Confianza cero y las redes de OT

  • Artículo

Confianza cero es una estrategia de seguridad para diseñar e implementar los siguientes conjuntos de principios de seguridad:

Comprobación explícita Uso del acceso con privilegios mínimos Asunción de que hay brechas
Realice siempre las operaciones de autorización y autenticación en función de todos los puntos de datos disponibles. Limite el acceso de los usuarios con los modelos Just-in-Time y Just-in-Time (JIT/JEA), directivas que se adaptan al nivel de riesgo y protección de datos. Minimice el radio de explosión y el acceso a los segmentos. Compruebe el cifrado de un extremo a otro y use análisis para obtener visibilidad, impulsar la detección de amenazas y mejorar las defensas.

Implementa los principios de la confianza cero en las redes de tecnología operativa (OT) para ayudarte con desafíos, como:

  • Controlar las conexiones remotas a los sistemas OT, proteger las publicaciones de salto de red e impedir el movimiento lateral a través de la red

  • Revisar y reducir las interconexiones entre sistemas dependientes, simplificando los procesos de identidad, como para los contratistas que inician sesión en la red

  • Búsqueda de puntos únicos de error en tu red, identificación de problemas en segmentos de red específicos y reducción de retrasos y cuellos de botella de ancho de banda

Riesgos y desafíos únicos para las redes de OT

Las arquitecturas de red de OT a menudo difieren de la infraestructura de TI tradicional. Los sistemas OT usan tecnología única con protocolos propietarios y pueden tener plataformas envejecidas y conectividad y potencia limitadas. Las redes OT también pueden tener requisitos de seguridad específicos y exposiciones únicas a ataques físicos o locales, como a través de contratistas externos que inician sesión en la red.

Dado que los sistemas OT suelen admitir infraestructuras de red críticas, a menudo están diseñados para priorizar la seguridad física o la disponibilidad a través del acceso seguro y la supervisión. Por ejemplo, tus redes de OT pueden funcionar por separado del tráfico de red empresarial para evitar tiempos de inactividad para el mantenimiento normal o para mitigar problemas de seguridad específicos.

A medida que más redes de OT se migran a entornos basados en la nube, la aplicación de principios de confianza cero puede presentar desafíos específicos. Por ejemplo:

  • Es posible que los sistemas OT no estén diseñados para varios usuarios y directivas de acceso basadas en roles, y solo pueden tener procesos de autenticación simples.
  • Es posible que los sistemas OT no tengan la potencia de procesamiento disponible para aplicar completamente directivas de acceso seguras y, en su lugar, confíen en todo el tráfico recibido como seguro.
  • La tecnología de envejecimiento presenta desafíos en la conservación de los conocimientos de la organización, la aplicación de actualizaciones y el uso de herramientas de análisis de seguridad estándar para obtener visibilidad e impulsar la detección de amenazas.

Sin embargo, un riesgo de seguridad en sus sistemas críticos puede dar lugar a consecuencias reales más allá de los incidentes de TI tradicionales, y el incumplimiento puede afectar a la capacidad de tu organización de cumplir con las regulaciones gubernamentales y del sector.

Aplicación de los principios de confianza cero a redes de OT

Sigue aplicando los mismos principios de confianza cero en las redes de OT que en las redes de TI tradicionales, pero con algunas modificaciones logísticas según sea necesario. Por ejemplo:

  • Asegúrate de que todas las conexiones entre redes y dispositivos se identifican y administran, evitando interdependencias desconocidas entre sistemas y que contienen cualquier tiempo de inactividad inesperado durante los procedimientos de mantenimiento.

    Dado que es posible que algunos sistemas OT no admitan todas las prácticas de seguridad que necesitas, se recomienda limitar las conexiones entre redes y dispositivos a un número limitado de hosts de salto. Después, los hosts de salto se pueden usar para iniciar sesiones remotas con otros dispositivos.

    Asegúrate de que los hosts de salto tienen medidas de seguridad y prácticas de autenticación más sólidas, como la autenticación multifactor y los sistemas de administración de acceso con privilegios.

  • Segmenta la red para limitar el acceso a los datos, lo que garantiza que toda la comunicación entre dispositivos y segmentos esté cifrada y protegida, e impida el movimiento lateral entre sistemas. Por ejemplo, asegúrate de que todos los dispositivos que acceden a la red estén previamente autorizados y protegidos según las directivas de tu organización.

    Es posible que tengas que confiar en la comunicación en todo tu control industrial y sistemas de información de seguridad (ICS y SIS). Sin embargo, a menudo puedes segmentar aún más la red en áreas más pequeñas, lo que facilita la supervisión de la seguridad y el mantenimiento.

  • Evalúa señales como la ubicación, el estado y el comportamiento del dispositivo, mediante el uso de datos de mantenimiento para el acceso o la marca de corrección. Requerir que los dispositivos estén actualizados para el acceso y usen análisis para obtener defensas de visibilidad y escalado con respuestas automatizadas.

  • Continúa supervisando las métricas de seguridad, como los dispositivos autorizados y la línea de base de tráfico de red, para asegurarte de que el perímetro de seguridad conserva su integridad y los cambios en la organización se producen con el tiempo. Por ejemplo, es posible que tengas que modificar los segmentos y las directivas de acceso a medida que cambian las personas, los dispositivos y los sistemas.

Confianza cero con Defender para IoT

Implementa Microsoft Defender para sensores de red de IoT para detectar dispositivos y supervisar el tráfico en las redes de OT. Defender para IoT evalúa los dispositivos para detectar vulnerabilidades y proporciona pasos de mitigación basados en riesgos y supervisa continuamente los dispositivos para detectar comportamientos anómalos o no autorizados.

Al implementar sensores de red de OT, usa los sitios y las zonas para segmentar la red.

  • Los sitios reflejan muchos dispositivos agrupados por una ubicación geográfica específica, como la oficina en una dirección específica.
  • Las zonas reflejan un segmento lógico dentro de un sitio para definir un área funcional, como una línea de producción específica.

Asigna cada sensor de OT a un sitio y zona específicos para asegurarte de que cada sensor de OT cubre un área específica de la red. Segmentar el sensor entre sitios y zonas te ayuda a supervisar cualquier tráfico que pase entre segmentos y aplique directivas de seguridad para cada zona.

Asegúrate de asignar directivas de acceso basadas en sitio para que puedas proporcionar acceso con privilegios mínimos a los datos y actividades de Defender para IoT.

Por ejemplo, si tu empresa en crecimiento tiene fábricas y oficinas en París, Lagos, Dubai y Tianjin, puedes segmentar la red de la siguiente manera:

Sitio Zones
Oficina de París - Planta baja (invitados)
- Planta 1 (ventas)
- Planta 2 (ejecutivo)
Oficina de Lagos - Planta baja (oficinas)
- Plantas 1-2 (fábrica)
Oficina de Dubái - Planta baja (centro de convenciones)
- Planta 1 (ventas)
- Planta 2 (oficinas)
Oficina de Tianjin - Planta baja (oficinas)
- Plantas 1-2 (fábrica)

Pasos siguientes

Crea sitios y zonas a medida que incorporas sensores de OT en el Azure Portal y asigna directivas de acceso basadas en sitio a los usuarios de Azure.

Si trabajas en un entorno con disponibilidad inalámbrica con una consola de administración local, crea un sitio de OT y zonas directamente en la consola de administración local.

Usa libros integrados de Defender para IoT y crea libros personalizados propios para supervisar el perímetro de seguridad a lo largo del tiempo.

Para más información, consulte:

Para más información, consulte: