El panorama de amenazas

Seamos directos. Cuando las tensiones geopolíticas aumentan, se enciende un conflicto regional, se imponen sanciones y los canales diplomáticos colapsan, generalmente lo primero que hacen las unidades cibernéticas del estado-nación no es lanzar misiles. Activan silenciosamente implantes preposicionados dentro de las redes de tecnología operacional (OT) de la infraestructura crítica del adversario. Esto es esencialmente la nueva doctrina del gobierno coercitivo.

Los adversarios que nos preocupan no son criminales oportunistas, por ninguna medida de imaginación. Son persistentes, pacientes y orientados a la misión. Tres clústeres de amenaza dominan el panorama de ataques a OT:

APT 44 también conocido como Sandworm (Rusia-GRU Unidad 74455)

Responsables de los ataques a la red eléctrica de Ucrania en 2015 y 2016 y el ataque a la red de Polonia en 20205, este grupo estuvo detrás de los únicos ciberataques confirmados públicamente que causaron apagones generalizados en poblaciones civiles. Desplegaron Industroyer/CRASHOVERRIDE, una plataforma de software malicioso modular que habla nativamente protocolos industriales: IEC 104, IEC 61850, GOOSE y Modbus. En 2022, Industroyer2 apuntó a las subestaciones de alto voltaje de Ucrania, demostrando una inversión continua en cargas útiles nativas de OT, así como un interés continuo en la interrupción activa de la infraestructura crítica ucraniana. Su TTP: Spearphishing en la red IT, pivoteando hacia la DMZ de OT, enumerando el entorno de procesos y posicionándose para la interrupción, generalmente solo se desencadena cuando está políticamente autorizado durante ventanas específicas asociadas a eventos geopolíticos.

Volt Typhoon (China-MSS Afiliado)

Reportado por primera vez en 2023, confirmado de haberse posicionado dentro de la infraestructura crítica de EE. UU. en servicios de agua, energía y comunicaciones. Se sabe que persiste durante años sin activarse la detección. Su enfoque es deliberadamente 'vivir de la tierra' (LotL): utilizando herramientas nativas de OT e IT, evitando malware personalizado, mezclándose con tráfico legítimo de mantenimiento. En la mayoría de los casos, el objetivo no es la interrupción inmediata. Es acceso estratégico. Este grupo espera pacientemente activar cargas útiles si las tensiones China-Taiwán escalan a un conflicto cinético. CISA confirmó en 2024 que Volt Typhoon había mantenido acceso persistente por hasta cinco años en algunos objetivos.

Grupos afiliados al IRGC (Irán)

CyberAv3ngers apuntó a PLCs de Unitronics en sistemas de agua de EE. UU. a fines de 2023. Este grupo es oportunista, ruidoso y está destinado a un efecto psicológico más que a una interrupción física. Sin embargo, los grupos vinculados al IRGC han demostrado capacidades OT más sofisticadas en el Medio Oriente (ataques a Saudi Aramco, infraestructura hídrica israelí). Más detalles sobre estos grupos están disponibles aquí.

La singularidad inherente de los entornos OT

Esto no es un preámbulo retórico. Si vienes de un fondo de seguridad IT y te han pedido que 'extiendas la cobertura de seguridad' al piso de planta, necesitas absorber esto antes de hacer cualquier otra cosa.

La tríada CIA está invertida

En seguridad IT, la Confidencialidad es lo primero. En OT, la Disponibilidad es la prioridad suprema. Un sistema de seguridad instrumentado (SIS) que falla de manera segura debido a un parche de seguridad demasiado entusiasta puede causar una emergencia física. La integridad importa profundamente: los valores de proceso o lógica de escalera corruptos pueden causar la destrucción de equipos o algo peor. La confidencialidad, aunque importante, es la tercera.

