Sobre la ciberdefensa industrial y sus amenazas

Los tiempos que corren otorgan al prefijo “ciber” un protagonismo sospechosamente repentino y, dentro de su cohorte, aparecen las ciberguerras, los ciberataques y la ciberseguridad. Dado que lo único que parece importar hoy es la economía, resulta conveniente preguntarse si, en realidad, en lugar de escenarios de ciberguerras, al final lo que tenemos delante es un sencillo escenario de enfrentamiento entre operaciones y capacidades de cibersabotaje y de ciberdefensa industrial.

Jorge Dávila Muro
Consultor independiente. Director. Laboratorio de Criptografía. LSIIS. Facultad de Informática. UPM. Esta dirección electrónica esta protegida contra spambots. Es necesario activar Javascript para visualizarla

Ya en los mismos albores de la industrialización y del emerger de las máquinas como aceleradoras del desarrollo social humano, esas mismas mejoras incluían debilidades y vulnerabilidades que podían ser utilizadas por el contrario para frenarlas. El ejemplo más romántico lo encontramos en la Holanda del siglo XV donde algunos trabajadores textiles se oponían a que los telares automáticos convirtiesen su oficio en algo obsoleto, lanzando sus zuecos (sabots) a los engranajes de aquellas amenazadoras máquinas (entonces de madera) para romperlas.

El sabotaje es cualquier acción deliberada dirigida a debilitar al contrario mediante la subversión, obstrucción y destrucción de sus recursos más preciados y necesarios. Dentro de este concepto también se incluyen todas aquellas acciones encaminadas a equivocar o restar eficiencia a cualquier proceso social o productivo, con el consiguiente despilfarro de recursos y capacidades.

El 11 de mayo de 1917, FiodoreWozniak utilizó un trapo impregnado de fósforo y un lápiz incendiario que le entregaron agentes alemanes, para prender fuego a su banco de trabajo en una fábrica de municiones próxima a Kingsland (NY). Esta acción causó de inmediato un vigoroso incendio que destruyó medio millón de cargas de mortero, decenas de miles de detonadores, la fábrica en sí y, en conjunto, supuso no menos de 17 millones de dólares en pérdidas. La autoría del hecho se mantuvo oculta los siguientes diez años.

Un ejemplo reciente de sabotaje industrial lo encontramos en 1974 en la construcción de la presa hidroeléctrica canadiense bautizada como Robert-Bourassa. En ese año, los trabajadores encargados de su construcción utilizaron los buldózers para destrozar los generadores eléctricos recién instalados, para inutilizar los depósitos de combustible y, por último, decidieron prender fuego a los edificios que había en pie. El resultado de esta acción fue retrasar un año la terminación de ese recurso energético y el encarecimiento del mismo en dos millones de dólares canadienses.

El campo en el que el sabotaje es realmente un elemento más de la parafernalia profesional, es el de la guerra. En términos bélicos, el sabotaje es cualquier actividad de un individuo o grupo, no asociados a los ejércitos regulares combatientes, cuyas acciones provocan la destrucción o degradación de un recurso productivo o vital del contrario (fábricas, presas, servicios públicos, silos de almacenamiento, rutas de transporte, etc.).

Ejemplos clásicos de sabotaje

Un ejemplo clásico de sabotaje militar es la explosión de los almacenes de munición ubicados en la isla de Black Tom del puerto de Nueva York, durante la madrugada del 30 de Julio de 1916, a manos de agentes saboteadores alemanes. El objetivo de esta acción era la de evitar que esas municiones llegasen al bando aliado de la primera guerra mundial y fuesen utilizadas en los ya entonces muy ensangrentados campos de batalla.

Otro ejemplo importante del sabotaje lo tenemos en el nacimiento del Estado de Israel (1945-1948). Grupos de judíos se dedicaron a hacer difícil la vida de los británicos en la que ya estaba acordado que dejase de ser su colonia: Palestina. El grupo Haganah, que terminaría siendo las fuerzas armadas israelíes, se centró en atacar los campos británicos de refugiados y las instalaciones de radar marítimo utilizadas para detectar barcos llenos de inmigrantes ilegales. El grupo sionista LeJI (LojameiJerut Israel) y el grupo Irgun o Etzel, utilizaron el terrorismo y el sabotaje contra los británicos y sus líneas de comunicación.

En noviembre de 1946, ambos grupos atacaron los ferrocarriles palestinos en más de una veintena de ocasiones en solo tres meses, lo que provocó una huelga de los trabajadores palestinos.

Formas modernas de sabotaje

Según la normativa internacional, los saboteadores son clasificados como enemigos y, al igual que los espías, son perseguidos y castigados como criminales y no son considerados prisioneros de guerra. En general, el sabotaje bien hecho debe ser difícil de detectar y más difícil aún de relacionar con su posible origen, porque, de lo contrario, el fusilamiento sumarísimo es lo que les espera a sus autores.

