El segundo día comenzó con la ponencia de José Valiente sobre “Resiliencia Tecnológica Industrial 4.0 ” . Lamentablemente no pudimos llegar a tiempo con lo que nada os puedo resumir al respecto.

09:45 – 10:15

A continuación el espacio estaba reservado para Jose Luis Laguna (SE Manager, Fortinet) exponiendo un caso de éxito en un entorno industrial. El mismo fue la implementación de las distintas medidas de seguridad en el entorno de producción de furgonetas de la fábrica que Mercedes-Benz tiene en la ciudad de Vitoria. El ponente fue Jon Bueno Mendieta, persona que lideró el proyecto junto con la colaboración de Edorta Echave, creador de este espacio Web y Consultor de Ciberseguridad Industrial en la empresa GrupoCMC (Congnicase Management Group). Pues sí, en esto hemos estado trabajando (y seguimos en ello) en este último año y medio.

Jon comenzó con presentación dando una visión global proyecto indicando los principales puntos sobre los cuales se basaría su charla, como son:

1. Disponibilidad de la red OT
2. Soluciones técnicas implementadas
3. Roles y Procesos
4. Conclusiones

Haciendo un repaso sobre lo anterior, se comentó las diferencias entre el mundo IT y OT, y las distintas prioridades desde la visión de proteger la confidencialidad, integridad y disponibilidad; frente a disponibilidad, integridad y confidencialidad.

A continuación, se centró en las soluciones implementadas a nivel de Infraestructura (Separación y Segmentación), Técnicas (Bastionado de Sistemas, Cifrado en las Comunicaciones, Monitorización, Antivirus, etc.) y Operaciones (Definición de nuevas figuras dentro del organigrama de la empresa como Gestores de Activos, Incidencias, Vulnerabilidades, etc.).

Para finalizar ,citó aquellos aspectos clave dentro del desarrollo del proyecto, como pueden ser:

1. Creación de un solo equipo de trabajo.
2. Elegir las herramientas más adecuadas para ser administradas.
3. Análisis GAP objetivo.
4. Supervisión de la actividad y soluciones implementadas.

10:15 – 10:45

La siguiente ponencia vino de la mano de Edgard Capdevielle (Executive Advisor, Nozomi Networks) con el título “Ciberseguridad y monitorización de redes industriales requieren un enfoque de proceso”.

Aquí Edgard Capdevielle nos presentaba la herramienta de Nozomi Networks, SCADA Guardian. Se trata de una solución de monitorización y protección no intrusiva que, gracias a las capacidades de descubrimiento, aprendizaje de los activos y comportamiento de la red, permite la detección de amenazas y ataques en entornos Industriales. Puesto que cada entorno es único, debido a la generación de reglas de seguridad basadas en el proceso a proteger, permite adaptarse a cada circunstancia por muy concreta que sea.

Comienza haciendo un repaso de una serie de incidentes y de cómo en algunos casos el despliegue de soluciones IT en entornos OT nos son eficaces y cómo se protegen las instalaciones industriales abogando por el entendimiento de ambos mundos. La herramienta facilita esta tarea  permitiendo identificar tráficos, comportamientos en la red, comunicaciones generadas por dispositivos industriales, procesos, entre otros.

Puesto que no sólo basta la detección, también SCADA Guardian see integra con SIEMs o sistemas como SPLUNK, HP ARCSight, etc. o incluso tomar medidas sobre dispositivos Fortinet como bloquear un cierto tipo de tráfico determinado. El hecho de que sea una herramienta no intrusiva facilita enormemente el despliegue consiguiéndose con la simple configuración de uno, o varios, puertos espejo. Claro está teniendo en cuenta la particularidad de estas configuraciones.

10:45 – 11:15

Llega el turno de María Pilar Torres (Directora de Ciberseguridad, Everis Aeroespacial y Defensa) bajo el título “La ciberseguridad industrial de punto a punto: un ejemplo práctico”.

El caso estaba enfocado en el ámbito energético donde bajo su punto de vista detectaban dos dimensiones:

1. Dimensión tecnológica, Medidas Técnicas.
2. Dimensión organizativa, Roles y Procesos.

Para implementar un plan de securización se ha de entender muy bien la actividad de la empresa y los procesos en los que se basa. Cuando les llega un un nuevo proyecto se realizan dos preguntas en cada una de las fases del proceso, como son:

1. Problemas identificados, ¿qué haría para corregir los problemas?
2. Posibles soluciones, ¿qué van a hacer realmente?

Cómo podemos comprobar una vez más de la teoría a la práctica, hay un trecho.

Se pone ejemplo en la generación, transmisión, distribución y control energético eléctrico y de los riesgos existentes en cada uno de los procesos, como son acceso físico a las instalaciones, acceso a los PLC que regulan la carga en la red eléctrica en función de la oferta y la demanda, contadores vulnerables, protocolos inseguros, monitorización remota, etc. También como no, contadores de agua. Se defiende la idea que no sólo es necesario implementar las medidas, hay que darle una continuidad por lo que resulta necesario hacer auditorías para conocer el estado de la seguridad. A veces se habla de separar redes, pero no de las medidas a adoptar para que éstas dejen de ser menos vulnerables y de los escrupuloso que hay que ser en la gestión y control de activos. Si no controlamos lo que tenemos conectado a nuestra red, no podemos protegerla.

Finalmente, el aprendizaje es esencial para la mejora. Como existe un desconocimiento en primera instancia, a medida que se genera ese conocimiento/estudio de forma progresiva se va avanzando en la construcción de soluciones más convergentes.

12:00 – 12:30

El siguiente turno fue el de Patrick Miller (Managing Partner,Archer Energy Solutions) con “Unicornios, Compartir información, Inteligencia de amenazas y otros mitos”.

Aquí el discurso se centra en compartir información como medio para hacer frente a las amenazas. Para ello comienza haciendo un paralelismo indicando que los datos es dinero y por tanto tus datos te convierten en un banco. Dada esta situación, y el entorno que nos rodea, los adversarios tienen 3 “cosas” que tú no puedes tener, como tiempo, medios y mayor capacidad. Las medidas disponibles para protegerte también pueden llegar a ser hackeables y por tanto vulnerables, por tanto, con los problemas a los que se enfrenta el usuario y las empresas, los datos pueden ser comprometidos. Así que otra de las acciones a tomar es compartir información ya que puedes trasladar tus problemas y, de forma conjunta, tomar medidas. Tu eres tu propia “policía”, tienes que protegerte de tus “chicos malos”.

Esta información debe ser monitorizada y analizada para poder ser compartida entre las herramienta de análisis. Sin embargo compartir genera una preocupación ya que no sabes hasta qué punto ese el valor puede ser utilizado y para qué. Aquí rasaltar esta importante afirmación, “El valor de la información es inversamente proporcional a la distribución” y es que la buena información, la relevante para muchos casos , no se distribuye.

Get connectres, relationships + Trust = Sharing

En resumen, bajo su punto de vista se ha de compartir información con la gente correcta a través de canales correctos. Compartir genera un conocimiento sobre la inteligencia de las amenazas en la que se ha de contribuir de forma individual para un resultado conjunto.

12:30 – 13:00

Siguiendo con las ponencias llega el turno de Enrique Martín (Industrial Cyber Security & CIP Solutions Business Development,S21SEC) con “Árboles cayendo en redes de control industrial”.

Aquí Enrique compara el estado de la Industria 4.0 como si fuera un bosque y por tanto cuando cae una rama en el bosque, ¿hace ruido? Pues bien la idea a perseguir sería, si se da un incidente de seguridad en nuestras instalaciones de “Industria 4.0” y no lo “oímos”, ¿hace ruido? ¿nos enteramos? La industria ha evolucionado, la ciberseguridad no tanto.

