Los equipos de ciberseguridad no carecen de datos sobre amenazas: cada día se divulgan nuevas vulnerabilidades, se descubren malware, se analizan campañas de ataque y fabricantes, CERT y agencias de seguridad publican indicadores de compromiso (IoC), avisos de seguridad y otra información técnica. Sin embargo, para los operadores de infraestructuras críticas, recopilar esta información no es ni siquiera la parte más difícil.
Los equipos de seguridad aún deben determinar si una amenaza es relevante para su entorno, qué activos pueden verse afectados y qué significa realmente la actividad observada en el contexto de una red operativa. En el sector energético, esto requiere un conocimiento que va más allá de la seguridad empresarial e incluye los protocolos, equipos y procesos que mantienen en funcionamiento los sistemas de energía.
Un paquete sospechoso en una red de oficinas es una cosa. Comprender si la comunicación entre una estación de trabajo de ingeniería y un dispositivo de protección que utiliza IEC 61850 representa una actividad de mantenimiento esperada, un error de configuración o un comportamiento potencialmente malicioso es otra muy distinta.
Aquí es donde la inteligencia de amenazas específica para OT resulta valiosa: conecta el conocimiento cibernético actual con los protocolos, activos, fabricantes y procesos operativos presentes en las infraestructuras críticas.
El problema de la inteligencia de amenazas OT no es la falta de datos
Los equipos de seguridad ya tienen acceso a una cantidad enorme de información. Cada día se publican nuevas vulnerabilidades, los fabricantes emiten avisos de seguridad, los CERT y las autoridades advierten sobre campañas activas, y los investigadores identifican malware, técnicas de ataque, IoC y vulnerabilidades que podrían estar siendo explotadas.
El desafío es convertir ese flujo de información en respuestas a preguntas prácticas: ¿Afecta esta vulnerabilidad a equipos instalados en la red? ¿Se está utilizando la versión de hardware o software afectada? ¿Representa un patrón de comunicación observado un comportamiento OT normal? ¿Podría una alerta indicar un problema de configuración en lugar de un ataque? ¿Qué eventos requieren investigación inmediata? ¿Qué información debe llegar al SOC, al equipo de ingeniería o al propietario del activo?
Sin contexto, más inteligencia de amenazas puede significar simplemente más información para que la procesen unos equipos de seguridad ya sobrecargados. Por lo tanto, para los operadores de infraestructuras críticas, el objetivo no debería ser recopilar la mayor cantidad posible de datos sobre amenazas, sino identificar la información que importa para su entorno específico y hacerla accionable.
Por qué la seguridad OT requiere más que contexto empresarial
Muchas tecnologías de ciberseguridad se originaron en entornos de oficina y empresa. Pueden identificar conexiones sospechosas, malware, endpoints comprometidos, dominios maliciosos y otros indicadores de ataque. Los entornos OT añaden otra capa de complejidad: la misma actividad de red puede tener significados muy diferentes según el dispositivo, el protocolo y el proceso operativo implicado.
Los sistemas de energía dependen de equipos y protocolos de comunicación especializados. Los dispositivos de protección y control pueden comunicarse mediante estándares como IEC 61850 o IEC 60870-5-104, e interpretar esa comunicación requiere conocer cómo se espera que funcione el sistema eléctrico subyacente.
Esta distinción es importante durante la detección. Ver que dos dispositivos se comunicaron no explica por sí solo si esa comunicación era legítima. La monitorización de seguridad necesita suficiente contexto operativo para comprender las relaciones entre dispositivos de protección, sistemas de control, estaciones de trabajo de ingeniería y sistemas de automatización. Ese contexto puede ayudar a distinguir el comportamiento esperado de un problema funcional, una inconsistencia de configuración o una actividad potencialmente maliciosa. Por lo tanto, la inteligencia de amenazas específica para OT debe combinar dos dominios de conocimiento: el conocimiento actual de las ciberamenazas y la comprensión detallada de la tecnología operativa.
Decisiones más fáciles con datos de vulnerabilidades contextualizados
La gestión de vulnerabilidades ilustra especialmente bien el problema. Los fabricantes publican continuamente avisos de seguridad para equipos industriales, pero un aviso por sí solo no le dice al operador si se requiere acción. La organización primero debe determinar si el proveedor, modelo, configuración de hardware y versión de software o firmware relevantes están presentes en su infraestructura. Hacer esto manualmente se vuelve difícil a medida que crecen los entornos OT.
Un enfoque más escalable es estandarizar la información de seguridad del fabricante, por ejemplo en formato CSAF, y correlacionarla con un inventario de activos preciso. Esto permite a los equipos de seguridad filtrar un amplio conjunto de datos de vulnerabilidades hasta las vulnerabilidades que realmente afectan a su equipo instalado.
