¬°Hub de contenido!
Acceso a contenido educativo gratis.

Ciberseguridad, de primera entre las preocupaciones de la industria en 2022

Log4j 61d4672fcad96

Probablemente haya o√≠do hablar de la vulnerabilidad de ciberseguridad log4j. Sin embargo, lo m√°s probable es que haya escuchado sobre todo c√≥mo esto afecta principalmente a los sistemas de Internet de cara al p√ļblico. Algunas de las incursiones de muy alto perfil de esta vulnerabilidad incluyen la penetraci√≥n del Ministerio de Defensa de B√©lgica, varios ataques de ransomware y toma de control de las computadoras para extraer criptomonedas, seg√ļn el Washington Post.

Aunque a√ļn no se ha informado sobre incursiones en sistemas de control industrial a trav√©s de la vulnerabilidad log4j, sabemos que existe el potencial. Seg√ļn aDolus Technology, un proveedor de ciberseguridad de la cadena de suministro, varios millones de paquetes de software de tecnolog√≠a de operaciones (OT) utilizan log4j. La mayor√≠a de los proveedores de software OT usan log4j porque es un software de c√≥digo abierto que maneja de manera efectiva las tareas de registro requeridas. aDolus explica que la vulnerabilidad log4j (llamada Log4Shell) es "el resultado de funciones demasiado aprovisionadas habilitadas por... una configuraci√≥n predeterminada insegura y la confianza impl√≠cita de los mensajes".

La base de datos nacional de vulnerabilidades del National Institute of Standards de Estados Unidos informa que Log4Shell se desactivó de log4j 2.15.0 y se eliminó por completo de la versión 2.16.0.

Al igual que con la mayor√≠a de las medidas de correcci√≥n de ciberseguridad, proteger sus operaciones requiere la identificaci√≥n de la vulnerabilidad en sus sistemas. Despu√©s de todo, como se√Īala aDolus, si no sabe que el software que usa contiene log4j, no se sabr√° si debe corregir o bloquear cierto tr√°fico, o quiz√°s no hacer nada al respecto.


   Lea este art√≠culo acerca de tres vectores de ataque comunes para sistemas de control industrial.


Seg√ļn aDolus, una lista de materiales de software (SBOM) es la "mejor herramienta para descubrir vulnerabilidades ocultas como Log4Shell". Seg√ļn se informa, la plataforma FACT de aDolus proporciona "SBOM enriquecidos que informan sobre todos los subcomponentes de un paquete de software" y puede ser una herramienta valiosa para las evaluaciones de ciberseguridad. El an√°lisis del c√≥digo fuente es otra opci√≥n si tiene acceso al c√≥digo fuente, pero ese no suele ser el caso en el mundo OT, seg√ļn aDolus.

Puede encontrar información más detallada sobre cómo mitigar Log4Shell y otras vulnerabilidades relacionadas con log4j en https://www.cisa.gov/uscert/ncas/alerts/aa21-356a

 Actualizaci√≥n ISA99

Cuando comenzó 2022, el Comité ISA99 sobre Ciberseguridad de Sistemas de Control de Automatización Industrial (IACS) emitió una actualización para las partes interesadas sobre su enfoque para avanzar considerando las amenazas de ciberseguridad en constante evolución que enfrenta la industria.

Los aspectos clave de este aviso del comité incluyen:

¬∑        62443-1-1 (Terminolog√≠a, conceptos y modelos) ‚Äď La primera edici√≥n de este documento fue publicada por ISA en 2007 y luego distribuida como especificaci√≥n t√©cnica por IEC. Desde entonces, la comprensi√≥n del tema por parte del comit√© ha evolucionado considerablemente, como se refleja en los est√°ndares m√°s detallados de la serie. Estos cambios se han incorporado en la segunda edici√≥n de 62443-1-1 que actualmente circula para revisi√≥n y comentarios tanto en ISA99 como en IEC TC 65 WG 10.

¬∑         62443-1-3 (M√©tricas de rendimiento para la seguridad de IACS): este informe t√©cnico define una metodolog√≠a para el desarrollo de m√©tricas cuantitativas derivadas de los requisitos t√©cnicos y de procesos definidos en la serie ISA/IEC 62443. Se ha circulado para su revisi√≥n y comentarios y se est√°n realizando m√°s revisiones.

¬∑         62443-1-6 (Aplicaci√≥n de los est√°ndares ISA/IEC 62443 a la Internet industrial de las cosas): este informe t√©cnico describe las consideraciones para los propietarios de activos cuando deciden implementar tecnolog√≠as de Internet industrial de las cosas (IIoT) y brinda orientaci√≥n sobre los requisitos de la serie ISA/IEC 62443 para aclarar y mitigar cualquier problema de ciberseguridad. Se distribuir√° para revisi√≥n y comentarios a principios de 2022.

¬∑         62443-2-3 (Administraci√≥n de actualizaciones de seguridad [parche]): ISA public√≥ este informe t√©cnico en 2015 para abordar los requisitos para un programa efectivo de administraci√≥n de parches del sistema de automatizaci√≥n. Se complet√≥ una segunda edici√≥n y pronto se distribuir√° para una segunda ronda de revisi√≥n y comentarios.

¬∑         62443-2-2 (Protecci√≥n de seguridad IACS): este documento prescribe los requisitos para realizar una clasificaci√≥n de nivel de protecci√≥n durante la operaci√≥n de un sistema de automatizaci√≥n. Recientemente se distribuy√≥ para revisi√≥n y comentarios.

¬∑         62443-3-3 (Requisitos de seguridad del sistema y niveles de seguridad): publicado por primera vez en 2013, este documento prescribe los requisitos de seguridad para los sistemas de control relacionados y asigna niveles de seguridad del sistema al tenido en consideraci√≥n. El comit√© est√° preparando actualmente una segunda edici√≥n.