A protección dunha infraestrutura comeza por saber que a compón. Non obstante, manter unha visión actualizada dos activos pode ser particularmente complexo en redes industriais e sistemas SCADA.
Os PLC, os sistemas de control, a instrumentación, os equipos de IoT e os dispositivos conectados poden coexistir en entornos onde a comunicación entre os equipos é tan importante como os propios activos.
Nestes casos, un inventario pode indicarnos o que debería estar conectado. O tráfico de rede permítenos verificar o que realmente está a suceder.
Esta é unha das capacidades que proporciona SAT-ICS, o Sistema de Alerta Temperá do CCN-CERT deseñado para monitorizar este tipo de entornos. Mediante a análise pasiva do tráfico, o sistema pode identificar os activos implicados na monitorización e os fluxos de comunicación que manteñen entre si, con outras redes ou con Internet.
Do inventario a unha visión real da rede
A diferenza é importante. Saber que un determinado dispositivo existe non significa saber con quen se está a comunicar, que protocolos usa ou se o seu comportamento cambiou.
SAT-ICS xera pasivamente un mapa dos activos nas redes monitorizadas e as súas conexións. A organización pode consultar esta información a través do portal SAT, onde se mostran tanto as comunicacións normais como as anómalas, e incorpórase información adicional obtida durante a monitorización.
Esta vista pode ser especialmente útil durante unha investigación de incidentes. Se se produce unha comunicación inesperada, o equipo ten contexto para comprobar que activos están implicados, como se relacionan e se ese comportamento encaixa co funcionamento normal da rede.
A monitorización non depende unicamente de regras que identifican patróns coñecidos. SAT-ICS tamén incorpora mecanismos de detección baseados no comportamento típico da rede e capacidades de inspección profunda para o tráfico de protocolos industriais.
Isto permite prestar atención a situacións que poden non corresponder a unha sinatura de ataque coñecida, pero que se desvían do esperado. Unha nova comunicación entre activos, un uso inusual de certos sistemas ou unha acción potencialmente perigosa poden converterse en sinais que merecen unha análise.
Neste tipo de infraestrutura, unha anomalía pode estar relacionada con sistemas esenciais para as operacións da organización. Ter información sobre os activos, as súas comunicacións e os cambios que se producen na rede facilita a identificación de comportamentos inusuales.
O ámbito de aplicación é amplo e abrangue infraestruturas industriais en diversos sectores, onde saber que activos están conectados e como se relacionan entre si é fundamental para mellorar a súa monitorización.
Temos a visibilidade necesaria dos nosos activos?
Antes de considerar novas ferramentas, paga a pena comprobar o ben que coñecemos realmente as redes que queremos protexer.
Algunhas preguntas poden axudar:
- Temos un inventario actualizado dos activos que están realmente presentes na rede?
- Sabemos que dispositivos se comunican regularmente entre si?
- Coñecemos as conexións que manteñen con outras redes ou con Internet?
- Poderiamos detectar a aparición dunha comunicación que non existía antes?
- Temos a capacidade de identificar comportamentos anómalos, mesmo que non coincidan cunha sinatura de ataque coñecida?
- Podemos analizar os protocolos específicos utilizados nos nosos sistemas?
Se algunha destas preguntas é difícil de responder, o problema non está unicamente en a capacidade de detectar un ataque. Pode haber unha falta de coñecemento previo sobre o entorno que se está a protexer.
SAT-ICS proporciona precisamente esa combinación de inventario, mapeo de activos, análise de comunicacións e detección de anomalías. A monitorización realízase de forma pasiva, utilizando unha copia do tráfico, sen interferir co proceso monitorizado. A xestión, actualización e mantemento do sistema central son responsabilidade do CCN-CERT.
Unha mellor comprensión da rede non impide, por si soa, un incidente, pero permite unha interpretación máis contextualizada do que se desvía da norma. En entornos onde a continuidade e o correcto funcionamento dos sistemas son especialmente importantes, ter esta información antes de que un incidente se agrave pode marcar unha diferenza significativa.
