¿Qué es un indicador de compromiso en OT?
Cuando los investigadores establecen que un sistema fue vulnerado, lo hacen encontrando evidencia, y las piezas individuales de esa evidencia se llaman indicadores de compromiso. Cada uno es una migaja forense, un artefacto observable que, si lo ve en su entorno, sugiere que un atacante estuvo ahí. En TI esas migajas son famosamente basadas en archivos: el hash de un archivo malicioso o un dominio al que un malware llamó a casa. En OT los indicadores más valiosos suelen ser de conducta, porque la señal más clara de una intrusión industrial no es un archivo en un disco sino una acción que nunca debió ocurrir, como que se cargue un programa a un controlador cuando ningún ingeniero estaba trabajando.
Indicador de compromiso (IOC) en una línea: Un indicador de compromiso es un artefacto forense observable que sugiere que un sistema fue vulnerado, como el hash de un archivo malicioso conocido, una dirección IP o un dominio usado para comando y control, o un cambio de registro sospechoso. En OT, junto a esos indicadores basados en archivos, los defensores se apoyan mucho en indicadores de conducta - acciones que revelan una intrusión por lo que pasó y no por lo que quedó, como una carga de programa inesperada a un PLC o un controlador que alcanza internet. La cacería en OT se apoya en esos signos de conducta porque los dispositivos industriales rara vez ofrecen los artefactos de archivo de los que dependen las investigaciones de TI.
Indicadores clásicos basados en archivos
Los indicadores de compromiso tradicionales son hechos atómicos y verificables sobre archivos y extremos de red. Un hash de archivo identifica de forma única una pieza específica de malware, así que hallar un archivo con un hash conocido como malo en cualquier parte del entorno es evidencia directa de que un programa malicioso particular está presente. Un dominio o IP de comando y control identifica hacia dónde llama a casa el malware, así que ver tráfico a ese destino sugiere que un equipo infectado habla con su operador. Otros indicadores clásicos incluyen nombres de archivo específicos que suelta un implante, claves de registro que crea para persistir, y nombres de mutex que usa para no ejecutarse dos veces.
Estos indicadores se valoran porque son precisos y compartibles. Cuando una organización analiza un ataque, puede publicar los hashes, dominios y demás artefactos que halló, y cualquier otra organización puede de inmediato buscar en su propio entorno esas cadenas exactas. Esta es la base de los feeds de inteligencia de amenazas, que distribuyen listas de indicadores conocidos como malos para que los defensores detecten las herramientas y la infraestructura de ataques vistos en otros lugares antes de que esos mismos ataques los alcancen. Un hash o un dominio es inequívoco: o está presente o no lo está.
La limitación de los indicadores basados en archivos es que también son frágiles y fáciles de cambiar para un atacante. Una sola recompilación produce un hash por completo nuevo, un servidor nuevo da una dirección de comando y control nueva, y un implante ligeramente alterado suelta un nombre de archivo distinto. Esto significa que los indicadores basados en archivos son excelentes para atrapar la reutilización de herramientas conocidas pero pobres para atrapar a un adversario cuidadoso que cambia sus artefactos para cada objetivo. Le dicen cuándo lo golpeó algo ya catalogado, lo cual es valioso, pero son solo la capa más frágil de la evidencia que deja una intrusión.
Por qué OT se apoya en indicadores de conducta
Los indicadores de conducta describen una intrusión por lo que hace un atacante en vez de por lo que deja tirado. En lugar de un hash de archivo, un indicador de conducta podría ser un controlador que se reprograma fuera de una ventana de mantenimiento, una herramienta de ingeniería que se conecta desde un equipo que nunca la corrió, una ráfaga de escaneo por una subred de control, o un PLC que establece una conexión saliente a una dirección de internet que no tiene razón de alcanzar. Estos son indicadores porque tales acciones son signos fuertes de actividad maliciosa incluso cuando no hay ningún archivo conocido como malo a la vista.
Los entornos OT se apoyan en estos signos de conducta por necesidad tanto como por preferencia. Los controladores embebidos, los PLC y las RTU no son computadoras de propósito general que se puedan escanear con facilidad en busca de archivos y hashes; muchos corren firmware cerrado sin forma de inspeccionar un sistema de archivos, y meter un antivirus en un controlador de seguridad no es posible ni prudente. La evidencia basada en archivos de la que dependen las investigaciones de TI con frecuencia sencillamente no existe en estos dispositivos, así que la evidencia observable que queda es lo que hacen en la red y con el proceso. En OT, la conducta suele ser la única superficie forense disponible.
