Industria 4.0: Principios de diseño

En el anterior artículo de esta serie, se realizó un breve recorrido a través de las distintas revoluciones industriales hasta llegar a la industria 4.0, que da ahora los primeros pasos del camino que seguirán los entornos industriales del futuro.

Pero, ¿Qué caracteriza esta industria? ¿Cómo es una Smart Factory? ¿Qué diferencia hay respecto al escenario actual?

Para responder a estas preguntas hay que comprender que actualmente se dispone de inmensos sistemas de fabricación completamente automatizados, muy eficaces a la hora de producir grandes cantidades de un mismo producto en muy poco tiempo. Los cambios en la producción y los inconvenientes como averías, producen paradas técnicas que se traducen en pérdidas económicas al reducirse el output generado.
[Read more…]

Industria 4.0: De la máquina de vapor a la digitalización

Últimamente hay términos como IoT, Big Data o Cloud Computing, que están en boca de todos por tratarse de tecnologías emergentes que ya se hacen su sitio entre organizaciones y usuarios. El entorno industrial no es una excepción y a medida que va incorporando estas tecnologías, emerge la industria 4.0. En esta serie de posts se tratarán aquellos temas concernientes a este concepto.

Desde su origen, la humanidad ha hecho uso de los medios técnicos que tenía a su alcance para poder mejorar su calidad de vida. Este proceso alcanzaría a finales del siglo XVIII una gran aceleración con la primera revolución industrial.

Caracterizada por la llegada de la máquina de vapor y respaldada por los muchos avances de la ciencia y la tecnología, la revolución industrial supuso una transformación profunda de una sociedad que se beneficiaba de los mayores avances vistos desde el neolítico.
[Read more…]

Cuarto informe sobre Protección de II.CC. de S2 Grupo. Estudio de la vulnerabilidades publicadas por ICS-CERT desde 2014 hasta Julio de 2015

Continuando con la línea de trabajo iniciada con los tres anteriores informes sobre protección de infraestructuras críticas, S2 Grupo publicó hace unas semanas la cuarta entrega. En esta ocasión, nos hemos centrado en una serie de dispositivos de los que actualmente depende gran parte de la infraestructura industrial española y son muy susceptibles de recibir ciberataques: Los sistemas de automatización de procesos industriales ICS (“Industrial Control System” por sus siglas en inglés).

Los sistemas de control industrial controlan, supervisan y gestionan la infraestructura esencial (crítica) de sectores relacionados con el suministro de energía eléctrica, el abastecimiento de agua y la gestión de aguas residuales, el petróleo y el gas natural, el transporte y otras actividades industriales. Incluyen componentes como sistemas de supervisión, control y adquisición de datos (SCADA), controladores lógicos programables (PLC) o sistemas de control distribuido (DCS). Los ICS se han vuelto un blanco muy apetecible para los ciberatacantes. Los ataques dirigidos ya no son intentos de intrusión realizados por curiosos, sino ciberdelincuencia o ciberguerra. Tanto la seguridad nacional como los beneficios corporativos dependen del funcionamiento fiable y seguro de estos sistemas de control industrial. En vista de estos riesgos muchos países, entre ellos España, están dándose cuenta de la necesidad de proteger mejor los sistemas ICS con la inversión y las medidas adecuadas.
[Read more…]

Nuevo informe del CCN para Sistemas de Control Industrial

img1

El pasado mes de enero, el CCN-CERT publicó el informe de amenazas y análisis de riesgos en Sistemas de Control Industrial (CCN-CERT IA-04/16) que ha sido elaborado de manera conjunta por el propio CCN y S2 Grupo. El objetivo de este informe es establecer un catálogo realista de amenazas o escenarios de riesgo al que están expuestos los sistemas de control industrial en la actualidad.

El documento está dirigido a dos tipos de perfiles:

  • El experto en seguridad sin conocimiento de procesos industriales
  • El experto en explotación de procesos industriales sin conocimientos en seguridad de la información

Por esta razón, se trata de un documento que, sin dejar de ser completo y detallado, pretende ser comprensible sin necesidad de que el lector cuente con elevados conocimientos técnicos en una u otra área. De este modo, trata de ser una guía práctica y útil para personal de organizaciones que cuentan con sistemas de control industrial.
[Read more…]

The blackout…revisited

Este año ha comenzado con algunos sobresaltos para todos aquellos con responsabilidad en la operación segura de redes eléctricas de potencia. Tenemos, por un lado, el suceso en la Israel Electric Authority. El 27 de enero nos encontramos con titulares como éste, de Fox News:

img5

Aparentemente había llegado el día en que alguien había activado, al fin, el botón del juicio final y había reducido, o estaba en camino de conseguirlo, a Israel a la edad media. Sin embargo, la realidad resultó ser un poco más prosaica y los profetas del apocalipsis tuvieron que enfundar de nuevo sus teclados al constatarse que, en realidad, nos encontramos frente a un caso de ramsonware en equipos que formaban parte de una red típicamente TI que se infectaron por la poco elegante vía del phishing. Es más, según leo, la pérdida parcial de suministro de algunos clientes se pudo deber a la decisión deliberada del personal encargado de la operación del sistema que habría preferido actuar así, desconectando carga, antes de enfrentarse al colapso completo de la red. Más aún, se llega a afirmar que los operadores reaccionaron así ante el convencimiento de estar siendo atacados en un momento en el que la demanda estaba creciendo a un alto ritmo a causa de las bajas temperaturas.