Los ciclos de parche se miden en años, no en días

Su PLC Siemens S7 que controla una turbina puede estar ejecutando un firmware de 2009. El proveedor puede haber terminado con el producto. El tiempo de inactividad para el parcheo puede requerir una ventana de mantenimiento planificada con seis meses de anticipación. Esto no es negligencia, es la realidad operativa. Los controles de seguridad deben diseñarse alrededor de esta limitación, no en desafío a ella.

Los protocolos propietarios están en todas partes

Modbus, DNP3, IEC 61850, PROFINET, EtherNet/IP, BACnet, OPC-UA. Estos protocolos fueron diseñados para la fiabilidad y el determinismo, no la seguridad. Muchos carecen completamente de autenticación. La monitorización pasiva sin entender estos protocolos es ciega. Sus herramientas de seguridad deben decodificar las cargas útiles del protocolo industrial, no solo ver los apretones de manos TCP.

El Modelo Purdue tiene implicaciones en el mundo real

La Arquitectura de Referencia Empresarial Purdue (PERA) que cubre el Nivel 0 (dispositivos de campo), el Nivel 1 (PLCs/RTUs), el Nivel 2 (SCADA/DCS), el Nivel 3 (operaciones del sitio) y la DMZ IT/OT define su estrategia de segmentación, sus flujos de datos y sus trayectorias de ataque. Todos los APT que han comprometido con éxito OT lo han hecho atravesando de Nivel 4/5 (TI empresarial) hacia abajo a través de límites de zona inadecuadamente reforzados.

Medidas de defensa de OT

Segmentación de red y aplicación de zonas

El control de mayor impacto único que puede implementar es una segmentación estricta aplicada entre IT y OT. No segmentación lógica. Ejecución física o criptográfica (idealmente ambos).

→    Despliegue una DMZ de OT reforzada entre el Nivel 3 y el Nivel 4. Todos los flujos de datos deben pasar por esta DMZ. No hay rutas directas de IT a OT direccionables.

→    Implemente conjuntos de reglas de firewall estrictas en la DMZ. Denegar por defecto. Listar blancas solo las comunicaciones requeridas específicas del proceso. Los firewalls conscientes del protocolo deben hacer cumplir que el tráfico de Modbus solo lleve códigos de función esperados: bloquear y alertar sobre el código de función no autorizado 5 (Escribir bobina única).

→    Elimine las rutas de acceso remoto que saltan la DMZ. Cada VPN, escritorio remoto o servidor de salto hacia OT debe estar contabilizado, endurecido con MFA y registrado. Elimine cualquier cosa que no esté justificada operativamente.

→    Microsegmentar dentro de las zonas OT donde sea operativamente factible. Una brecha en la red de control de aguas residuales no debe ser alcanzable desde el controlador de dosificación química.

→    Los segmentos deben elaborarse según IEC 62443

Inventario y visibilidad de activos

No puede proteger activos OT en la sombra. En la mayoría de los entornos OT, un inventario de activos preciso y actual es la verdadera brecha, no las herramientas que la siguen.

→    Despliegue el descubrimiento pasivo de activos OT utilizando herramientas como Shieldworkz. La monitorización pasiva lee el tráfico de red existente, no genera tráfico de sondas que podría desestabilizar PLCs.

→    Construya un registro vivo de activos OT que incluya: tipo de activo, proveedor, versión de firmware, protocolos de comunicación, sistemas conectados, ubicación física y clasificación de criticidad. Revíselo trimestralmente como mínimo.

→    Rastrear explícitamente los activos al final de su vida útil (EOL). Estos no pueden ser parcheados y requieren controles compensatorios: aislamiento físico, monitoreo adicional o priorización de reemplazo.

→    Mapear las dependencias de proceso a activos. Comprender con qué PLCs de Nivel 1 se comunica su historiador de Nivel 2 le permite establecer una línea base de 'normalidad', el prerrequisito para la detección de anomalías.

Fortalecimiento del acceso remoto

El acceso remoto a OT, ya sea para mantenimiento de proveedores, ingeniería u operaciones, es el vector de acceso inicial más comúnmente explotado.

