SEGURIDAD DE LOS SISTEMAS DE MONITORIZACIN Y CONTROL DE PROCESOS E INFRAESTRUCTURAS (SCADA Supervisory Control And Data Acquisition)

Edgar Alfonso Godoy Lpez CISSP, CISM, CRISC, C|EH, LA ISO 27001, COBIT FC, ITIL3 FC
SEPTIEMBRE DE 2012

Un sistema SCADA se puede describir de forma general como un sistema que permite la monitorizacin y/o control, de forma centralizada y remota, de un conjunto de dispositivos finales. Se trata de un trmino que pese a estar restringido a un tipo de sistema de control industrial actualmente se utiliza para denominar a la gran mayora de estos sistemas.

SCADA se aplica a cualquier sistema de monitorizacin y/o control en tiempo real, pudiendo englobar esta denominacin ICS (Industrial Control System, sistemas de control industrial), los DCS (Distributed Control System, sistemas de control distribuido) o sistemas basados directamente sobre PLCs (Programmable Logic Controllers, controladores lgicos programables).

Estructura tpica de un sistema SCADA tradicional

PROTOCOLOS SCADA

 PROTOCOLOS SCADA

 PROTOCOLOS SCADA

Mas informacin: http://guimms.wordpress.com/2009/01/02/protocolos-scada-y-seguridad/

Comparativo Prioridades CIA

TIC

SCADA

Algunos conceptos de Seguridad de Expertos de Seguridad

Causas del Escenario Actual de Riesgo

Exceso de confianza en la seguridad por oscuridad Minimizacin de riesgos y amenazas Ampliacin de visibilidad

Uso de tecnologas y soluciones de propsito general

Generalizacin y expansin del uso de sistemas de monitorizacin y control Escasa evolucin Configuraciones por defecto Arquitecturas de red poco seguras

Noticias

http://www.ketu.es/index.php/geek/140-ataques-a-infraestructuras-scada-mediante-el-virus-stuxned http://seguridadit.blogspot.com/2010/10/stuxnet-el-terror-de-los-scada.html

http://www.datacenterdynamics.es/focus/archive/2012/01/los-ataques-seincrementar%C3%A1n-sobre-los-sistemas-scada-en-2012

http://www.seinhe.com/noticias/62-flame-nuevo-virus-identificado-contra-sistemas-scada

http://ideasweb.info/blog/?p=11573

Normatividad
EUROPEA Comunicacin de la Comisin al Consejo y al Parlamento Europeo, del 20 de octubre de 2004, sobre Proteccin de infraestructuras crticas en la lucha contra el terrorismo Comunicacin de la Comisin, de 12 de diciembre de 2006, sobre un Programa Europeo para la Proteccin de Infraestructuras Crticas (PEPIC) Directiva 2008/114/CE del Consejo, de 8 de diciembre, sobre Identificacin y Designacin de Infraestructuras Crticas Europeas y la Evaluacin de la Necesidad de Mejorar su Proteccin ESPAOLA Ley 8/2011, de 28 de abril, de Medidas para la Proteccin de las Infraestructuras Crticas Real Decreto 704/2011, de 20 de mayo, por el que se aprueba el Reglamento de proteccin de las infraestructuras crticas Plan Nacional de Proteccin de las Infraestructuras Crticas (PNPIC) Acuerdo para la Proteccin de Infraestructuras Crticas Catlogo Nacional de Infraestructuras Estratgicas Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad Real Decreto 4/2010, de 8 de enero, por el que se regula el Esquema Nacional de Interoperabilidad en el mbito de la Administracin Electrnica

LINEAMIENTOS DE POLTICA PARA CIBERSEGURIDAD Y CIBERDEFENSA 14 de Julio de 2011 I) Adopcin de un marco interinstitucional apropiado para prevenir, coordinar, controlar, generar recomendaciones para afrontar las amenazas y los riesgos que se presenten.

II) Brindar capacitacin especializada en seguridad de la informacin y ampliar las lneas de investigacin en ciberdefensa y ciberseguridad. III) Fortalecer la legislacin en estas materias, la cooperacin internacional y adelantar la adhesin de Colombia a los diferentes instrumentos internacionales. Grupo de Respuesta a Emergencias Cibernticas de Colombia (colCERT) Comando Conjunto Ciberntico de las Fuerzas Militares (Ccoc) Centro Ciberntico Policial (CCP)

Organizaciones Internacionales
Reino Unido Centre for the Protection of National Infrastructure (CPNI). Estados Unidos American Gas Association (AGA), ha desarrollado un estndar para la proteccin criptogrfica de las comunicaciones en sistemas SCADA: AGA 12: Cryptographic Protection of SCADA Communications. North American Electric Reliability Corporation (NERC). National Institute of Standards and Technology (NIST). NIST Special Publication 80082 - Guide to Industrial Control Systems (ICS) Security. http://csrc.nist.gov/publications/nistpubs/800-82/SP800-82-final.pdf Department of Homeland Security (DHS), ha publicado la gua Cyber Security Procurement Language for Control Systems. Europa European Network and Information Security Agency (ENISA), ha publicado, entre otros, el documento Protecting Industrial Control Systems. Recommendations for Europe and Member States.

http://www.shodanhq.com/

Algunas busquedas con SHODANHQ:

http://www.shodanhq.com/?q=port:161+country:US+simatic http://www.shodanhq.com/?q=PLC http://www.shodanhq.com/?q=allen+bradley http://www.shodanhq.com/?q=fanuc http://www.shodanhq.com/?q=Rockwell http://www.shodanhq.com/?q=Cimplicity http://www.shodanhq.com/?q=Omron http://www.shodanhq.com/?q=Novatech http://www.shodanhq.com/?q=Citect http://www.shodanhq.com/?q=RTU http://www.shodanhq.com/?q=Modbus+Bridge http://www.shodanhq.com/?q=modicon http://www.shodanhq.com/?q=bacnet http://www.shodanhq.com/?q=telemetry+gateway http://www.shodanhq.com/?q=SIMATIC http://www.shodanhq.com/?q=hmi http://www.shodanhq.com/?q=siemens+Subscriber http://www.shodanhq.com/?q=scada+RTS http://www.shodanhq.com/?q=SCHNEIDER http://www.shodanhq.com/?q=port%3A161+simatic http://www.shodanhq.com/?q=%22cisco-ios%22%20%22last-modified%22

Vulnerabilidades identificadas sobre sistemas SCADA: http://osvdb.org/search/search?search[vuln_title]=SCADA#

Otros dispositivos sin seguridad

http://www.waterfallsecurity.com

Certified SCADA Security Architect (CSSA)

http://www.iacertification.org/cssa_certified_scada_security_architect.html

Documentacin de Referencia

http://my.safaribooksonline.com/book/-/9781597496452

Otros enlaces de referencia:

http://www.scadahacker.com/

http://www.managing-scada-securityrisks.com/
http://securingscada.info/publications.php

CONCLUSIONES
No todas las organizaciones son conscientes de que tienen un sistema SCADA Los sistemas SCADA son vulnerables y estn expuestos al exterior El entorno en el que se encuentran los sistemas SCADA ha cambiado A diferencia de Europa donde se han dado pasos importantes a nivel de normatividad, en Colombia no existe normatividad que impulse y obligue mejores practicas para los fabricantes o los que prestan servicios Existe una tendencia de migracin y uso de tecnologas de propsito general Los puntos mas vulnerables de los sistemas SCADA son las configuraciones por defecto y tecnologa que no fue diseada con criterios de seguridad Existe una muy buena posibilidad de desarrollo profesional y oportunidades para especializarse en los temas de seguridad de estos entornos