Como todos sabemos una de las labores que han de llevarse a cabo en auditorías, diagnósticos o la acción de un atacante contra nuestras instalaciones es la recolección de información de los equipos que están en funcionamiento. Es decir, debemos conocer qué dispositivos hay conectados; qué servicios exponen en la red para uno u otro fin; versiones de hardware; firmware o sistema operativo; software instalado si lo hubiera; etc.
De esta manera podremos determinar, por ejemplo, algunas cuestiones como si una vulnerabilidad nos afecta o no; si tenemos, o no, algún servicio habilitado pero que no se esté utilizando; si tenemos acceso no controlados; etc. etc.
En entornos industriales dependiendo de diversos factores podemos encontrar distintos protocolos de comunicaciones, por ejemplo:
- Fabricante del equipo del sistema de control; algunos optan por unos u otros.
- Tipo de control; los requerimientos para el control de proceso o control de movimiento requieren del empleo algunos optimizados para tareas específicas.
- Ámbito de uso según sector; existen protocolos optimizados para ciertas tareas como puede ser sector eléctrico, maquinaria, seguridad, etc.
Lo cierto es que la tendencia es que se empleen protocolos basados en tecnología Ethernet y TCP/IP de tal manera que los equipos que lo implementan puedan comunicarse de manera similar a las IT.
¡¡¡OJO!!! de manera similar que no igual. Debemos recordar que los requisitos de latencia, Jitter y determinismo no son los mismos en unas redes que en otras!!!!!!
Así pues cada uno de los protocolos que se emplean sobre este tipo de redes utilizan diferentes números de puertos, desde 1 a 65535, y estos sobre la capa de transporte tanto por TCP como UDP.
Para que os hagáis una idea de la variedad existen os dejo una guía publicada por SANS en la podéis encontrar un resumen de algunos de ellos.
SANS, Industrial Protocols Cheat Sheet.
Esto es tremendamente importante para luego poder configurar adecuadamente las reglas de nuestros cortafuegos, dentro de la aplicación de estrategias de Separación, Segmentación y Virtual Patching. Estos es, qué debe comunicar con qué y de qué forma siempre bajo la premisa que «dejar pasar» lo ESTRICTAMENTE NECESARIO.
Adicionalmente, a lo anterior, no nos debemos olvidar de aplicar la funcionalidad que los fabricantes de cortafuegos para realizar DPI (Deep Packet Inspection) sobre el tráfico que vamos a permitir. Es decir, para aquellos que no hayan oído hablar de ello me refiero a realizar un análisis a nivel de Capa 7, Aplicación. Esto es, poder identificar el protocolo pero además los comandos, instrucciones o consignas que puedan enviarse a través de ellos. Es como si escuchando una conversación entre dos personas podamos, aparte de identificar el idioma, también la gramática, la sintaxis o el vocabulario.
A continuación os dejo un par de entradas donde lo explico más detalladamente:
Control de Aplicación en entornos ICS/SCADA, Parte I
Control de Aplicación en entornos ICS/SCADA, Parte II
Pero también aparte de leer y/o escribir datos de diferente índole; poder interactuar con los dispositivos; realizar acciones sobre éstos; también podremos emplearlos para obtener información de ellos como versión de hardware, firmware, fabricante, etc. En particular para llevar a cabo acciones sobre ellos con uno u otro fin. Lo que conocemos como «Information Gathering». Todo depende de lo que queramos hacer y su intencionalidad.
Existen herramientas que nos pueden ayudar en esta tarea, para unos u otros protocolos y de esa manera obtener información del equipo en cuestión.
Aquí os dejo una entrada empleando PROFINET-DCP pero en futuras entradas iremos descubriendo otras.
¡Nos vemos en la siguiente!