→    Requerir MFA en todo acceso remoto sin excepción. Preferiblemente tokens de hardware o autenticación basada en certificados. El OTP por SMS es insuficiente contra actores de estado-nación con capacidades de intercambio de SIM.

→    Implemente estaciones de trabajo de acceso privilegiado (PAWs) para el acceso remoto a OT: máquinas dedicadas, bloqueadas, sin navegación por internet, utilizadas exclusivamente para conexiones OT.

→    Use servidores de salto/anfitriones bastion dentro de la DMZ OT. Todas las sesiones remotas deben terminar en el bastión, no directamente en el dispositivo objetivo. Grabe todas las sesiones para propósitos forenses.

→    Implemente la provisión de acceso 'justo a tiempo' (JIT) para el acceso remoto de proveedores. Las credenciales deben ser limitadas en el tiempo, limitadas al dispositivo específico y revocadas automáticamente al final de la sesión.

→    Revisar y revocar todas las credenciales de acceso remoto inactivas. Los grupos APT a menudo encuentran y reactivan cuentas VPN de proveedores olvidadas establecidas durante la puesta en marcha años antes.

Fortalecimiento de extremos para estaciones de trabajo OT

→    La lista blanca de aplicaciones es el control de extremos más efectivo en entornos OT.  

→    Deshabilitar puertos USB física o mediante políticas en todas las estaciones de trabajo OT. El vector de infección inicial de Stuxnet fue una unidad USB. Esta superficie de ataque sigue siendo subestimada.

→    Retirar la conectividad a internet de estaciones de trabajo de ingeniería OT. La estación de trabajo OT no es para uso general.

Ingeniería segura y gestión de cambios

→    Implementar la verificación de hash en todas las descargas de firmware y lógica de PLC/RTU. Antes de que cualquier estación de trabajo envíe una actualización de lógica a un PLC, verifique el binario contra un hash conocido almacenado en su sistema de gestión de cambios.

→    Hacer cumplir un proceso de gestión de cambios firmado para todos los cambios de configuración de OT. No se permiten cambios no autorizados en puntos de ajuste, lógica de escalera o configuraciones de red fuera de una ventana de cambio aprobada.

→    Mantener copias de seguridad sin conexión y sin conexión a la red de todos los programas de PLC, configuraciones de HMI, bases de datos de historiadores y documentación de topología de red. Almacenar en medios grabables una sola vez en un lugar físicamente seguro.

→    Asegure la cadena de suministro de portátiles de ingeniería. Los ingenieros de proveedores que lleguen a la ubicación no deben conectarse directamente a la red OT: proporcione un host de salto monitoreado por la red dentro de su entorno.

Respuesta a crisis geopolítica: Acciones de fortalecimiento durante tensiones activas

Cuando los indicadores geopolíticos aumentan, ejecute una postura de fortalecimiento predefinida. No espere un indicador técnico específico.

Inmediato (0–48 horas):  Informe al equipo de seguridad de OT y liderazgo. Verifique todos los controles de segmentación IT/OT. Suspenda el acceso remoto no esencial. Rotar todas las credenciales de acceso remoto. Alertar al equipo de monitoreo de OT para aumentar la frecuencia de vigilancia.

Corto plazo (48–168 horas):  Inicie una búsqueda de amenazas en toda la línea base de la red OT. Revise todas las reglas de cortafuegos en la DMZ. Audite todas las sesiones remotas activas y cuentas de usuario. Informe a los equipos de operaciones del sitio sobre IoCs relevantes.

Sostenido (1–4 semanas):  Realice un ejercicio de simulación. Verifique copias de seguridad fuera de línea. Coordine con el ISAC sectorial para compartir inteligencia de amenazas. Informe a la gestión de operaciones de la planta sobre procedimientos operativos manuales seguros en caso de compromiso.

