CISA comparte consejos sobre el aislamiento de sistemas vitales durante ciberataques
Los gobiernos de Estados Unidos y Australia han publicado nuevas directrices que instan a las organizaciones de infraestructuras críticas a prepararse para aislar sistemas de tecnología operativa (OT) vitales en caso de un ciberataque u otras interrupciones importantes.
La guía, titulada 'CI Fortify – Advice for isolating vital systems', fue desarrollada por la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA), el Centro Australiano de Ciberseguridad (ACSC) de la Dirección de Señales de Australia, el FBI y socios internacionales.
Proporciona recomendaciones para desconectar sistemas críticos de tecnología operativa (OT) y sistemas asociados de redes corporativas, de internet y de otras redes menos confiables, mientras se continúa brindando servicios esenciales durante un período prolongado.
La tecnología operativa incluye el hardware y software utilizados para monitorear o controlar procesos, como equipos de tratamiento de agua, sistemas eléctricos, maquinaria de fabricación, sistemas de transporte e infraestructura de telecomunicaciones.
Las agencias afirman que los actores de amenazas patrocinados por estados atacan rutinariamente infraestructuras críticas con fines de espionaje y para establecer acceso que podría utilizarse posteriormente para ataques disruptivos o destructivos durante una crisis o conflicto militar.
"Los ciberdelincuentes continúan atacando oportunistamente a los operadores de infraestructuras críticas", señala el aviso. "La sensibilidad de los datos almacenados por estas entidades y la importancia de sus servicios los hacen atractivos para los ciberdelincuentes que buscan extorsionar a las víctimas mediante la exfiltración de datos o la realización de ataques de ransomware con fines disruptivos o destructivos".
En febrero de 2024, CISA, el FBI, la NSA y otras agencias de los Cinco Ojos advirtieron que el grupo de hackers chino Volt Typhoon había vulnerado organizaciones en los sectores de comunicaciones, energía, transporte y agua. Los hackers permanecieron sin ser detectados en al menos una red de infraestructura crítica durante cinco años, y funcionarios estadounidenses advirtieron que se estaban posicionando para posibles ataques disruptivos durante una crisis o conflicto futuro.
Los hackers patrocinados por el estado chino rastreados como Salt Typhoon también han vulnerado redes gubernamentales, de telecomunicaciones, transporte, hotelería y militares en todo el mundo desde al menos 2021. El grupo comprometió a importantes proveedores de telecomunicaciones de EE. UU., incluyendo AT&T, Verizon y Lumen, obteniendo acceso a comunicaciones sensibles y a sistemas de escuchas telefónicas de las fuerzas del orden estadounidenses.
La infraestructura hídrica también ha sido atacada repetidamente. En octubre de 2024, American Water, que proporciona servicios de agua y aguas residuales a más de 14 millones de personas, desactivó algunos sistemas tras un ciberataque. Casi al mismo tiempo, una planta de tratamiento de agua en Kansas pasó a operaciones manuales después de que sus sistemas fueran comprometidos.
Las agencias gubernamentales también han advertido que los hacktivistas prorrusos buscaban sistemas OT no seguros utilizados por instalaciones de agua y otras organizaciones de infraestructura crítica para interrumpir operaciones.
La nueva guía CI Fortify tiene como objetivo ayudar a las organizaciones a prepararse antes de que ocurra un incidente de este tipo, en lugar de intentar determinar cómo desconectar los sistemas vitales mientras un ataque ya está en curso.
Aislamiento de sistemas vitales
Las agencias recomiendan que las entidades de infraestructura crítica primero identifiquen los sistemas y redes mínimos necesarios para continuar brindando un servicio crítico. Las organizaciones deben documentar cada conexión entre esos sistemas y las redes corporativas, servicios de acceso remoto, entornos en la nube, infraestructura conectada a internet, proveedores y contratistas, y otros operadores de infraestructura crítica.
