Administración de revisiones de seguridad para dispositivos de campo
La administración de revisiones de seguridad, durante mucho tiempo un campo oculto, finalmente entró en la conciencia pública este año. Se divulgaron varias vulnerabilidades críticas, como la Vulnerabilidad de ejecución remota Windows SMB revelada en marzo (CVE-2017-0143). Software malicioso como WannaCry Ransomware que explotó estas vulnerabilidades, las propagó por todo el mundo a través de computadoras sin revisiones y sembró el caos. Algunas de estas vulnerabilidades de seguridad se basaron en la filtración de un presunto kit de vulnerabilidades de seguridad de NSA. WannaCry Ransomware y el kit de vulnerabilidades de seguridad de NSA solo fueron dos de los numerosos relatos de ciberseguridad que recibieron una extensa cobertura mediática. Estos y otros incidentes, como las diversas vulnerabilidades de seguridad de Android, pusieron realmente de manifiesto la importancia de actualizaciones de seguridad puntuales.
Debido a la cantidad de vulnerabilidades de seguridad de este año, los administradores de sistemas han estado muy ocupados. La tarea de descubrimiento y aplicación de revisiones es particularmente complicada para los dispositivos de campo de las empresas de servicios públicos. Estos dispositivos son ordenadores portátiles y tabletas que se utilizan en tareas de pruebas y administración de activos como las pruebas de relevadores de protección y la aplicación de actualizaciones de programas inalterables a los activos cibernéticos de las subestaciones. Existen varios desafíos relacionados con la administración de revisiones de seguridad para los dispositivos de campo:
- Remotos e inalcanzables: Los dispositivos de campo con frecuencia se encuentran en ubicaciones remotas y no tienen conectividad de red. Los usuarios del dispositivo pueden apagar el dispositivo cuando no lo utilizan, reduciendo aún más las oportunidades de actualización.
- Imágenes de compilaciones especializadas: Debido a las necesidades especializadas del equipo en terreno, el dispositivo puede ser diferente al de las imágenes corporativas. Además, se pueden utilizar múltiples imágenes para diferentes equipos en terreno, por ejemplo, pruebas de subestación y pruebas de Control Supervisor y Adquisición de Datos (SCADA).
- Software exclusivo: Muchas de las aplicaciones de software de estos dispositivos no se utilizan en ninguna otra parte en el entorno corporativo, y quizás son antiguas y la aplicación de revisiones no es fácil. No solo el personal de TI no está familiarizado con las aplicaciones de software, sino que además el descubrimiento y la aplicación de revisiones pueden no ajustarse a los medios corporativos estándares.
Un programa de administración de revisiones de seguridad eficaz para los dispositivos de campo consistiría en los siguientes elementos:
- Monitoreo para asegurar la aplicación de revisiones a dispositivos inaccesibles: Para conocer el estado de aplicación de revisiones de todos los dispositivos se necesita capacidad de supervisión en tiempo real, a fin de llevar a cabo una intervención apropiada en los dispositivos cuyas revisiones no se aplicaron a su debido tiempo.
- Gestión de activos sofisticada: Sistema de gestión de activos con información precisa y actualizada sobre los diferentes dispositivos de campo, imágenes, aplicaciones de software y versiones en uso, para que se puedan actualizar de una forma coherente con su uso.
- Supervisión de vulnerabilidades y aplicación de revisiones integrales: Un programa de supervisión de vulnerabilidades que supervisa, identifica y evalúa continuamente nuevas vulnerabilidades y las revisiones o soluciones correspondientes; y medios de implementación de múltiples revisiones para garantizar que incluso las revisiones de las aplicaciones más difíciles se puedan aplicar remotamente – cuando todo lo demás falla, puede que el programa tome la aplicación completa para reemplazarla por la nueva versión.
El propósito de la administración de revisiones de seguridad de dispositivos de campo, en última instancia, es garantizar la seguridad de la red eléctrica. Teniendo esto presente, la administración de revisiones de seguridad debe considerarse como parte de un programa de administración de vulnerabilidades más amplio. Las formas más comunes en que se explotan las vulnerabilidades sin revisiones apuntan a servicios sin revisión para obtener acceso o escalar privilegios después de haber obtenido el acceso inicial a través de ingeniería social. De ello se deduce que la forma más eficaz de proteger los sistemas críticos de la red eléctrica es no utilizar los dispositivos de campo como computadoras corporativas de propósito general. Mediante el uso de dispositivos de campo dedicados, la superficie de ataque se reduce drásticamente al eliminar servicios explotables y vectores de ingeniería social como el correo electrónico y la navegación web. Este es un aspecto esencial y complementario de un programa holístico de administración de vulnerabilidades de tareas sobre el terreno.
La administración de revisiones de seguridad también tiene implicaciones PIC de NERC, con requisitos de revisiones de seguridad en PIC-007-6 para activos cibernéticos de sistemas eléctricos a granel y PIC-010-2 para activos cibernéticos transitorios. A los fines de la auditoría PIC de NERC, se necesita una recopilación y retención cuidadosa de la evidencia. Un programa de administración de revisiones de seguridad bien diseñado puede mejorar enormemente la seguridad del sistema y cumplir con las normas PIC de NERC sin incidir en el rendimiento del trabajo.
Doble ha implementado programas de administración de revisiones de seguridad para múltiples flotas en terreno de empresas de servicios públicos. En nuestra experiencia, la administración de revisiones de seguridad para los dispositivos de campo es una combinación exclusiva de arte e iniciativa cuantificable con precisión, que requiere un conocimiento profundo de los procesos de trabajo de gestión de activos para hacer bien las cosas.
Recursos adicionales:
- Análisis de WannaCry Ransomware
- Shadow Brokers y vulnerabilidades de seguridad con filtración de NSA
- Glosario de términos de NERC
- Normas y fechas efectivas de NERC
- PIC de NERC-007-6 para Administración de seguridad del sistema
- Requisito R4 PIC de NERC-010-2 para activos cibernéticos transitorios y unidades extraíbles