Detección y respuesta

La monitorización pasiva de red es su principal herramienta de detección

Coloque sensores en los puertos SPAN en puntos críticos de red: la DMZ IT/OT, límites de Nivel 2a Nivel 1 y dentro de redes de celdas de proceso críticas. Plataformas como Shieldworkz ingresan tráfico de protocolo industrial y proporcionan un establecimiento de línea base de comportamiento, detección de anomalías de protocolo y coincidencia de TTP de actores de amenaza conocidos.

Cómo se ve el comportamiento APT en redes OT

→    Tráfico de reconocimiento: escaneos ARP, ICMP inusuales o paquetes de enumeración de protocolos desde una estación de trabajo que normalmente solo se comunica con un servidor SCADA.

→    Actividad de protocolo de ingeniería inusual: una solicitud de lectura de Modbus a un PLC desde una IP que nunca se ha comunicado con ella antes. Una transmisión PROFINET DCP identificar-todo emitida desde una fuente inesperada.

→    Sincronización fuera de línea base: un dispositivo que se comunica cada 10 segundos se comunica repentinamente cada 2 segundos: posible indicación de sondeo por un implante.

→    Descargas de lógica no autorizadas: un PLC recibiendo una escritura de configuración fuera de una ventana de mantenimiento programada. Trate esto como un incidente hasta que se pruebe lo contrario.

→    Indicadores de movimiento lateral: intentos de autenticación exitosos desde una estación de trabajo a otros hosts que normalmente no llega. Busque especialmente el movimiento lateral SMB a través de la red OT.

Respuesta a incidentes específica de OT

→    Predefina 'límites de aislamiento' con el liderazgo operativo antes de que ocurra un incidente. ¿Qué sistemas se pueden desconectar? ¿Cuál es la alternativa manual? Documentar esto y ensayarlo.

→    No cuarentenar automáticamente dispositivos OT. Evalúe primero el impacto operativo. En algunos casos, mantener un sistema comprometido pero operativo mientras se despliega monitoreo adicional es la decisión correcta.

→    Preserve evidencia forense sin interrumpir operaciones. Capture imágenes de memoria, capturas de paquetes de red y registros de eventos antes de tomar acción correctiva si es operativamente posible.

→    Involucre a CIRT de CISA de inmediato. Para incidentes a nivel de estado-nación contra infraestructura crítica, hay recursos federales disponibles y la notificación oportuna a menudo es un requisito regulatorio.

Riesgo de la cadena de suministro

Un gran número de incidentes de seguridad de OT involucran un vector de terceros, incluidos proveedores, integradores o proveedores de soporte remoto. Los grupos APT lo saben. En lugar de atacar directamente a una utilidad endurecida, comprometen al proveedor de software SCADA, la empresa de ingeniería o la plataforma de soporte remoto utilizada por su objetivo.

→    Mantenga una lista actual y auditada de todos los proveedores con acceso remoto a sistemas OT. Esta lista debe ser propiedad del equipo de seguridad OT, no de la adquisición. Revísela trimestralmente.

→    Requerir a los proveedores que divulguen su cadena de suministro de software. Los componentes de código abierto en software industrial deben ser rastreados a través de una lista de materiales de software (SBOM).

→    Realizar cuestionarios de seguridad y auditorías periódicas de proveedores críticos de OT, especialmente aquellos con acceso remoto persistente.

→    Monitorear posibles compromisos de sus proveedores. Suscríbase a fuentes de inteligencia de amenazas que rastreen compromisos específicos de proveedores. Si la infraestructura de actualización de su proveedor de software HMI está comprometida, debe saber antes de cargar esa actualización a una planta.

Cumplimiento regulatorio

El cumplimiento no es seguridad, pero los marcos regulatorios proporcionan una línea base útil y una estructura de auditoría. Sepa qué marcos se aplican a su sector y construya su programa de seguridad sobre ellos — no en lugar de una seguridad real, sino junto a ella.