[Read more…]

Laboratorios de ciberseguridad industrial (III): Casos reales y conclusiones

En las dos entregas anteriores (primera) (segunda) hemos ido viendo algunas pinceladas a nivel teórico sobre laboratorios de ciberseguridad industrial: contexto, necesidades y recursos. En esta entrada se incluye una pequeña selección de laboratorios de ciberseguridad industrial que se encuentran en funcionamiento en la actualidad y que muestran diferentes tipologías posibles.

1. NIST (Reconfigurable Industrial Control Systems Cyber-Security Testbed)

NIST es una agencia federal de EEUU, y por lo tanto de carácter público, perteneciente al departamento de comercio que trabaja en el desarrollo y aplicación de tecnologías y estándares para la industria.

El principal objetivo de este laboratorio es proporcionar orientación a la industria en materia de ciberseguridad de los ICS. Su intención es mostrarlo de manera aplicada en una serie de procesos de distintos sectores: una planta química, montaje automático con robots, sistemas de supervisión y control distribuidos (como la distribución de gas), sistemas de distribución de agua y sistemas de transporte inteligente.

[Read more…]

Laboratorios de ciberseguridad industrial (II): Necesidades y recursos

En la primera entrega de esta serie se introdujo el contexto en el que se enmarcan los laboratorios de ciberseguridad industrial: vimos las características específicas del sector y dimos unas pinceladas sobre los laboratorios industriales clásicos. En el artículo de hoy hablaremos de los distintos enfoques de laboratorio y los recursos con los que podría ser necesario contar.

Laboratorios de ciberseguridad… ¿por dónde empezar? Necesidades, tipologías organizativas y objetivos

Existe una gran diversidad de enfoques a la hora de plantear un laboratorio de ciberseguridad industrial en función de:

  • A qué necesidades quiere darse respuesta
  • La tipología organizativa impulsora del laboratorio
  • Los objetivos específicos que se quieren marcar

[Read more…]

Laboratorios de ciberseguridad industrial (I): Contexto

En los últimos años la sociedad está experimentando cambios constantes en el ámbito te las tecnologías. La integración de las TIC (tecnologías de la información y las comunicaciones) en nuestro día a día es más que evidente. En el entorno industrial también está ocurriendo y sus características específicas hacen que aparezcan ciertos problemas difíciles de salvar.

Óscar, en su post “Cuestión de garantía”, abría un interesante debate sobre la posible responsabilidad de los fabricantes frente a perjuicios causados por vulnerabilidades conocidas no parcheadas. Una de las cuestiones que planteaba es si sería posible crear un sistema paralelo de acreditaciones y certificaciones de seguridad. En ese caso hipotético, los laboratorios de ciberseguridad industrial podrían desempeñar un rol importante. A lo largo de esta serie de tres entregas compartiremos algunas ideas y reflexiones sobre dichos laboratorios, sus funciones y recursos que necesitan.

ar0

[Read more…]

Cuestión de garantía

garantia0A pesar de que ya llevo años trabajando en el sector TI, algunas cosas todavía hacen rechinar los engranajes de mi mentalidad de ingeniero industrial (engranajes, industrial, bueno, ya me entendéis).

Se habla mucho de la convergencia entre IT y OT y las diferencias entre ambos sectores, en muchas ocasiones con argumentos que incluyen conceptos como: diferencia de vidas útiles de los equipos; énfasis en la safety más que por la security; prioridad del criterio de disponibilidad frente a confidencialidad e integridad; mentalidad conservadora, etc. Uno de los puntos más importantes es, sin duda, la preocupación por la seguridad de las personas y las cosas (así se dice en cantidad de reglamentos técnicos). Esto es exactamente así: nos preocupa la seguridad de las personas y las cosas porque los fallos de los sistemas industriales pueden implicar la muerte de personas y/o la destrucción de infraestructuras, edificaciones o, al menos, del propio equipo afectado. Está muy reciente el incidente en el puerto de Tianjin, en China, que se saldó con la muerte de más de 100 personas, cientos de miles de desplazados y un daño medioambiental de enormes proporciones.

[Read more…]

¿Automóviles vulnerables a ciberataques? (II)

Tras la introducción que vimos hace unos días, pasamos a la parte que más probablemente os gusta: analizar los vectores de ataque.

Para ello he cogido como ejemplo una arquitectura propuesta por BMW en sus nuevos coches lanzados al mercado. Se observan distintas opciones de ataque que se podrían encontrar tanto BMW como sus usuarios con la arquitectura propuesta. Hay que tener en cuenta que con toda la nueva tecnología y funcionalidades disponibles, el usuario está expuesto a nuevas amenazas que anteriormente no existían:

  • Vector 1. Portal My BMW ConnectedDrive.

    Se trata de un portal web desde el que es posible realizar la administración del vehículo. Para darse de alta es necesario proporcionar el número de bastidor de cada vehículo (número VIN). Una vez introducido el código VIN en el portal, se envía un segundo código al coche que se recibe a través de la tarjeta SIM que tiene integrada. El usuario debe abrir el coche y apuntar esta numeración para luego introducirla en el portal web. De este modo, se tiene que realizar una autenticación de dos factores que evita, por ejemplo, que podamos introducir los datos de un vehículo que no sea nuestro pero del que conozcamos los datos que nos solicitan.

    [Read more…]