Por qué la seguridad OT tradicional está fallando

En el pasado, muchas organizaciones confiaban en lo que se conoce como el modelo perimetral, y la forma más común de proteger la infraestructura y las aplicaciones era proteger el perímetro.

Sin embargo, las amenazas cibernéticas no «llaman educadamente a la puerta principal». La eluden por completo, se cuelan a través de canales de acceso remoto, explotan las conexiones de los proveedores y se mueven lateralmente a través de redes planas.

Y, sin embargo, muchos entornos de tecnología operativa (OT) siguen confiando en un modelo de seguridad basado en el perímetro, un modelo creado para una época en la que las amenazas externas eran la principal preocupación y se podía confiar intrínsecamente en los sistemas internos.

Es un modelo que ya no se sostiene. Por eso las organizaciones lo están sustituyendo por un enfoque más moderno: el llamado modelo Zero Trust.

¿Qué es la seguridad perimetral y cómo funciona?

El modelo perimetral, a menudo denominado modelo de «subsistema de confianza», parte del supuesto de que todo lo que se encuentra dentro del perímetro (es decir, el subsistema) es seguro.

La idea era sencilla: construir un perímetro sólido, como la muralla de un castillo, y confiar en todo lo que se encuentra dentro.

Es muy similar a un castillo medieval:

1. Construir una muralla alta.

2. Controlar quién entra por la puerta.

3. Confiar en todo lo que ocurre dentro.

En las redes industriales, esto ha significado históricamente:

1. Utilizar cortafuegos y VPN como principal línea de defensa.

2. Conceder derechos de acceso amplios y estáticos a los usuarios y dispositivos una vez que están «dentro».

3. Asumir que, si se establece una conexión, debe ser fiable.

Este enfoque podría haber funcionado cuando las redes industriales estaban aisladas y separadas físicamente. Pero hoy en día eso rara vez es así.

¿Cuál es el problema?

Una vez que alguien traspasaba ese muro y entraba en el perímetro, a menudo tenía vía libre y podía acceder a recursos a los que no debía. Sin controles adicionales. Sin supervisión.

Esta «confianza implícita» se vuelve peligrosa cuando solo un dispositivo o usuario se ve comprometido, ya que tendría un acceso más amplio a toda la red.

¿Por qué la seguridad perimetral ya no es suficiente para los entornos OT?

El modelo creaba una falsa sensación de seguridad que dejaba a los sistemas vulnerables a amenazas internas, movimientos laterales y compromisos no detectados. Pero además, no podía dar cuenta de la creciente sofisticación de los ciberataques actuales.

¿Qué ocurre cuando los atacantes traspasan el perímetro?

Si un atacante traspasa el perímetro, ya sea mediante un ataque de phishing, credenciales de proveedores comprometidas o un dispositivo sin parches, a menudo obtiene acceso sin restricciones a los sistemas internos.

Este modelo de confianza implícita permite el movimiento lateral, lo que permite a los atacantes pasar de un sistema a otro sin ser detectados.

¿Por qué las amenazas internas son una debilidad crítica en la seguridad perimetral?

Porque no se controlan. Los modelos de perímetro asumen que los usuarios y dispositivos internos son fiables. Pero las amenazas internas, ya sean intencionadas o accidentales, pueden causar tanto daño como los actores externos.

Sin verificación y supervisión internas, las actividades maliciosas pueden pasar desapercibidas hasta que es demasiado tarde.

¿Cómo exponen las redes OT los riesgos del acceso remoto y los proveedores externos?

Las redes OT actuales dependen en gran medida del mantenimiento remoto de proveedores externos y técnicos subcontratados. Las VPN suelen proporcionar un acceso amplio a nivel de red, lo que expone mucho más de lo necesario y crea puntos ciegos de seguridad.

¿Por qué las redes planas aumentan los riesgos de seguridad?

Porque hacen imposible la contención. Muchos entornos industriales siguen funcionando con redes planas, en las que la segmentación es mínima o inexistente. Si un dispositivo se ve comprometido, toda la red está en peligro.

Ejemplos de fallos en la seguridad perimetral

Stuxnet: el ejemplo más famoso del coste de la confianza implícita

El infame ataque del malware Stuxnet sirve como un duro recordatorio de lo que puede suceder cuando se violan las defensas perimetrales.

Fue uno de los ciberataques más sofisticados de la historia, pero en realidad lo único que hizo fue aprovechar las suposiciones de confianza.

El malware eludió las defensas tradicionales de las redes industriales, se dirigió a los sistemas SCADA, se desplazó lateralmente a los PLC y alteró las operaciones sin ser detectado, saboteando las centrifugadoras nucleares. En última instancia, causó daños importantes a infraestructuras críticas y supuso una grave amenaza para la seguridad mundial.

Todo ello porque los sistemas internos confiaban con demasiada facilidad y verificaban muy poco.

Ese ataque se produjo hace más de una década, pero muchas redes industriales siguen siendo igual de vulnerables hoy en día.

¿Cómo puso de manifiesto el ciberataque a Clorox en 2023 las limitaciones de las defensas perimetrales?

En 2023, The Clorox Company, un fabricante líder de productos para el hogar, sufrió un grave ataque de ransomware que interrumpió sus operaciones durante semanas y le causó importantes pérdidas económicas, aproximadamente 356 millones de dólares en daños, incluyendo pérdidas de ventas y gastos de reparación.

¿La causa principal? Una conexión externa comprometida que permitió a los atacantes acceder a lo más profundo de su red, eludiendo las defensas perimetrales.

El caso de Clorox ilustra cómo la dependencia de las VPN y la seguridad perimetral obsoleta deja a las organizaciones expuestas a un mundo de vulnerabilidades en la cadena de suministro y riesgos de acceso remoto.

Cómo soluciona Zero Trust estas deficiencias

Zero Trust sustituye la confianza implícita por la verificación continua, para cada usuario, cada dispositivo y cada sesión.

En lugar de preguntar «¿Este usuario o dispositivo está dentro de la red?», Zero Trust pregunta:

• ¿Quién solicita el acceso?

• ¿Se ha verificado mediante una autenticación sólida?

• ¿Necesita acceder a este sistema o recurso específico?

• ¿Su comportamiento es normal y se ajusta a la política?

Si la respuesta a cualquiera de estas preguntas es incierta, se deniega el acceso o se requiere una verificación adicional.

Este enfoque reduce drásticamente el riesgo de movimiento lateral y garantiza que, incluso si se produce una brecha, su impacto sea limitado.