Los sistemas responsables de controlar y supervisar la mayor parte de nuestras infraestructuras nacionales —los servicios de los que depende nuestra sociedad— se conocen como sistemas de supervisión, control y adquisición de datos (SCADA).
Los ciberdelincuentes tienen cada vez más como objetivo estos sistemas, de los que dependen infraestructuras como las centrales eléctricas, la distribución de agua, las carreteras y el transporte público. No hace falta decir que cualquier interrupción de estos sistemas podría, en el mejor de los casos, provocar desastres financieros y, en el peor, la pérdida de vidas.
Ante unos ciberataques cada vez más frecuentes y sofisticados, los gobiernos y el sector privado deben encontrar formas cada vez más innovadoras de protegerse. Estas son las armas del futuro. Habrá guerras futuras basadas en esto: no hace falta atacar las fuerzas armadas de un país cuando se puede atacarlo económicamente. Si se detiene el sistema eléctrico de Nueva York, Nueva York se derrumbará.
En el pasado, SCADA y, por consiguiente, los sistemas que supervisaban y controlaban estaban algo protegidos porque dependían de tecnologías propietarias, poco conocidas en el sector de TI. Al tratarse de un sector muy cerrado, apenas se difundía información fuera de la comunidad SCADA. Hoy, los sistemas SCADA han evolucionado: han pasado de ser soluciones propietarias autónomas y redes cerradas a sistemas informáticos distribuidos a gran escala que operan en redes abiertas como internet. Además, el hardware y el software que utilizan los sistemas SCADA se basan ahora, en la mayoría de los casos, en soluciones COTS (productos comerciales disponibles en el mercado).
Aunque estos cambios han aumentado la eficiencia y sofisticación de los servicios prestados, también han incrementado su vulnerabilidad ante ataques maliciosos y sofisticados. La infraestructura de software y hardware propietaria y cerrada de antaño es ahora vulnerable a ataques procedentes de redes externas (internet) e internas de las empresas. Los ataques que afectan a estos sistemas son los mismos que llevan años afectando a los sistemas convencionales, como virus, troyanos y gusanos. Además, los protocolos de red utilizados por los sistemas SCADA no se diseñaron teniendo en cuenta los requisitos de seguridad. Por ejemplo, la mayoría de los protocolos no admite ningún tipo de cifrado.
Durante los últimos años, el sector de la seguridad informática ha impulsado la adaptación de sus herramientas y técnicas de seguridad para abordar los problemas de seguridad de los sistemas SCADA. Esto se refleja en el número de conferencias dedicadas a estos sistemas o que incluyen sesiones sobre ellos.
Al mismo tiempo, el gobierno de Estados Unidos, junto con el sector industrial, ha establecido un conjunto de normas y reglamentos para proteger los sistemas SCADA. Esas iniciativas van por buen camino para probablemente alcanzar el nivel de seguridad que se aplica actualmente a los sistemas empresariales y los ordenadores personales. Sin embargo, como todos sabemos, esto no es suficiente; de lo contrario, no existirían ataques maliciosos exitosos contra sistemas informáticos.
Se acabó la seguridad basada en la oscuridad
Durante muchos años, el sector de la seguridad ha intentado mejorar y corregir la seguridad de los sistemas informáticos. La seguridad ha mejorado enormemente en la última década, pero estamos muy lejos de contar con sistemas totalmente seguros. Las declaraciones de personas del sector de la seguridad corroboran esta opinión. Recientemente, el director de tecnología de una empresa de seguridad escribió sobre por qué las empresas antivirus no detectaron virus como Stuxnet y Flame, gusanos creados para atacar sistemas SCADA. Reconoció que los productos antivirus destinados a los consumidores habituales no protegen frente a adversarios con amplios recursos. Esto significa varias cosas. Primero, el uso de hardware y software COTS en sistemas críticos puede ser una pésima idea. Segundo, las empresas antivirus nunca alcanzarán el nivel de sofisticación de un adversario con amplios recursos.
Dado el creciente conocimiento de los aspectos internos de los sistemas SCADA, el lema «seguridad basada en la oscuridad», que antes se enarbolaba con orgullo, ya no es aplicable. Una búsqueda de la palabra clave «SCADA» en la Base de datos de vulnerabilidades de código abierto (OSVDB), una iniciativa que cataloga vulnerabilidades informáticas, arroja más de 300 resultados (vulnerabilidades).
Convivir con los ataques maliciosos
Los sistemas de seguridad basados en la prevención y la interdicción no ofrecen el nivel de seguridad deseado y no bastan para los sistemas SCADA, que tienen requisitos distintos de los sistemas corporativos generales. Los sistemas SCADA están ampliamente distribuidos, dependen de múltiples tecnologías, cuentan con recursos limitados, combinan operaciones en tiempo real y operaciones que no lo son y, lo que es más importante, tienen necesidades distintas en cuanto a disponibilidad, fiabilidad y seguridad, entre otros aspectos.
En lugar de intentar lograr un sistema libre de ataques, el enfoque se está desplazando hacia la provisión de un nivel aceptable de servicios incluso cuando se producen ataques maliciosos. Varios investigadores del Grupo de Ciberespacio y Seguridad de RMIT están abordando estos problemas, entre otras cosas mediante el desarrollo de nuevos modelos para mejorar la disponibilidad de los servicios incluso si se producen ciberataques (mediante la replicación de servicios esenciales). También trabajan en la detección de ataques en tiempo real (mediante nuevos algoritmos de agrupamiento para resumir datos y detectar comportamientos anómalos). El futuro consiste en hacer que los sistemas sean lo bastante robustos para resistir y seguir funcionando durante un ataque.
Este artículo se publicó originalmente en The Conversation. Lea el artículo original. La publicación no implica que el Foro Económico Mundial respalde estas opiniones.
Para mantenerse al día sobre la Agenda, suscríbase a nuestro boletín semanal.
Autor: Zahir Tari es profesor de sistemas distribuidos en la Escuela de Informática y TI de RMIT University. Carlos Queiroz es doctorando en RMIT University.
Imagen: En esta ilustración, se sostiene una lupa delante de la pantalla de un ordenador. REUTERS/Pawel Kopczynski.