Idealmente, la pregunta no debería ser '¿Qué nuevas vulnerabilidades se publicaron hoy?', sino '¿Qué vulnerabilidades recién publicadas afectan a este entorno?'. Este cambio reduce el análisis manual y proporciona una base más sólida para la priorización basada en riesgos. El mismo principio se aplica a las reglas de detección y los IoC: la calidad y la relevancia importan más que el volumen. El contenido de detección debe validarse antes de su implementación para reducir falsos positivos y ayudar a garantizar que las alertas proporcionen información útil en lugar de simplemente añadir ruido.
Las redes OT aisladas plantean otro desafío
Algunos entornos OT críticos operan deliberadamente sin conexión directa a internet. Si bien el aislamiento puede reducir ciertas formas de exposición, crea un desafío para la inteligencia de amenazas: la red puede estar aislada, pero el panorama de amenazas no lo está.
Las nuevas vulnerabilidades, técnicas de ataque, firmas y IoC siguen surgiendo independientemente de si una red OT tiene acceso a internet. Por lo tanto, los operadores necesitan una forma controlada de llevar contenido de detección actualizado e inteligencia de vulnerabilidades a entornos aislados sin requerir que esos sistemas se conecten directamente a servicios externos.
Para que la inteligencia de amenazas funcione en estos entornos, las actualizaciones offline no pueden ser una ocurrencia tardía; deben ser parte de la arquitectura. Esto es especialmente relevante en infraestructuras energéticas, donde los controles de seguridad deben coexistir con estrictos requisitos de disponibilidad y comportamiento predecible del sistema.
La inteligencia de amenazas también debe encajar en las operaciones de seguridad existentes
La inteligencia de amenazas OT se vuelve más útil cuando no crea otro flujo de trabajo de seguridad aislado. Los eventos de seguridad deben llegar a las personas que pueden evaluarlos y responder. Dependiendo de la organización, esto puede implicar a un SOC central, un equipo de seguridad OT, ingenieros de protección y control, o varios de estos grupos trabajando juntos.
La integración con SIEM y los flujos de trabajo de respuesta a incidentes existentes puede ser tan importante como la propia detección. Una alerta útil debe proporcionar suficiente contexto para que el equipo receptor entienda qué ocurrió, por qué importa y qué se debe investigar a continuación.
Marcos como MITRE ATT&CK para ICS pueden añadir otra capa de contexto al ayudar a los equipos a relacionar la actividad observada con tácticas y técnicas conocidas de los adversarios. Esto crea un punto de referencia común entre equipos que, de otro modo, podrían abordar un incidente OT desde perspectivas muy diferentes.
De datos de amenazas a inteligencia específica para OT
OMICRON Threat Intelligence (OTI) aborda estos desafíos como un servicio dentro de la solución StationGuard. Combina información de amenazas actualizada frecuentemente con contexto de detección y activos específico de OT, incluyendo detección de comportamiento, firmas e IoC, inspección profunda de paquetes para más de 300 protocolos especializados, una base de datos de vulnerabilidades OT curada y avisos de seguridad originales de docenas de fabricantes de equipos OT.
En lugar de ser solo otro feed de amenazas, la información de los fabricantes se procesa y normaliza para que la información sobre vulnerabilidades pueda correlacionarse con los activos del entorno real. El contenido de detección se asegura en cuanto a calidad antes de su distribución, mientras que la monitorización consciente de protocolos proporciona contexto adicional para interpretar eventos en redes de sistemas de energía. Para entornos aislados, las actualizaciones también pueden transferirse offline sin requerir conectividad directa a la nube.
El resultado es un paso de información amplia sobre amenazas a una comprensión más específica de lo que es relevante para un entorno OT particular.
El valor de la inteligencia de amenazas OT es la relevancia
A medida que las infraestructuras críticas se vuelven más interconectadas, los equipos de seguridad seguirán recibiendo más divulgaciones de vulnerabilidades, informes de amenazas, IoC, avisos y contenido de detección. Simplemente añadir más datos no resolverá el problema.
La inteligencia de amenazas OT efectiva debe responder a tres preguntas: ¿Qué está sucediendo en el panorama de amenazas? ¿Afecta a este entorno OT específico? ¿Qué significa en el contexto operativo del sistema?
Responder estas preguntas puede dar a los equipos de seguridad una ventaja de conocimiento mantenida continuamente que les ayude a priorizar la investigación, reducir análisis innecesarios y tomar decisiones mejor informadas sobre sus redes operativas.
OMICRON Threat Intelligence aporta este enfoque a la solución StationGuard, combinando inteligencia cibernética actual con el contexto de activos, protocolos y fabricantes que requieren los entornos OT del sector energético.
Sobre el autor: Jaron ayuda a propietarios y operadores de sistemas energéticos e industriales a asegurar sus entornos OT. Actualmente se centra en evaluaciones de riesgos, diseño y revisión de arquitecturas de seguridad, y formación de equipos de protección y operaciones. Anteriormente, trabajó durante 12 años en un importante proveedor de tecnología de protección y automatización como consultor técnico. Jaron está certificado como GICSP y oficial de seguridad informática (TÜV). También tiene un título en ingeniería eléctrica y es técnico en electrónica para ingeniería industrial (IHK).
