Las infraestructuras heredadas de tecnología operativa (OT) y sistemas de control industrial (ICS) siguen planteando importantes retos de seguridad a las organizaciones industriales. Muchos sistemas obsoletos nunca se diseñaron para los entornos conectados de hoy en día, pero aún soportan operaciones críticas en los sectores de la fabricación, los servicios públicos, el transporte y la energía.

A continuación se describen 11 vías de ataque ocultas en OT que suelen crear los entornos obsoletos y los controles prácticos que las organizaciones pueden aplicar para reducir el riesgo rápidamente.

1. Sistemas operativos no compatibles conectados a entornos de producción

Muchos entornos industriales siguen dependiendo de sistemas operativos no compatibles que ya no reciben actualizaciones de seguridad. Estos sistemas a menudo permanecen profundamente integrados en los procesos de producción porque su sustitución exigiría costosas paradas operativas o la revalidación de sistemas críticos.

Las amenazas atacan activamente estos activos porque las vulnerabilidades están bien documentadas y las herramientas de explotación están ampliamente disponibles. Una vez comprometidos, estos sistemas pueden proporcionar a los atacantes un punto de apoyo estable dentro de los entornos operativos.

Las organizaciones industriales deben dar prioridad al aislamiento de la red para los sistemas no compatibles, aplicar políticas estrictas de segmentación y utilizar parches virtuales cuando las actualizaciones directas no sean posibles desde el punto de vista operativo. La supervisión continua del tráfico hacia y desde los activos heredados también puede ayudar a identificar actividades sospechosas en una fase temprana.

2. Acceso remoto no seguro de proveedores

El acceso remoto de terceros se ha convertido en uno de los puntos de intrusión más comunes en los entornos de OT. Los proveedores a menudo requieren acceso para diagnóstico, mantenimiento y soporte, pero los entornos más antiguos a menudo dependen de conexiones VPN persistentes, credenciales compartidas o servicios de escritorio remoto mal supervisados.

Los atacantes atacan cada vez más a los proveedores y contratistas porque a menudo proporcionan acceso de confianza a entornos críticos, eludiendo los controles de seguridad estándar.

Las organizaciones industriales deben implantar la gestión de accesos privilegiados, aplicar la MFA en todas las conexiones remotas y utilizar sesiones de acceso de tiempo limitado con registro completo de la actividad. Las vías de acceso remoto también deben segmentarse lejos de los sistemas operativos críticos siempre que sea posible.

3. Convertidores serie-Ethernet olvidados

Muchos sistemas de control industrial heredados se construyeron originalmente en torno a comunicaciones serie antes de que Ethernet se generalizara en los entornos operativos. A medida que las organizaciones se modernizaban, se introdujeron convertidores de serie a Ethernet para unir la infraestructura antigua y la nueva.

Con el tiempo, muchos de estos dispositivos cayeron en el olvido o quedaron excluidos de los inventarios formales de seguridad. Dado que a menudo permanecen en silencio dentro del entorno, pueden crear rutas de ataque ocultas directamente hacia los controladores industriales y los dispositivos de campo.

El descubrimiento exhaustivo de activos y el mapeo de redes OT son fundamentales para identificar los puentes de comunicación heredados. Una vez identificados, estos dispositivos deben aislarse en zonas de red estrictamente controladas y supervisarse para detectar comportamientos de tráfico anómalos.

4. Arquitectura de red OT plana

Muchos entornos OT antiguos siguen funcionando con una segmentación interna mínima. Históricamente, estas redes se diseñaban en torno a la fiabilidad y la simplicidad operativa más que en torno a la resistencia de ciberseguridad.

El resultado es que una vez que los atacantes obtienen acceso a un único dispositivo, el movimiento lateral a través del entorno operativo puede ser relativamente sencillo. Esto aumenta significativamente la superficie de ataque y la exposición a amenazas en entornos OT.

Una fuerte segmentación sigue siendo una de las formas más eficaces de reducir el riesgo operativo. Separar los entornos de OT de los de TI, aislar los sistemas críticos y restringir el tráfico de este a oeste puede reducir drásticamente la capacidad de los atacantes para moverse a través de las redes industriales.

5. Estaciones de trabajo de ingeniería heredadas

Las estaciones de trabajo de ingeniería suelen representar algunos de los sistemas más valiosos dentro de los entornos industriales. Normalmente contienen privilegios elevados, acceso directo a PLC y configuraciones operativas sensibles.

Desgraciadamente, estos sistemas se excluyen con frecuencia de los ciclos de mantenimiento regulares porque el tiempo de inactividad limita las oportunidades de aplicación de parches. Algunos siguen funcionando con software antivirus obsoleto, acceso USB sin restricciones y una supervisión mínima.

En los sistemas de ingeniería debe darse prioridad a las listas de aplicaciones permitidas, la supervisión de puntos finales y las políticas de restricción de medios extraíbles. Las organizaciones también deberían minimizar la conectividad a Internet desde estos puestos de trabajo siempre que sea factible desde el punto de vista operativo.

6. Medios extraíbles no gestionados

Los dispositivos USB siguen utilizándose ampliamente en entornos industriales para diagnósticos, actualizaciones y transferencia de archivos operativos. Sin embargo, los soportes extraíbles siguen siendo uno de los mecanismos más fáciles para introducir malware en entornos de OT.

Muchos entornos antiguos aún carecen de una gobernanza coherente de los medios extraíbles, controles de escaneado o procedimientos de transferencia entre los sistemas de TI y OT.

Las estaciones de desinfección de USB dedicadas, las políticas de dispositivos autorizados y los procedimientos de transferencia estrictos pueden reducir significativamente el riesgo de que el malware entre en los entornos de producción a través de medios extraíbles.

7. Sistemas HMI expuestos a Internet

En ocasiones, los sistemas de interfaz hombre-máquina quedan expuestos a Internet durante la resolución remota de problemas, los acuerdos temporales de acceso de proveedores o los cambios operativos mal gestionados.

Los actores de amenazas buscan activamente sistemas HMI expuestos porque pueden proporcionar visibilidad directa de las operaciones industriales y, en algunos casos, la capacidad de manipular procesos.

La supervisión de la superficie de ataque externa y las evaluaciones periódicas de la exposición son esenciales para identificar los activos OT orientados a Internet antes de que los atacantes los descubran.

8. Credenciales débiles por defecto en dispositivos integrados

Muchos dispositivos industriales siguen funcionando durante años con las credenciales predeterminadas del fabricante porque cambiarlas puede afectar a los acuerdos de asistencia del proveedor o interrumpir las integraciones heredadas.

Estas credenciales suelen estar disponibles públicamente en Internet y se utilizan con frecuencia en ataques dirigidos contra las vulnerabilidades de los sistemas de control industrial.

Las organizaciones industriales deben implementar procesos estructurados de gestión de credenciales, rotar las cuentas privilegiadas con regularidad y supervisar continuamente la actividad de autenticación en todos los entornos OT.

9. Firmware de PLC sin parchear

La gestión del ciclo de vida de los activos y la aplicación de parches sigue siendo uno de los mayores retos de la ciberseguridad de la tecnología operativa. Muchos PLC y controladores funcionan continuamente con ventanas de mantenimiento limitadas, lo que hace que las actualizaciones de firmware sean difíciles de programar con seguridad.

Como resultado, las organizaciones industriales a menudo continúan operando sistemas con vulnerabilidades explotables conocidas durante períodos prolongados.

En lugar de intentar aplicar amplios programas de parcheo a todos los activos, las organizaciones deben priorizar los esfuerzos de corrección en función de la explotabilidad, la criticidad operativa y las vías de exposición.

10. Protocolos industriales inseguros

Protocolos como Modbus, DNP3 y las antiguas implementaciones de OPC nunca se diseñaron teniendo en cuenta los requisitos modernos de ciberseguridad. La mayoría carece por completo de controles de cifrado, autenticación e integridad.

Los atacantes capaces de acceder a estos canales de comunicación pueden interceptar comandos, manipular el tráfico industrial o interrumpir los procesos operativos sin ser detectados.

Los sistemas de detección de intrusos industriales, la inspección profunda de paquetes y la monitorización de red consciente de OT pueden mejorar la visibilidad de la actividad de protocolo sospechosa y las comunicaciones anómalas.

11. Activos OT en la sombra fuera de la gobernanza

Muchos entornos industriales contienen sistemas no documentados, despliegues temporales y activos no gestionados que quedan fuera de los procesos formales de gobernanza. Estos activos en la sombra suelen eludir por completo la gestión de vulnerabilidades, la supervisión y las revisiones de seguridad.

Sin una visibilidad completa, las organizaciones no pueden evaluar con precisión las vulnerabilidades de los sistemas de control industrial ni comprender el verdadero alcance de los retos de gestión de riesgos de los sistemas heredados.

El descubrimiento continuo de activos y la visibilidad centralizada de OT son esenciales para identificar los sistemas no gestionados antes de que los atacantes los exploten.

Cómo puede ayudar Integrity360

La seguridad de los entornos de tecnología operativa requiere conocimientos especializados que comprendan tanto las operaciones industriales como las amenazas modernas a la ciberseguridad. Los servicios de seguridad OT de Integrity360 ayudan a las organizaciones a identificar riesgos ocultos, reforzar la segmentación, mejorar la visibilidad y reducir el riesgo operativo en entornos OT e ICS complejos.

Desde Auditorías Industriales 360 y pruebas de penetración OT hasta respuesta a incidentes OT, soporte de ingeniería y evaluaciones de resiliencia ransomware, Integrity360 proporciona servicios a medida diseñados específicamente para operaciones industriales.

Con más de 40 consultores de seguridad OT, más de 250 pruebas de penetración OT realizadas anualmente y experiencia en el apoyo a organizaciones de los cinco continentes, Integrity360 ayuda a las organizaciones industriales a descubrir rutas de ataque ocultas antes de que lo hagan los atacantes.

Si a su organización le preocupan los activos obsoletos del sistema de control industrial y el riesgo de seguridad OT, ahora es el momento de actuar.

Póngase en contacto con Integrity360 para evaluar su entorno OT, identificar exposiciones críticas y reforzar la resistencia de sus operaciones.