Los indicadores de conducta también son más difíciles de evitar para un atacante, lo que los hace más duraderos. Un adversario puede recompilar malware con trivialidad para cambiar su hash, pero si su objetivo es reprogramar un controlador, no puede evitar realizar una carga de programa, porque esa carga es la meta. La conducta ligada a la intención real del atacante - manipular el proceso, moverse entre dispositivos de control, deshabilitar una función de seguridad - es intrínseca al ataque de un modo que un artefacto nunca lo es. Por esto la detección madura en OT se escribe en torno a acciones y secuencias sospechosas en vez de listas de cadenas malas: la conducta es la parte que el atacante no puede disfrazar con facilidad.
Vigilar indicadores en el SCADA y en el campo
Detectar indicadores de conducta requiere visibilidad de lo que dispositivos y procesos están haciendo en realidad, que es justo lo que provee el monitoreo operativo. Para saber que una carga de programa ocurrió fuera de una ventana de mantenimiento, hay que estar registrando eventos de cambio de programa y correlacionándolos con el calendario de mantenimiento. Para saber que un valor se movió de una forma que el proceso no puede explicar, hay que estar historizando ese valor. Las conductas observables que constituyen indicadores en OT viven en la telemetría operativa, así que la capacidad de cazarlas depende de capturar esa telemetría en primer lugar.
Aquí es donde la capa operativa se gana su lugar en el panorama de seguridad. Una plataforma SCADA de nube como Merobix registra de forma continua valores de proceso, actividad de dispositivos y comunicaciones a lo largo de una flota de sitios, lo que da a los defensores tanto la línea base de conducta normal como el registro corrido que hace falta para detectar un indicador de conducta cuando aparece. Una reprogramación inesperada de un controlador, un dispositivo que de pronto habla con una dirección que nunca ha usado, o una consigna cambiada a una hora imposible, todos aparecen contra ese registro continuo, y tener una vista historizada única a lo largo de sitios remotos hace que esos signos sean visibles incluso para activos junto a los que nadie está parado.
El modelo práctico que sigue es combinar ambos tipos de indicador. Los indicadores basados en archivos de los feeds de inteligencia atrapan la reutilización de herramientas e infraestructura conocidas en los bordes del entorno OT, en los equipos de cara a TI donde los archivos y hashes aún existen, mientras que los indicadores de conducta extraídos del monitoreo operativo atrapan las acciones que un atacante cuidadoso no puede ocultar una vez que alcanza la capa de control. Vigilar un hash sospechoso en el perímetro y una acción de proceso imposible en el núcleo son cosas complementarias, y un programa de OT que ignora la mitad de conducta está ciego justo ante la evidencia que su entorno inusual está en mejor posición de ver.
Preguntas frecuentes
¿Cuál es la diferencia entre un indicador basado en archivos y uno de conducta?
Un indicador basado en archivos es un artefacto estático que un atacante deja, como el hash de un archivo de malware, un dominio de comando y control o una clave de registro, y se verifica buscando esa cadena exacta. Un indicador de conducta describe una acción que revela una intrusión, como un controlador que se reprograma fuera de una ventana de mantenimiento o un dispositivo que alcanza una dirección de internet que nunca debería contactar. Los basados en archivos son precisos pero fáciles de cambiar, mientras que los de conducta son más difíciles de evitar porque están ligados a lo que el atacante de verdad hace.
¿Por qué la cacería de amenazas en OT se apoya más en indicadores de conducta?
Porque los dispositivos industriales rara vez ofrecen los artefactos de archivo de los que dependen las investigaciones de TI. Los controladores embebidos, los PLC y las RTU suelen correr firmware cerrado sin sistema de archivos accesible y no pueden alojar agentes de seguridad, así que los hashes y nombres de archivo soltados con frecuencia no existen para hallarlos. Lo que queda observable es la conducta en la red y contra el proceso, y esa conducta también es más difícil de disfrazar para un atacante, ya que acciones como reprogramar un controlador son la meta real del atacante y no se pueden recompilar para hacerlas desaparecer.
¿Cuáles son ejemplos de indicadores de conducta en un entorno OT?
Ejemplos comunes incluyen la carga o cambio de un programa de PLC fuera de cualquier ventana de mantenimiento, una herramienta de ingeniería que se conecta desde un equipo que nunca la corrió, un controlador que establece una conexión saliente a una dirección de internet, una ráfaga de escaneo por una subred de control, o un valor de proceso que cambia a una hora en la que no había operador. Cada uno es un signo fuerte de actividad maliciosa basado en lo que pasó y no en un archivo conocido como malo, por lo que la detección en OT suele escribirse en torno a estas acciones.
Servicios de automatización
¿Necesita convertir esta información en un sistema que funcione?
Merobix integra SCADA, programa PLC Allen-Bradley y Siemens, y diseña y fabrica tableros de control industrial.
Las solicitudes de reunión se revisan antes de confirmarse.