos. Revista Magazcitum. 2011.

[3] ANABALON, Juan. Seguridad en sistemas SCADA un acercamiento practico a travs de EH e ISO 27001:2005. Departamento de Ingeniera Informtica. Universidad de Santiago de Chile. Santiago, Chile.

[4] ISO/IEC 27001:2005 Tecnologa de la Informacin - Tcnicas de Seguridad - Sistemas de Gestin de Seguridad de la Informacin - Requerimientos. 15-Oct-2005.

[5] ISO/IEC 27005: Gestin de riesgos de la seguridad de la informacin.

[6] International Organization for Standardization, ISO/FDIS 31000. Risk management Principles and guidelines..

[7] MAGERIT Version 3.0. Metodologa de Anlisis y Gestin de Riesgos de los Sistemas de Informacin. Libro I Mtodo. Secretaria de Estado de Administraciones Pblicas.