Proteger y recuperar. Las empresas y Administraciones Públicas deben contar con soluciones y servicios de ciberseguridad que permitan superar todas las fases de un ciberincidente. Esos dos conceptos son clave para garantizar la ciberresiliencia de un negocio. Sin embargo, no es suficiente. Es vital anticiparse a las amenazas y conocer al enemigo para adoptar una postura proactiva y preventiva.
Los planes de ciberresiliencia se han adoptado con mayor granularidad que los planes clásicos de resiliencia. Todo el mundo entiende que debe proteger su empresa ante una contingencia, y también ha acabado entendiendo que debe protegerla de un ciberataque.
Una vez asimilado el concepto de ciberresiliencia, las empresas han comprendido, (por las buenas o por las malas), que la dupla protección/recuperación es insuficiente. El ciberespacio carece de barreras, es infinito y multidimensional (va más allá de las 3D). El él, las amenazas nacen, crecen, se reproducen y mutan vertiginosamente. No mueren nunca.
Esta situación obliga a definir la resiliencia con más profundidad. Ya no se trata solo de defenderse, replegarse ante un estímulo externo y rebotar para recuperarse. Es necesario anticiparse, ir a buscar a las amenazas. Es necesario ser proactivo.
Este contexto multidimensional del ciberespacio nos ha llevado —a las empresas especializadas en ciberseguridad— a ampliar los servicios de protección que ofrecemos con soluciones específicas que van desde el levantamiento de riesgos digitales, la detección y respuesta avanzada, la protección de la red, los entornos cloud y, por supuesto, la ciberresiliencia a través de la protección continua.
Ciberseguridad proactiva y predictiva, también en OT
La proactividad requiere conocer al enemigo, sus tácticas, técnicas y procedimientos, sus herramientas… Pero, a menudo, cuando por fin aprendes todo esto, el enemigo está a tus puertas o ya las ha cruzado. Como remedio, en los ecosistemas TI se emplean desde hace años soluciones de captura y análisis de amenazas. Estas soluciones constan generalmente de uno o varios honeypots (el sistema de captura), que fingen ser los sistemas de producción de una potencial víctima para poder capturar la actividad de un atacante, y de un sistema de análisis de las amenazas capturadas.
La fortaleza de estas soluciones en el ecosistema TI radica en su capacidad para virtualizar y reproducir con software otros sistemas. Además, las características propias de TI (homogeneidad en cuanto a arquitectura y elementos básicos) facilitan este tipo de estrategias.
Sin embargo, en el ecosistema OT (operation technology) la cosa cambia. La virtualización del hierro industrial no reproduce todas las variables que se presentan en el entorno físico. Las soluciones basadas en software no son capaces de ofrecer a las amenazas un entorno propicio para que se ejecuten como si estuvieran en entornos físicos de producción.
Aristeo es una plataforma de inteligencia proactiva y predictiva que analiza las ciberamenazas del ámbito industrial
El tiempo que tarde un atacante —o una amenaza— en darse cuenta de que están en un sistema trampa dependerá de su pericia y su complejidad. Cuanto más capaz sea el atacante, o más compleja resulte ser una amenaza (que exigirá también al honeypot un comportamiento más fiel a la realidad), más difícil tendrá ese trampantojo virtual engañar a su enemigo, por lo que se perderá información de las amenazas más peligrosas.
Además, la antigüedad de los dispositivos industriales y la dificultad o imposibilidad de adaptarlos a los nuevos tiempos incrementan los retos para mantener seguro el ecosistema operacional.
Nadie quiere provocar problemas de seguridad en su empresa, pero, para seguir funcionando, esta tiene que evolucionar. Esto exige conectar los entornos industriales a un mundo cibernético que no existía cuando se diseñó su propósito. El si funciona, no lo toques se repite mucho en este ecosistema, sobre todo lo de no lo toques. Por tanto, la política de actualizaciones no es la misma, ni la de sustitución, ni la de reparación…
Lo evidente es que, de alguna forma, hay que ser proactivo y predictivo. Hay que conocer cuanto antes las amenazas y todo su ecosistema —cosa que los atacantes sí hacen con las líneas de defensa— para estar bien preparados. Y no se puede probar el impacto de estas nuevas amenazas en sistemas de producción (sería como enseñar a operar a estudiantes de medicina con personas vivas).
Aristeo es el camino
En todo este huracán de servicios de ciberseguridad, que nacen y evolucionan para hacer frente a la sofisticación de los ataques, creamos Aristeo: una plataforma de inteligencia proactiva y predictiva nacida del equipo de innovación de Telefónica Tech. Aristeo analiza constantemente las ciberamenazas del ámbito industrial, sin interrupción. Su estrategia consiste en establecer una red de sondas-señuelos, configurados con hardware industrial, con la que capturar las ciberamenazas de este ámbito que circulan por internet, aprendiendo sobre ellas y detectando las potencialmente más peligrosas.
Al utilizar hardware industrial real, la información que se recoge es absolutamente fiable y la inteligencia generada se puede aplicar en sistemas industriales de producción real. Aristeo expone a las amenazas a un entorno similar al que se encontrarían en producción, de la misma forma que se estudia un virus real cuando se hace un cultivo. Se trata de conocer su manera de actuar, sus fortalezas y debilidades…; en esencia, de preparar una mejor defensa contra cada amenaza.
Los señuelos no se tratan de manera aislada, sino que se incorporan a una red gobernada por la inteligencia de Aristeo, lo que facilita un mejor análisis y detección de tendencias, campañas, amenazas persistentes avanzadas (APT), vulnerabilidades 0-day, nuevas mutaciones de amenazas conocidas, etc. La captura y el análisis no se circunscriben al señuelo completo sino que también se centran en cada dispositivo expuesto en los señuelos que conforman la red.
Esto aporta un valor diferencial para Telefónica Tech a la hora de proteger a sus clientes, ya que adelanta el conocimiento de las amenazas y permite preparar mejor las estrategias de defensa y de resiliencia. Además, cada señuelo puede ser configurado para representar cualquier proceso industrial o sector productivo concreto. De hecho, para una amenaza, se tratará de un entorno industrial totalmente operativo.
El hecho de poder desplegar hardware propio de ecosistemas OT (donde también puede haber dispositivos IT, IoT o IIoT) permite a Aristeo ofrecer sus servicios de varias formas: información de inteligencia sobre amenazas (CTI), servicio de informes de ciberinteligencia y de estado de la ciberseguridad, sistemas de engaño para una protección proactiva (deception), plataforma completa para prueba de dispositivos y capacitación del personal, así como entornos para pruebas de red team / blue team.
Horse: experiencia en cliente
Aristeo no es una promesa ni una presentación. Es una solución probada en varios ámbitos y sectores a escala europea. Uno de los clientes a los que Aristeo ha prestado el servicio más completo es Horse Powertrain, dedicada a la producción de sistemas de propulsión de automóviles, incluidos motores de combustión interna y sistemas híbridos.
Se trata de un holding, propiedad a partes iguales de Renault y Geely, que tiene una de sus plantas más importantes en Valladolid. Su compromiso con la ciberseguridad lleva a esta empresa a aplicarla de manera multidimensional, reforzando la capacitación y entrenamiento de la plantilla, además de los sistemas de seguridad.