Marcos clave

NERC CIP (Energía): CIP-002 (categorización de activos), CIP-005 (Perímetro de Seguridad Electrónica), CIP-007 (Gestión de Seguridad del Sistema), CIP-010 (Gestión de Configuraciones), CIP-013 (Gestión del Riesgo de la Cadena de Suministro).

NIST SP 800-82 Rev 3 (ICS): Guía de seguridad específica para ICS para todos los sectores. Se alinea con el Marco de Ciberseguridad NIST y proporciona mapas de control adaptados a ICS.

IEC 62443 (Ciberseguridad Industrial): Define niveles de seguridad (SL0–SL4) por zona. 62443-3-3 cubre los requisitos de seguridad del sistema. Reconocido internacionalmente con una trayectoria de certificación de proveedores.

CISA CPGs (Multisectorial): Objetivos de Rendimiento de Ciberseguridad (2022). Guía de Shields Up específica del sector durante condiciones de amenaza elevada. Inteligencia de amenazas operativa gratuita a través del programa de Intercambio Automatizado de Indicadores (AIS).

Acciones de cumplimiento durante una crisis geopolítica

→    Revise su postura de cumplimiento actual NERC CIP o sector-equivalente. Identifique cualquier hallazgo o excepción abierta que podría ser explotada. Cierre o compense antes de una crisis, no durante ella.

→    Suscribirse y consumir activamente Directivas de Emergencia de CISA y avisos de Shields Up. Durante una escalada, trátelos como obligatorios.

→    Documentar sus desviaciones de control con controles compensatorios. Los reguladores entienden que algunos sistemas de OT no pueden ser parcheados. Documentar el riesgo e implementar controles compensatorios de manera proactiva.

→    Coordinar con su ISAC sectorial. El E-ISAC (energía), WaterISAC y equivalentes sectoriales proporcionan inteligencia de amenazas oportuna. Si no es miembro, arregle eso hoy.

 
KPIs para la gestión de la postura de seguridad durante una crisis geopolítica

Los siguientes KPIs están diseñados específicamente para entornos OT bajo condiciones de amenaza elevada. Cada uno es medible, operacionalmente significativo y se mapea a los controles descritos anteriormente. Revise los KPIs con calificación crítica semanalmente durante una crisis geopolítica, todos los KPIs mensualmente en estado estable.

Aquí está la verdad operativa que a menudo se pierde en las páginas brillantes de informes de amenazas y documentos del marco: la brecha entre los controles documentados y los controles implementados es donde los grupos APT residen y prosperan. Los actores del estado-nación con años de acceso preposicionado no irrumpen dramáticamente. Caminan por puertas que nunca se cerraron adecuadamente, lo que podría ser una cuenta de proveedor olvidada, una conexión de historiador no monitoreada, una regla de cortafuegos DMZ añadida durante una emergencia hace tres años y nunca revisada.

Los eventos geopolíticos comprimen su tiempo de respuesta y eliminan la ambigüedad sobre la amenaza y puede usar esa claridad. Cuando las tensiones están elevadas, tiene permiso organizacional para hacer preguntas difíciles, cerrar caminos de acceso que 'siempre se suponía que eran temporales' y priorizar las búsquedas y auditorías que nunca llegaron a la cima del retraso.

Las redes OT que está protegiendo sustentan el mundo físico, es decir, la electricidad en los hogares, agua en las tuberías, combustible en las redes de distribución, aviones en el aire, trenes en las vías. Eso no es una abstracción. Protégelo como si importara. Porque importa.

Lectura adicional, listas de verificación de seguridad OT y rastreadores de KPI

Hable con un experto en seguridad OT de Shieldworkz.

Reserve una demostración sin compromiso.

Lista de verificación de cumplimiento NERC CIP-015-1 y rastreador de KPI
Lista de verificación de protección contra amenazas internas
Orientación para la postura defensiva para empresas de Medio Oriente