Hasta ahora las fuentes de ruido (orígenes de problemas) han sido servidores, configuraciones, vulnerabilidades y usuarios e identidades. Sin embargo debemos de considerar también los dispositivos de seguridad, actividad de la red, actividad sobre datos y aplicaciones. Por tanto no existe una correlación de eventos, logs, flujos, reputación, etc. ni una detección de anomalías en la activiad de usuario, BBDD, aplicaciones, red, entre otros.

Es necesario como apuntaba Edgard Capdevielle de Nozomi Networks, realizar un análisis del comportamiento de la red. Enrique comenta algunas soluciones libres para llegar finalmente a la herramienta Silent Defense ICS de Security Matters.

14:30 – 15:00

Aquí Oscar Lage (Responsable de Ciberseguridad,Tecnalia) y Ander Juaristi (Researcher) sobre “La seguridad en IEDs: lecciones aprendidas” expusieron los sistemas de cifrado para dispositivos de industriales explicando los pros y contras de la criptografía simétrica, asimétrica, certificados digitales.

Hicieron un repaso de las alternativas actuales y la manera de funcionamiento, viendo cómo impactan en los sistemas sobre los que se implantan. Por mi formación, se me escaparon muchas cuestiones en cuanto al aspecto matemático del asunto pero, considero que era una ponencia muy interesante para aquél que sí comprendiese estos puntos. El cifrado es un elemento más en la cadena de seguridad, y cuanto más a bajo nivel se implemente más efectivo será, sin penalizar en el rendimiento computacional del dispositivo. En concreto se centraron en la aplicabilidad en la industria energética. Algunos términos citados:

• HORS
• TV-HORS
• HORST
• SPHINCS

15:00 – 15:30

Unos de los patrocinadores del evento era Karspersky y de la mano de Matvey Voytov (Head of product marketing, Kaspersky Lab) hicieron su presentación “Arquitectura de seguridad adaptativa para ICS”.

Dicha arquitectura la basa en el modelo que presenta Gartner sobre 4 principios, los cuales se subdividen en otros apartados, como son:

Predecir

• Inteligencia sobre amenazas.
• Intercambio de información sobre incidentes.
• Conocer tu organización.
• Formación y adquisición de conocimiento.

Prevenir

• Diferenciar entre protección IT y OT.
• Considerar las amenazas internas.
• Los Ingenieros industriales no tienen conciencia de ciberseguridad.
• Aumentar la cultura de ciberseguridad.

Detectar

• Las amenazas no tienen que venir necesariamente por malware.
• Monitorización de la red para la detección de anomalías.
• Escaneos periódicos controlados.
• Realización de auditorías.

Responder

• Respuestas ante incidentes específicos de ICS.
• Personal en SOC especializados en sistemas industriales.
• Planes de respuesta definidos dentro de la organización.

Finalmente, como conclusión apunta tres medidas a partir de las cuales implementar los planes de seguridad de manera efectiva. Estas son:

• Implementar herramientas de monitorización y detección de amenazas y anomalías.
• Incorporar personal con formación específica de Ciberseguridad en entornos industriales para que se puedan desplegar soluciones técnicas concretas.
• Las amenazas pueden venir de dentro, no necesariamente puede venir de fuera.
• Según su punto de vista, el camino correcto es Personal – Tecnologías concretas – Procesos

16:00 – 16:30

Tras una pausa café, Milka Kaneva (Cyber Security Manager EMEA, Darktrace) presentó ”El sistema Inmunológica Industrial: Usando el aprendizaje automático en la seguridad de ICS como solución para la próxima generación”.

Milka, presentó la solución de DarkTrace específica para sistemas ICS. De origen inglés, ofrece una herramienta de análisis de tráfico basado en algoritmos matemáticos con el fin de detectar de forma temprana anomalías en la red. Como en otras ponencias similares, se instala en el “Core” de la red” a un puerto espejo y en un plazo de 7 a 10 días puede detectar las anomalías en la red. A partir de ahí, crea un modelo de comportamiento de usuarios y equipos en base a los criterios matemáticos. Entre sus características:

1. Autoaprendizaje.
2. Detecta amenazas internas y externas.
3. Tiempo real.
4. 100% visibilidad.
5. Reproducir el tráfico capturado.

