60 SEPT I EMBRE 2013 / N º106 / S iC

Ya en los mismos albores de la industrialización y del emerger de las máquinas como aceleradoras del desarrollo social humano, esas mismas mejoras incluían debilidades y vulnerabilidades que podían ser utilizadas por el contrario para frenarlas. El ejemplo más romántico lo encontramos en la Holanda del siglo XV donde algunos trabajadores textiles se oponían a que los telares automáticos convirtiesen su oficio en algo obsoleto, lan-zando sus zuecos (sabots) a los engranajes de aquellas amena-zadoras máquinas (entonces de madera) para romperlas.

El sabotaje es cualquier acción deliberada dirigida a debilitar al contrario median-te la subversión, obstrucción y destrucción de sus recursos más preciados y necesarios. Dentro de este concepto tam-bién se incluyen todas aquellas

Los tiempos que corren otorgan al prefijo “ciber” un protagonismo sospechosamente repentino y, dentro de su cohorte, aparecen las ciberguerras, los ciberataques y la ciberseguridad. Dado que lo único que parece importar hoy es la economía, resulta conveniente preguntarse si, en realidad, en lugar de escenarios de ciberguerras, al final lo que tenemos delante es un sencillo escenario de enfrentamiento entre operaciones y capacidades de cibersabotaje y de ciberdefensa industrial.

instalados, para inutilizar los depósitos de combustible y, por último, decidieron prender fuego a los edificios que había en pie. El resultado de esta acción fue retrasar un año la terminación de ese recurso energético y el encarecimiento

Ejemplos clásicos de sabotaje

Un ejemplo clásico de sabo-taje militar es la explosión de los almacenes de munición ubica-dos en la isla de Black Tom del puerto de Nueva York, durante

la madrugada del 30 de Julio de 1916, a manos de agentes saboteadores alemanes. El objetivo de esta acción era la de evitar que esas municiones llegasen al bando aliado de la primera guerra mundial y

fuesen utilizadas en los ya entonces muy ensangrenta-dos campos de batalla.

Otro ejemplo importan-te del sabotaje lo tenemos en el nacimiento del Estado de Israel (1945-1948). Gru-pos de judíos se dedicaron a hacer difícil la vida de los británicos en la que ya estaba acordado que dejase de ser su colonia: Palesti-

na. El grupo Haganah, que terminaría siendo las fuerzas armadas israelíes, se centró en atacar los campos británicos de refugiados y las instalaciones de radar marítimo utilizadas para detectar barcos llenos de inmigrantes ilegales. El grupo sionista LeJI (LojameiJerut Is-rael) y el grupo Irgun o Etzel,

Sobre la ciberdefensa industrial y sus amenazas

entregaron agentes alemanes, para prender fuego a su banco de trabajo en una fábrica de municiones próxima a Kings-land (NY). Esta acción causó de inmediato un vigoroso incendio que destruyó medio millón de cargas de mortero,

Un ejemplo reciente de sabotaje industrial lo encon-tramos en 1974 en la construc-ción de la presa hidroeléctrica canadiense bautizada como Robert-Bourassa. En ese año, los trabajadores encargados de su construcción utilizaron los buldózers para destrozar los generadores eléctricos recién

cualquier actividad de un indivi-duo o grupo, no asociados a los ejércitos regulares combatien-tes, cuyas acciones provocan la destrucción o degradación de un recurso productivo o vital del contrario (fábricas, presas, servicios públicos, silos de almacenamiento, rutas de transporte, etc.).

acciones encaminadas a equivocar o restar eficiencia a cualquier proceso social o productivo, con el consiguiente despilfarro de recursos y capacidades.

El 11 de mayo de 1917, FiodoreWozniak utilizó un trapo impregnado de fósforo y un lápiz incendiario que le

decenas de miles de detona-dores, la fábrica en sí y, en conjunto, supuso no menos de 17 millones de dólares en pérdidas. La autoría del hecho se mantuvo oculta los siguien-tes diez años.

del mismo en dos millones de dólares canadienses.

El campo en el que el sabo-taje es realmente un elemento más de la parafernalia profe-sional, es el de la guerra. En términos bélicos, el sabotaje es

La misma presión económica que desaconseja los sobrecostes ha hecho que los sistemas industriales abandonen su ignota torre de marfil y terminen basándose en componentes genéricos, propios de las Tecnologías de la Información. Esta “vulgarización” de los sistemas industriales aumenta y facilita las posibilidades de ataque.

El objetivo de la futura y necesaria ciberseguridad industrial no debe ser anticiparse a cada posible tipo de ataque, como se ha hecho sin ningún éxito en el entorno TI, sino hacer los sistemas más difíciles de comprometer. Parte de ese esfuerzo necesariamente estará en el desarrollo de estándares de ciberseguridad que permitan a las organizaciones operar de forma segura.

>> Jorge Dávila

61S iC / N º106 / SEP T I EMBRE 2013

utilizaron el terrorismo y el sabotaje contra los británicos y sus líneas de comunicación. En noviembre de 1946, ambos grupos atacaron los ferrocarri-les palestinos en más de una veintena de ocasiones en solo tres meses, lo que provocó una huelga de los trabajadores palestinos.

Formas modernas de sabotaje

Según la normativa interna-cional, los saboteadores son clasificados como enemigos y, al igual que los espías, son perseguidos y castigados como criminales y no son considerados prisioneros de guerra. En general, el sabotaje bien hecho debe ser difícil de detectar y más difícil aún de relacionar con su posible ori-gen, porque, de lo contrario, el fusilamiento sumarísimo es lo que les espera a sus autores.

