Hackers contra la pared

Cuando los ciberdelincuentes atacan los sistemas SAP o la tecnología operativa (OT)

Como columna vertebral omnipresente, SAP es necesario para el buen funcionamiento de las empresas en muchos lugares. Lo mismo se aplica a la tecnología operativa. Por lo tanto, a las empresas les interesa proteger su entorno de sistemas SAP y OT lo mejor posible. Pero en la práctica, suelen abrirse brechas. En mayo de 2021, los piratas informáticos atacaron Colonial Pipelines como infraestructura crítica en EE UU. Como consecuencia del ataque de ransomware, el suministro de gasolina se vio restringido en algunos estados. Por las mismas fechas, se informó de otro ataque en Florida. Los atacantes penetraron en los sistemas de una planta de tratamiento de aguas residuales a través de una vulnerabilidad RDP (protocolo de escritorio remoto) en un dispositivo Windows para manipularlos. Especialmente en el sector de los servicios públicos, los ataques están adquiriendo rápidamente una nueva dimensión: El ransomware OT no sólo exfiltra y cifra datos, sino que puede tomar el control de sistemas críticos. Por supuesto, las empresas son conscientes del peligro permanente. Por eso se ocupan de la ciberseguridad y suelen recurrir para ello a los siguientes grupos de expertos.

Directivos y empollones

Los responsables de cumplimiento se aseguran de que las empresas cumplan las normativas relevantes para la seguridad, como las de la Oficina Federal de Seguridad de la Información (BSI), y las normas internacionales como la norma ISO/IEC 27001; los expertos en seguridad se encargan de proteger eficazmente las soluciones informáticas basadas en la nube en tiempos de Big Data e inteligencia artificial; y los nerds de los hackers conocen las últimas técnicas de ataque y, por tanto, piensan un paso por delante en términos de seguridad.

Pero este triple enfoque a menudo se queda corto. No basta con que grupos de expertos traten el tema de la ciberseguridad en un plano más teórico, desvinculado de todos los demás procesos y equipos de la empresa. Se trata más bien de cómo asegurar eficazmente la propia empresa. Para lograr este objetivo, las empresas deben entender la seguridad SAP y OT como un proceso empresarial que implica a todos los grupos de personas relevantes de la empresa. Sólo así se podrán derivar las medidas prácticas adecuadas -como el uso de la tecnología de seguridad apropiada- de la perspectiva teórica (o estratégica). 

Seguridad SAP y OT

Si la ciberseguridad se entiende como un proceso empresarial crítico, entonces este proceso debe modelarse cuidadosamente, controlarse con métricas, supervisarse con herramientas y optimizarse continuamente. Del mismo modo, se necesita una gestión de riesgos definida que se centre en la relevancia práctica. Si, por ejemplo, el éxito empresarial de una empresa de ingeniería mecánica depende en gran medida de que sus carretillas elevadoras estén siempre en condiciones de funcionar, se asegura de que siempre haya suficiente lubricante, acude a todas las citas de mantenimiento y proporciona suficientes vehículos de sustitución. Del mismo modo, las empresas deben estar siempre preparadas para cualquier eventualidad en lo que respecta a la seguridad informática.

Seguridad interdisciplinaria

Para garantizar la seguridad de OT y SAP a largo plazo, es necesario superar los límites departamentales en el sentido de una forma de pensar y de organización orientada a los procesos. En particular, la dirección, la informática y la producción deben encontrar el camino hacia un intercambio interdisciplinar. Porque a veces la dirección no tiene la idea exacta de lo importante que es la seguridad de SAP y OT para el buen funcionamiento de la empresa. El departamento de TI puede ayudar a transmitir esta comprensión. La perspectiva de los obreros es especialmente importante. Ellos saben exactamente cómo afectará una posible parada de la máquina A a la línea de producción B.

Además de una comprensión estratégica de la importancia de la seguridad de OT y SAP y de un diálogo interdepartamental, se necesitan soluciones de seguridad potentes. En los últimos años, la tecnología se ha desarrollado considerablemente: desde el análisis de redes hasta la detección de sistemas cruzados y la seguridad de plataformas.

Hace algún tiempo, todavía era habitual analizar la red y correlacionar los archivos de registro con un sistema SIEM (Security Information and Event Management) para obtener indicios de posibles amenazas: una medida de detección pura y dura. Aunque de los resultados de la correlación puede derivarse una respuesta específica, ésta no puede aplicarse directamente. Dado que hoy en día la transmisión de datos está mayoritariamente encriptada, los análisis de red por sí solos ya no son lo más avanzado.

