Claroty, empresa de protección de sistemas de ciberseguridad conectados y físicos, ha desvelado que los enfoques tradicionales de gestión de vulnerabilidades pasan por alto el 38% de los activos CPS con mayor riesgo. Es decir, están a merced de los ciberdelincuentes. Para hacer frente a este punto ciego, Claroty ha presentado una solución completa de gestión de la exposición CPS, que permite a las organizaciones minimizar su superficie de ataque y priorizar las amenazas más inmediatas.

Las organizaciones desconocen su índice de exposición

Para comprender el alcance de la exposición y el riesgo asociado al que se enfrentan los entornos CPS, el grupo de investigación de Claroty, Team82, ha analizado los datos de más de 20 millones de activos de tecnología operativa (OT), dispositivos médicos conectados (IoMT), IoT e IT en entornos CPS. La investigación se ha centrado en los activos que se definen como de “alto riesgo”, tienen una conexión a Internet insegura y contienen al menos una vulnerabilidad explotada conocida (KEV).

Los investigadores han calificado como “alto riesgo” al dispositivo que se puede explotar con una alta probabilidad al basarse en una combinación de factores de riesgo: estado de fin de vida útil, la comunicación con protocolos inseguros, vulnerabilidades conocidas, contraseñas débiles o predeterminadas, datos PII o PHI o consecuencias del fallo, entre otros. El informe arroja una serie de conclusiones clave:

• El 20% de los sistemas operativos industriales (OT) e IoMT tiene puntuaciones de CVSSv3.1 de 9,0 o superiores: esta métrica se basa en el enfoque tradicional de gestión de vulnerabilidades, que sólo considera el Sistema de Puntuación de Vulnerabilidades Común versión 3.1. Esto supone un desafío para la mayoría de las organizaciones, ya que abordar estas vulnerabilidades sería costoso y requiere muchos recursos. Es especialmente difícil en los activos de sistemas de control industrial (CPS) que tienen ventanas de tiempo limitadas para aplicar parches. Además, estas puntuaciones no dibujan una hoja de ruta clara de cómo abordar estos problemas.
  
• El 1,6% de los OT e IoMT es de “alto riesgo”, tiene una conexión a Internet insegura y contiene al menos una vulnerabilidad conocida y explotable (KEV): estos factores de exposición suponen un peligro real e inminente para las organizaciones. Los ciberdelincuentes pueden acceder a decenas de miles de activos CPS que están en riesgo y que actualmente tienen vulnerabilidades que se están explotando en el mundo real.
  
• De los dispositivos OT e IoMT de riesgo ultra-alto, un 38% no obtiene una puntuación CVSS de 9,0 o más alto: los métodos tradicionales de gestión de vulnerabilidades no detectan estos dispositivos. Sin embargo, están en un estado extremadamente vulnerable, por lo que los ciberdelincuentes pueden atacarlos. Esto representa un punto ciego de alto riesgo para las organizaciones, ya que estas amenazas pasan desapercibidas, pero son peligrosas.

“Es importante comprender las implicaciones de cualquier número superior a cero a la hora de medir el riesgo asociado a los activos más expuestos que se utilizan para controlar sistemas como la red eléctrica o para prestar asistencia vital a los pacientes”, afirma Amir Preminger, vicepresidente de investigación de Team82 de Claroty. “Las organizaciones deben gestionar sus riesgos de manera integral. Deben enfocarse en las mayores amenazas de su entorno. Aunque manejen todas las vulnerabilidades críticas, aún ignorarían casi el 40% de los riesgos más graves”, añade. Más información sobre las conclusiones de Team82 en el informe ‘El punto ciego de los SPI’.

Cerrar la brecha con la gestión de la exposición nativa de CPS

Según Gartner ®, “Los responsables de seguridad buscan constantemente mejores herramientas para minimizar riesgos de ciberseguridad. Están pasando de métodos puramente preventivos a controles más avanzados que también incluyen detección y respuesta. Los métodos antiguos no son suficientes para la rápida era digital actual, donde no es posible solucionar todo ni saber con certeza qué vulnerabilidades pueden esperar. La Gestión Continua de la Exposición a Amenazas (CTEM) ofrece un enfoque práctico y eficaz para ajustar continuamente las prioridades de seguridad”.

Para satisfacer las necesidades cambiantes de las organizaciones de fabricación, sanidad y otras infraestructuras críticas, Claroty presenta una solución completa de gestión de la exposición a CPS diseñada específicamente que, según la compañía, se ajusta al marco CTEM de Gartner. La solución ayuda a las organizaciones a comprender su postura de riesgo CPS actual, asignar sus recursos existentes para mejorarla de forma más eficiente y eficaz y, en última instancia, madurar en el terreno de la seguridad CPS, independientemente de su punto de partida.

Las capacidades clave incluyen:

• Dispositivos CPS en programas de gestión de la exposición: aprovechar los métodos de recopilación de datos múltiples y los cálculos de riesgos a medida que tienen en cuenta el valor empresarial relativo de los diferentes aspectos del proceso de producción. Este enfoque sienta las bases para que el alcance de la red proteja áreas que pueden ser puntos ciegos para las soluciones empresariales tradicionales y tenga en cuenta los resultados operativos a la hora de priorizar los controles de seguridad.
  
• Detección de CPS y evaluación de vulnerabilidades: permiten identificar y perfilar todos los activos CPS mediante métodos de descubrimiento muy flexibles. Esto incluye el uso de herramientas como Claroty Edge y SBOMs asociados. Además, se mapean sus rutas de comunicación y el uso de protocolos, se atribuyen vulnerabilidades y se monitorizan las amenazas. Todo esto facilita la obtención de puntuaciones de riesgo basadas en un marco de riesgo transparente y adaptado.
  
• Priorización de Soporte para Procesos Críticos de CPS: las organizaciones pueden priorizar sus esfuerzos de remediación al contar con resultados cuantitativos, definidos por vectores de ataque específicos y su probabilidad de ser explotados, el impacto de esa explotación, y los controles compensatorios que se han aplicado.
  
• Validación segura de escenarios de exposición: permite ir más allá de la gestión de vulnerabilidades al investigar la facilidad de explotación de estas mediante el empleo de archivos VEX y tácticas adicionales de descubrimiento, como técnicas de escaneo activo, o consultando con OEMs para validar evaluaciones de riesgo y permitir técnicas adecuadas de remediación.
  
• Agilizar la remediación y movilización del programa: integrar las principales soluciones de ciberseguridad y gestión de activos de IT/OT de la industria permitirá agilizar los procesos existentes de gestión de riesgos y movilizar la gestión de exposición de CPS.

“Concentrarse solo en las vulnerabilidades no es suficiente para las organizaciones. Esto puede dejar exposiciones que comprometan la seguridad y disponibilidad”, afirma Grant Geyer de Claroty. “Para reducir el riesgo, es necesario evolucionar de un programa tradicional de gestión de vulnerabilidades a uno más dinámico y centrado en la gestión de exposiciones. Este programa debe considerar las características únicas de los activos CPS, las restricciones operativas y ambientales, la tolerancia al riesgo de la organización y los objetivos del programa de ciberseguridad”, agrega.