Protegir una infraestructura comença per saber què en forma part. Tot i això, mantenir una visió actualitzada dels actius pot resultar especialment complex en xarxes industrials i sistemes SCADA.
PLC, sistemes de control, instrumentació, equipament IoT o dispositius connectats poden conviure en entorns on les comunicacions entre equips són tan rellevants com els mateixos actius.
En aquests casos, un inventari ens pot dir què hauria d'estar connectat. El trànsit de xarxa permet comprovar què està passant realment.
Aquesta és una de les capacitats que aporta SAT-ICS, el sistema d'alerta primerenca del CCN-CERT orientat a la monitorització d'aquest tipus d'entorns. A partir de l'anàlisi passiva del trànsit, el sistema pot identificar els actius implicats en la monitorització i els fluxos de comunicació que mantenen entre ells, amb altres xarxes o Internet.
Del inventari a una visió real de la xarxa
La diferència és important. Saber que un dispositiu determinat no implica conèixer amb qui s'està comunicant, quins protocols utilitza o si el seu comportament ha canviat.
SAT-ICS genera de manera passiva un mapa dels actius de les xarxes monitoritzades i de les seves connexions. L'organisme pot consultar aquesta informació a través del portal SAT, on es representen tant les comunicacions habituals com les anòmales i s'hi incorpora informació addicional obtinguda durant la monitorització.
Aquesta visió pot ser especialment útil durant la investigació d'un incident. Si hi apareix una comunicació inesperada, l'equip disposa de context per comprovar quins actius intervenen, com es relacionen i si aquest comportament encaixa amb el funcionament habitual de la xarxa.
El monitoratge no depèn únicament de regles que identifiquin patrons coneguts. SAT-ICS també incorpora mecanismes de detecció basats en el comportament habitual de la xarxa i capacitats d'inspecció profunda del trànsit de protocols industrials.
Això permet prestar atenció a situacions que potser no responguin a una firma d'atac coneguda, però sí que s'apartin del que s'esperava. Una nova comunicació entre actius, un ús poc habitual de determinats sistemes o una acció potencialment perillosa es poden convertir en senyals que mereixin ser analitzats.
En aquest tipus d'infraestructures, una anomalia pot estar relacionada amb sistemes essencials per a l'activitat de l'organització. Comptar amb informació sobre els actius, les comunicacions i els canvis que es produeixen a la xarxa facilita la identificació de comportaments que s'aparten del que és habitual.
L'àmbit d'aplicació és ampli i abasta infraestructures industrials de diferents sectors, on conèixer quins actius estan connectats i com es relacionen entre si resulta fonamental per millorar-ne la monitorització.
Tenim la visibilitat necessària sobre els nostres actius?
Abans de pensar en noves eines, val la pena comprovar fins a quin punt coneixem realment les xarxes que volem protegir.
Algunes preguntes poden ajudar:
- Disposem d'un inventari actualitzat dels actius que són realment presents a la xarxa?
- Sabem quins dispositius es comuniquen habitualment entre si?
- Coneixem les connexions que mantenen amb altres xarxes o amb Internet?
- Podríem detectar l'aparició d'una comunicació que fins ara no existia?
- Tenim capacitat per identificar comportaments anòmals, encara que no coincideixin amb una signatura d'atac coneguda?
- Podem analitzar els protocols específics utilitzats en els nostres sistemes?
Si alguna d'aquestes preguntes és difícil de respondre, el problema no està únicament en la capacitat per detectar un atac. Hi pot haver una manca de coneixement prèvia sobre l'entorn que s'està intentant protegir.
SAT-ICS aporta precisament aquesta combinació d?inventari, mapa d?actius, anàlisi de comunicacions i detecció d?anomalies. La monitorització es realitza de manera passiva, a partir d'una còpia del trànsit, sense interferir en el procés monitoritzat. La gestió, actualització i manteniment del sistema central correspon al CCN-CERT.
Conèixer millor la xarxa no evita per si mateix un incident, però permet interpretar amb més context allò que se surt del que és habitual. En entorns on la continuïtat i el funcionament correcte dels sistemes resulten especialment importants, disposar d'aquesta informació abans que l'incident avanci pot marcar una diferència important.