Para procesar los datos sensoriales procedentes de distintas fuentes, se han establecido dos nuevos métodos con la Detección y Respuesta en Puntos Finales (EDR) y la Detección y Respuesta Ampliadas (XDR). Con una herramienta EDR, se pueden registrar eventos como el inicio de sesión de un usuario, la apertura de un archivo y las conexiones de red establecidas en dispositivos finales como PC, ordenadores portátiles, tabletas y teléfonos inteligentes. Además, la XDR permite capturar y vincular automáticamente datos de múltiples vectores de ataque, como correos electrónicos, identidades, dispositivos, servidores, cargas de trabajo en la nube y redes.

Cuando cada vez más datos y sistemas se ubican en la nube, es lógico aplicar medidas de seguridad eficaces directamente allí. Las soluciones de plataforma de los hiperescaladores establecidos han demostrado su eficacia en este ámbito. Microsoft, en particular, ofrece una amplia gama de productos de seguridad con un gran número de componentes prefabricados que pueden ponerse en funcionamiento y configurarse fácilmente para los fines individuales de la empresa: desde la protección de usuarios (PC, identidades y correos electrónicos) hasta la protección de diversos escenarios operativos (servidores propios, locales en el centro de datos, así como Azure, Google o AWS Cloud), pasando por casos de uso especiales como la seguridad OT y SAP. Además, estas plataformas son mucho más eficientes de integrar que las soluciones individuales.

Seguridad de la plataforma

Teniendo en cuenta lo complejos que son algunos entornos SAP y lo dependientes que son las empresas de fabricación y servicios públicos de su tecnología operativa, la seguridad de la plataforma es un enfoque eficaz. Hoy en día, el movimiento lateral es una táctica clave utilizada por las amenazas persistentes avanzadas (APT): Los piratas informáticos penetran en una infraestructura informática crítica a través de un ataque de phishing, por ejemplo, y utilizan los datos intervenidos para obtener cada vez más privilegios comprometiendo o infectando un sistema tras otro. Por ejemplo, los atacantes podrían acceder a la TI de la empresa a través de un módem en la planta de producción y cifrar los discos duros, lo que golpearía a las empresas con especial dureza: concretamente, en sus procesos centrales rentables.

Por lo tanto, a las empresas no les queda más remedio que vincular la tecnología de sensores entre sistemas y supervisar las alertas las 24 horas del día. Como alternativa, pueden obtener los servicios gestionados de detección y respuesta de un centro especializado en defensa de la ciberseguridad (CSDC). En el centro se encuentra Microsoft Threat Monitoring para SAP. Los datos de los complejos entornos SAP pueden consolidarse a través de un sensor de modo que estén disponibles para su posterior procesamiento en el sistema SIEM nativo en la nube Microsoft Sentinel. Una vez conectado el sensor a varias fuentes de registro SAP, recopila todos los datos que fluyen a Sentinel a través de una API para su correlación y evaluación. Si la herramienta detecta una amenaza, genera las alertas correspondientes. Las reglas estandarizadas constituyen la base de los procesos SOAR (orquestación, automatización y respuesta de seguridad) (parcialmente) automatizados: Si se recibe una alerta, tiene lugar un análisis basado en IA de los datos de eventos registrados. En función del tipo de ataque, se ponen entonces en marcha medidas de respuesta predefinidas.

Proteja SAP y OT de forma fiable

La ciberdelincuencia es un negocio lucrativo para los delincuentes, cuyas consecuencias pueden ir mucho más allá de los aspectos económicos para las empresas afectadas. Especialmente en el ámbito de las infraestructuras críticas, los ataques pueden convertirse en una grave amenaza. Y las empresas deben estar mejor preparadas para esta amenaza real. Para empezar, la cultura corporativa debe cambiar: No debe haber fisuras entre departamentos, es necesaria la cooperación interdisciplinar. Por otro lado, se requiere que las empresas especialmente CRÍTICAS, como las de suministro de agua y electricidad, interioricen la relevancia empresarial práctica de su TI, así como de su OT, y no sólo deriven los objetivos de protección necesarios, sino que también los apliquen. También es posible proteger bien los sistemas e infraestructuras relevantes para el suministro. Pero para ello es necesario comprender y aplicar de forma coherente la ciberseguridad como un proceso empresarial.

Los 3 niveles de seguridad OT

Brownfield IT: En una fábrica con máquinas antiguas, los análisis de red son casi siempre los únicos
medios probados.

Greenfield IT: Las empresas que lanzan nuevos sistemas informáticos pueden integrar directamente las funciones de seguridad necesarias.

TI empresarial: En la era del Internet de las cosas (IoT), con dispositivos inteligentes como pantallas de conferencias, ascensores y máquinas de café, todos los datos, sistemas y dispositivos deben estar protegidos de forma eficaz.