Más tarde presenta casos de usos y éxito de sus clientes. Como podemos comprobar es una herramienta similar a la presentada por Nozomi y SecurityMatters.

16:30 – 17:00

Así llegamos a la penúltima ponencia esta vez de la mano de Karsten Schneider (Chairman,PROFIBUS & PROFINET International) con “Ciberseguridad en redes PROFINET -habilitador de Industria 4.0”.

En este caso el ponente comenzó con una presentación de lo que significa la Industria 4.0, dando pinceladas generales de lo que implica:

• Personas, máquinas, dispositivos y sistemas cooperan y se comunican entre sí.
• Se combinan métodos de producción con tecnologías de información.
• Procesos de producción y logísticas son integrados de forma inteligente.
• Extracción de datos para posterior analítica.
• Nuevos modelos de negocio y tecnologías de producción.

Existen multitud de fabricantes y protocolos propietarios pero que hay que promover el uso de standars de comunicaciones tipo Profinet, Profibus e IO-LINK.

En cualquiera de los casos es necesario un medio a través del cual poder comunicar los dispositivos, soporte remoto,  y a partir de ahí desarrollar lo que la Industria 4.0 demanda. Aquí se defiende la posición del protocolo PROFINET. Llegará un momento en los que no se hable de mili, sino de microsegundos. Una solución de seguridad en un entorno industrial tiene que alcanzar todos los niveles, seguridad física, de red e integridad de sistemas.

Se abordan las características actuales:

• Equipamiento de más de 30 años.
• Buses de campo.
• Pérdida de conocimiento de sistemas antiguos, pero operativos.
• Sin medidas de seguridad implementadas.

Así pues en lo que refiere a la seguridad se aborda el concepto de Defensa en Profundidad dirigido a aspectos clave como know how de protección, Control de Acceso e integridad en las comunicaciones, todos dirigidas a nivel de red.

Para finalizar se citan en los aspectos básicos como es el uso de DMZs industriales, Acceso Remoto, Redundancia y protección a nivel de celda remitiéndonos a una guía donde podremos obtener más información y que puede ser descargada desde aquí.

17:00 – 17:30

Y ya para concluir Miguel García-Menéndez (Vicepresidente, Centro de Ciberseguridad Industrial) nos habló de “ERNCIP: Marco de Certificación y Conformidad de los IACS”.  Aquí tuve que ausentarme con lo que no pude atender en su totalidad.

Aquí se nos habla de la iniciativa desde ERNCIP (European Reference Network for Critical Infraestructure Protection) para establecer un framework donde se puedan certificar los distintos componentes en materia de ciberseguridad. Para ello se cuenta con la colaboración de distintos participantes como ENISA, ANSSI, BSI, INCIBE, fabricantes, integradores, consultoras, etc.

Para ello se definen una serie de tareas a desarrollar como los requerimientos mínimos, perfiles en materia de ciberseguridad y procesos de aceptación y cumplimiento. No podemos decir que porque un componente cumpla con unos requisitos en seguridad, toda la instalación lo es.

La idea a posteriori es definir un esquema repartido sobre varias áreas específicas que permita certificarse y avalar que se cumplen con una serie de exigencias.

La ponencia fue una presentación genérica de una iniciativa sobre la cual se está trabajando, y que se desarrollará a lo largo del próximo año y sucesivos. Miguel fue cauto en adelantar más información, ya que como cualquier proyecto es susceptible de haber modificaciones y por tanto lo que hoy se expone, mañana puede reconducirse o cambiarse. Esperaremos al futuro.

De esta manera llegamos al final de este Congreso. Un Congreso con ponentes de gran calidad y diversidad de temas que ponen de manifiesto el estado de la ciberseguridad tanto a nivel nacional como internacional y que al igual que el año pasado promete seguir en la misma línea, mejorando certamen tras certamen.

Nos vemos el año que viene!