Una forma moderna de sabotaje la podemos encontrar en la distribución de software cuyo único fin es dañar o destruir instalaciones industriales en concreto. Como ejemplo de ello tenemos, en 1982, una operación encubierta en la que EE.UU. destruyó el gaseoducto transiberiano ruso mediante una “bomba lógica” previamente incluida por la CIA¹ en el software robado por los rusos y utilizado en su instalación. Los efectos del malfuncionamiento inducido por el software terminaron con la explosión del gaseoducto, liberando una potencia total de tres kilotones.

Un ejemplo aún más reciente lo tenemos en el caso del gusano informático Stuxnet², diseñado por norteamericanos e israelíes, para infectar y dañar sigilosamente las centrifugadoras de gas que se utilizan en el programa iraní de enriquecimiento de material nuclear de Natanz.

El sabotaje, como instrumento militar, va desde (1) golpes tecnológicamente muy avanzados, de planificación muy detallada y perpetrados por comandos especialmente entrenados, a (2) numerosas acciones sencillas e insidiosas realizadas por ciudadanos individuales. Estas operaciones “quintacolumnistas” se diseñan y realizan de modo que supongan riesgos mínimos para el saboteador y sean difíciles de detectar y evitar.

Además de la destrucción física, entre los métodos básicos de sabotaje hay que incluir también el “factor humano”.

Por este último se entienden todas aquellas acciones que lleven a tomar decisiones erróneas al contrario, y a la propagación de aptitudes derrotistas, no-cooperativas o claramente ineficientes.

El uso efectivo del sabotaje

El uso más efectivo del sabotaje es “contra la producción y las organizaciones” ³; de hecho, la OSS (luego CIA), a la hora de hablar en su manual de campo de los mecanismos para “hundir la moral y crear confusión” propone, entre otros, el más sencillo de los sabotajes: “Actúa como un estúpido” ⁴. Otras formas pasivas de sabotaje consisten en hacer que se pierdan los envíos o dejar pasar intencionadamente materiales defectuosos en las cadenas de producción de material militar.

Hay muchos más ejemplos en la historia reciente que abundarían en la idea de lo importante que ha sido, y es, el sabotaje para minar las capacidades económicas y organizativas de una sociedad o Estado. Pero el nuevo escenario global de las redes de comunicaciones, la Sociedad de la Información y la organización social del siglo XXI dan una mayor y renovada importancia al sabotaje y al espionaje como actividades bélicas o criminales.

Vulnerabilidades no previstas

Los sistemas de control industrial existen para aumentar la eficiencia y los beneficios que se pueden obtener de los procesos productivos. Sin embargo, esa automatización lleva asociadas vulnerabilidades, casi siempre desconocidas, que acompañan amenazantes a esos sistemas. Hasta ahora, la ciberseguridad industrial ha sido ostensiblemente ignorada por el sector industrial y sus ingenieros alegando (1) ser un sobrecoste, (2) no terminar [ellos] de entender su necesidad y (3) por la baja frecuencia de los incidentes en las fábricas.

Sin embargo, esa misma presión económica que desaconseja los sobrecostes ha hecho que los sistemas industriales abandonen su ignota torre de marfil y terminen basándose en componentes genéricos, propios de las Tecnologías de la Información.

Esta “vulgarización” de los sistemas industriales aumenta y facilita las posibilidades de ataque. Cada día que pasa, aumenta el nivel de amenaza en el sector productivo por parte de individuos aislados, gobiernos bien financiados y compañías competidoras perfectamente conocedoras del sector. En pocos años, el riesgo de todas las instalaciones industriales ha aumentado varios órdenes de magnitud.

La tecnología de control industrial está en continua evolución y las nuevas vulnerabilidades aparecen con mayor velocidad de lo que los ingenieros de software y hardware pueden entender, atender y solucionar. Por tanto, el objetivo de la futura y necesaria ciberseguridad industrial no debe ser anticiparse a cada posible tipo de ataque, como se ha hecho sin ningún éxito en el entorno TI, sino hacer los sistemas más difíciles de comprometer.

Estándares y certificaciones de ciberseguridad

Parte de ese esfuerzo necesariamente estará en el desarrollo de estándares de ciberseguridad que permitan a las organizaciones operar de forma segura, minimizando el número de ciberataques que tengan éxito. Asimismo, ciertas instalaciones especialmente críticas necesitarán una ciberseguridad certificada por organismos competentes y exquisitamente independientes de los fabricantes de equipos. La posibilidad de esa ciberseguridad industrial certificada abre la puerta a que se pueda “asegurar” su funcionamiento del mismo modo que se aseguran otras actividades sociales y productivas.

