Zero Trust en redes administrativas ya es un tema del que conversamos bastante. Ahora, como si de un boss final se tratase, intentemos que los principios de Zero Trust y una red industrial coexistan.
La CISA acaba de publicar un documento en el que desglosa cómo adaptar Zero Trust a ambientes industriales, estructurándolo en sus 5 pilares clave:
- Identidad
- Dispositivos
- Redes
- Aplicaciones y Cargas de Trabajo
- Datos
Existe un reto importante en las redes industriales: no se trata de bloquear un ataque per se, sino de evitar que un control de seguridad detenga la producción. Este equilibrio es el punto clave donde debemos movernos.
Revisemos algunos controles de seguridad necesarios para nuestra arquitectura Zero Trust para OT:
Un control de seguridad que se repite transversalmente entre la arquitectura recomendada por CISA, el modelo “clásico” Purdue y la ISA/IEC 62443 es la microsegmentación. Establecer microzonas para reducir la superficie de ataque a su mínima expresión es, en principio, la mejor decisión de diseño que podemos tomar. Microsegmentar la red industrial también se relaciona directamente con el principio de menor privilegio.
El resumen de este concepto a 40.000 pies de altura sería: que un HMI se conecte solo con los controladores que realmente necesita tocar.
El nivel de microsegmentación es directamente proporcional a la madurez de ciberseguridad de la red industrial. Podemos hablar de segmentar zonas y conductos, procesos o subprocesos industriales.
El firewalling es el método que mejor encaja con una microsegmentación bien diseñada. Auditar y controlar el tráfico entre diferentes zonas con funciones conocidas como DPI, IPS y protección antimalware es un excelente punto de partida.
Otro control en el top 3 de Zero Trust para OT es el control de acceso a la red (NAC). Un puerto de acceso expuesto debe ser tratado con el mismo rigor con el que tratamos una dirección IP pública en Internet dentro de una red administrativa.
Si volvemos al equilibrio del que hablamos antes, debemos movernos en un rango entre la visibilidad pasiva, la visibilidad activa y el bloqueo proactivo de los puertos de acceso.
Lo que tenemos a nuestro favor es que las redes industriales no son tan dinámicas en cuanto a la conexión y desconexión de endpoints como una red administrativa. En OT no conectamos y desconectamos “cosas” tan a menudo.
Mientras más visibilidad y controles podamos aplicar a las capas de acceso de nuestra red industrial, más cerca estaremos de una arquitectura Zero Trust.
Cuando nos alejamos solo un poco de la red industrial hacia el acceso remoto, nos encontramos con la que suele ser la puerta trasera más vulnerable en entornos industriales. El mantenimiento y el soporte remoto son vectores de ataque cada vez más explotados.
Debemos tener en cuenta la estrategia reciente de atacar la cadena de suministro como pivote para acceder a los objetivos finales, aprovechando las relaciones de confianza implícitas.
La gestión de privilegios y la administración de identidades son parte indispensable de nuestra estrategia. Aquí nos adentramos directamente en dos de los pilares de la CISA: Identidad, dispositivos y redes.
Para esto se utilizan herramientas ya conocidas en redes administrativas: Privileged Access Management (PAM) e Identity and Access Management (IAM). Estas nos permiten gestionar identidades, solicitar autenticación multifactor (MFA), disponibilizar accesos según la postura de ciberseguridad y aplicar el control que considero más importante: trazabilidad e información forense para auditoría.
Un control más moderno que abordaré a futuro es SASE para OT.
Por supuesto, no estoy abarcando todos los pilares de Zero Trust del documento de la CISA; me quedo con la parte más práctica y técnica.
Algo implícito en cada uno de los puntos anteriores es la visibilidad e inventario del tráfico y dispositivos. Este control es y debe ser el punto de partida de toda nuestra estrategia.
La siguiente frase puede sonar a cliché, pero sigue siendo universalmente válida: La visibilidad de lo que pasa en la red OT es el primer requisito; no se puede proteger lo que no se ve.
Si llegaron hasta aquí, se habrán dado cuenta de que Zero Trust en entornos industriales no es un producto que se pueda comprar, sino un modelo conceptual de arquitectura. Un viaje y no una tarea. Un proceso y no un hito.
Este es un artículo original del blog. Si les sirvió o les gustó, les agradezco que lo compartan.
Abrazo.
Deja una respuesta
Lo siento, debes estar conectado para publicar un comentario.