También deben determinar dónde se pueden deshabilitar o desconectar físicamente esas conexiones y tener en cuenta los procesos manuales, las fallas de comunicación y la pérdida de recursos o dependencias externas que el aislamiento pueda desencadenar.
Algunos de los términos y procesos que el aviso recomienda que las organizaciones conozcan incluyen:
- Sistemas vitales: Los sistemas OT mínimos y de soporte necesarios para proporcionar un servicio crítico, como controlar la distribución de agua, suministrar electricidad u operar una red de telecomunicaciones.
- Punto de aislamiento: Una ubicación predeterminada donde se puede desconectar la conectividad entre redes o sistemas críticos y no críticos para contener un ataque y evitar el movimiento lateral hacia otros sistemas vitales.
- Aislamiento físico: Desconexión completa de los sistemas vitales de modo que no compartan infraestructura de red o informática con sistemas no críticos. La guía describe esto como la forma más efectiva de protección.
- Aislamiento gradual: Restricción gradual del acceso a medida que aumenta la amenaza, como primero bloquear a trabajadores remotos y proveedores, luego desconectar redes corporativas, sistemas conectados y, finalmente, todas las conexiones externas.
- Controles administrativos de red: Diversos controles administrativos para modificar o gestionar VLAN, listas de control de acceso y enrutamiento. La guía dice que estos pueden ser protecciones temporales útiles, pero que el aislamiento físico debería ser el objetivo final.
- Diodo de datos: Equipo especializado que permite que los datos fluyan en una sola dirección, reduciendo el riesgo de que datos o tráfico malicioso viajen en la dirección opuesta.
- Post-aislamiento: Monitorear tablas de enrutamiento, tráfico de red y sistemas de detección de intrusiones para verificar que los controles de aislamiento sigan siendo efectivos. Los administradores también deben asegurar las zonas de gestión de red utilizadas para administrar enrutadores, firewalls y otra infraestructura de red para que estén aisladas de los atacantes.
Si bien el aislamiento físico brinda la mejor protección, las agencias de ciberseguridad dicen que puede no ser práctico para organizaciones que dependen de servicios conectados a internet, redes de operadores, servicios en la nube o instalaciones geográficamente distribuidas. En esos entornos, se recomienda a los operadores fortalecer los límites de la red OT, utilizar enlaces de comunicación dedicados o cifrados, eliminar dependencias innecesarias de los sistemas corporativos y mantener la capacidad de reconstruir rápidamente los sistemas.
Los planes de aislamiento también deben definir quién puede autorizar cada paso, las condiciones que lo desencadenarían, qué sistemas deben permanecer disponibles y cómo continuarán las operaciones sin conectividad de red normal. Se insta a las organizaciones a probar regularmente el aislamiento completo de sus sistemas vitales, en lugar de probar solo sistemas individuales, porque las pruebas parciales pueden no identificar infraestructura compartida y otras dependencias ocultas que podrían causar problemas cuando se inicie el plan de aislamiento.
La guía también recomienda mantener una copia impresa o fuera de línea segura del plan de aislamiento para que esté disponible en caso de que se interrumpa el acceso a la red corporativa o a los servidores de almacenamiento.
Después de aislar los sistemas, los operadores deben continuar monitoreando el tráfico de red, la información de enrutamiento y los sistemas de gestión para garantizar que las conexiones no autorizadas o accidentales no hayan restaurado el acceso entre redes críticas y no críticas.
Sin embargo, las agencias advierten que el aislamiento también introduce riesgos, incluidos sistemas que se quedan atrás en actualizaciones de seguridad, monitoreo reducido y mayor uso de medios extraíbles para transferir datos entre sistemas. Por lo tanto, las organizaciones deben prepararse no solo para desconectar sistemas vitales, sino también para operar, monitorear y actualizar manualmente hasta que finalmente puedan reconectar los sistemas nuevamente.