En el ámbito de las Tecnologías de la Información este mismo intento se remonta a antes del año 1997, año en el que se publica el RFC 2196 consagrado al desarrollo de Políticas de Seguridad. Hoy en día, ese el punto en el que se encuentra la ciberseguridad industrial, lo que supone, al menos, dieciséis años de retraso.

Este retraso bien podría suponer una ventaja si los encargados de asegurar las instalaciones industriales tienen la voluntad y capacidad de aprender de lo que ha dado de sí la seguridad TI en esos más de tres quinquenios. Sin embargo, hay que reconocer que hay elementos completamente nuevos en el escenario, como es el caso de que los ciclos de vida de los sistemas industriales que se miden en décadas y no en meses. Dicho de otro modo, el hardware y el software industrial deberían mantenerse actualizados según evoluciona la tecnología y las amenazas y, sin embargo, no pueden ser sustituidos o amortizados en tiempos inferiores a décadas y, en algunos casos, ni siquiera pueden detener su funcionamiento por motivos de mantenimiento. El clásico recurso de “apagar y volver a encender” es algo del todo impensable en muchos escenarios industriales.

En las instalaciones que nos ocupan conviven muchos protocolos de comunicación y no hay un acuerdo general de cuál debería ser el estándar, por lo que podemos encontrar varios modelos compitiendo entre sí para hacer la misma función. No habrá una ciberseguridad industrial que se precie hasta que el galimatías MODBUS Serial y TCP y los PROFIBUS PA y DP, entre otros, desaparezca para dar lugar a un solo modelo que pueda ser estudiado y evaluado en cuanto a su seguridad.

La realidad de la ciberseguridad industrial actual es sombría. Todos los sistemas de control se han gestado alejados del resto de las tecnologías de la información en lo que a su seguridad se refiere. Si a eso le sumamos que algunas de las instalaciones se diseñaron décadas atrás, cuando los ciberataques ni existían ni se imaginaban, y que los ingenieros industriales no incluyeron salvaguardia alguna en sus sistemas de control, la amenaza es ahora bien distinta. Dado el aumento dramático de ataques auspiciados por el dinero o por motivos políticos, todos los sectores de la infraestructura industrial global son vulnerables y están expuestos a ataques potencialmente devastadores.

No solo hay que temer los ataques intencionados (sabotajes) a las redes industriales, porque también pueden ser víctimas de infecciones fortuitas y no específicas que den al traste con ellas. Ejemplo de ello lo es cuando en 2003 el gusano Slammer ⁵ desactivó parte del sistema de monitorización de seguridad de la central nuclear Davis- Besse ⁶ en Ohio. El aumento descontrolado del tráfico de red causado por el gusano provocó una denegación efectiva de servicio en varios componentes de la red de monitorización, y con ello quedaron inaccesibles desde otros componentes del sistema.

Ya en 2010 el Repository of Industrial Security Incidents ⁷ indicó que el 50% de todos los incidentes de seguridad denunciados fueron debidos a virus, gusanos y caballos de Troya genéricos.

Cábalas, futuribles y cibersabotajes

Puestos a buscar guiones para una buena novela de aventuras, podemos pensar en registros públicos que se vuelven locos y lo nuestro ya no es nuestro, ni nos llamamos como nuestra madre nos nombró, en sistemas tributarios que dicen que no les hemos pagado o que les debemos lo que no es nuestro, en sistemas de control de tráfico aéreo o de superficie que parecen jugar con nuestra paciencia, en robos del fruto de nuestros esfuerzos en I+D+i para que otros se lleven nuestros beneficios competitivos, en historiales médicos barajados que nos exponen inexorablemente a un diagnóstico erróneo que puede ser letal o, como en la serie Homeland ⁸, a que nos podamos cargar al Vicepresidente de EE.UU. hackeando su marcapasos.

Lo más preocupante de esta situación no es la abundancia de elementos para escribir buenas novelas de ficción sino que estas pueden no ser tan fantasiosas. Lo grave es que, hoy por hoy, la mayoría de los que saben algo sobre los procesos industriales, poco saben de ciberseguridad y eso nos les preocupa; y los que conocen con detalles la ciberseguridad, usualmente profesionales de las tecnologías de la información, a menudo lo desconocen todo de los procesos industriales. Superar este escenario tan desolador es un reto ineludible que tenemos por delante y que necesariamente habremos de resolver.

Más que ciberguerras, lo que seguro tenemos delante son cibersabotajes, así que, más nos vale que lo hagamos bien y sepamos aprovechar el retraso relativo que hoy tiene el mundo de la ciberseguridad industrial respecto a los sistemas de información. No hacerlo será convertir la ficción en realidad, y eso no siempre es bueno.

Documento en PDF