Una forma moderna de sabotaje la podemos encontrar en la distribución de software cuyo único fin es dañar o destruir instalaciones indus-triales en concreto. Como ejemplo de ello tenemos, en 1982, una operación encubier-ta en la que EE.UU. destruyó el gaseoducto transiberiano ruso mediante una “bomba lógica” previamente incluida por la CIA 1 en el software roba-do por los rusos y utilizado en su instalación. Los efectos del malfuncionamiento inducido por el software terminaron con la explosión del gaseoducto, liberando una potencia total de tres kilotones.

Un ejemplo aún más reciente lo tenemos en el caso del gusano informático Stuxnet 2, diseñado por norteamericanos e israelíes, para infectar y dañar sigilosa-mente las centrifugadoras de gas que se utilizan en el programa iraní de enriquecimiento de ma-terial nuclear de Natanz.

El sabotaje, como instru-mento militar, va desde (1) golpes tecnológicamente muy avanzados, de planificación muy detallada y perpetrados por comandos especialmente entrenados, a (2) numerosas acciones sencillas e insidiosas realizadas por ciudadanos individuales. Estas operacio-nes “quintacolumnistas” se diseñan y realizan de modo que supongan riesgos mínimos para el saboteador y sean difí-ciles de detectar y evitar.

Además de la destrucción

de sabotaje consisten en hacer que se pierdan los envíos o de-jar pasar intencionadamente materiales defectuosos en las cadenas de producción de material militar.

Hay muchos más ejemplos en la historia reciente que abundarían en la idea de lo importante que ha sido, y es, el sabotaje para minar las capacidades económicas y or-ganizativas de una sociedad o Estado. Pero el nuevo escenario global de las redes de comu-nicaciones, la Sociedad de la

triales abandonen su ignota torre de marfil y terminen basándose en componentes genéricos, propios de las Tec-nologías de la Información. Esta “vulgarización” de los sistemas industriales aumenta y facilita las posibilidades de ataque. Cada día que pasa, au-menta el nivel de amenaza en el sector productivo por parte de individuos aislados, gobiernos bien financiados y compañías competidoras perfectamente conocedoras del sector. En pocos años, el riesgo de todas

física, entre los métodos bási-cos de sabotaje hay que incluir también el “factor humano”. Por este último se entienden todas aquellas acciones que lleven a tomar decisiones erróneas al contrario, y a la propagación de aptitudes derrotistas, no-cooperativas o claramente ineficientes.

El uso efectivo del sabotaje

El uso más efectivo del sabotaje es “contra la produc-ción y las organizaciones” 3; de hecho, la OSS (luego CIA), a la hora de hablar en su manual de campo de los mecanismos para “hundir la moral y crear confusión” propone, entre otros, el más sencillo de los sabotajes: “Actúa como un es-túpido” 4. Otras formas pasivas

Información y la organización social del siglo XXI dan una mayor y renovada importan-cia al sabotaje y al espionaje como actividades bélicas o criminales.

Vulnerabilidades no previstas

Los sistemas de control in-dustrial existen para aumentar la eficiencia y los beneficios que se pueden obtener de los procesos productivos. Sin embargo, esa automatización lleva asociadas vulnerabilida-des, casi siempre desconocidas, que acompañan amenazantes a esos sistemas. Hasta ahora, la ciberseguridad industrial ha sido ostensiblemente igno-rada por el sector industrial y sus ingenieros alegando (1) ser un sobrecoste, (2) no terminar [ellos] de entender su necesidad y (3) por la baja frecuencia de los incidentes en las fábricas.

Sin embargo, esa misma presión económica que des-aconseja los sobrecostes ha hecho que los sistemas indus-

1 “At the Abyss: An Insider’s History of the Cold War”deThomasReed(ISBN-13:978-0891418214)

2 Verhttp://en.wikipedia.org/wiki/Stuxnet3 VerOSS:“SimpleSabotageFielManual”enhttps://www.cia.gov/news-information/fea-

tured-story-archive/2012-featured-story-archive/CleanedUOSSSimpleSabotage_sm.pdf4 Ennuestrosaberpopular,esarecomendacióndelaCIAcoincideconelaforismo:

“Nohaynadamáspeligrosocomountontoconiniciativa”

las instalaciones industriales ha aumentado varios órde-nes de magnitud.

La tecnología de control industrial está en continua evolución y las nuevas vulnera-bilidades aparecen con mayor velocidad de lo que los inge-nieros de software y hardware pueden entender, atender y solucionar. Por tanto, el obje-tivo de la futura y necesaria ciberseguridad industrial no debe ser anticiparse a cada posible tipo de ataque, como se ha hecho sin ningún éxito en el entorno TI, sino hacer los sistemas más difíciles de comprometer.

Estándares y certificaciones de ciberseguridad

Parte de ese esfuerzo necesariamente estará en el desarrollo de estándares de ciberseguridad que permitan a las organizaciones operar de forma segura, minimizando el número de ciberataques que tengan éxito. Asimismo, ciertas instalaciones especial-

Todos los sistemas de control se han gestado alejados del resto de las TI en lo que a su seguridad se refiere. Si a eso se suma que algunas de las instalaciones se diseñaron décadas atrás, cuando los ciberataques ni existían ni se imaginaban, y que los ingenieros industriales no incluyeron salvaguardia alguna en sus sistemas de control, la amenazo es ahora bien distinta. Dado el aumento drástico de ataques auspiciados por

el dinero o por motivos políticos, todos los sectores de la infraestructura industrial global son vulnerables y están expuestos a ataques potencialmente devastadores.

62 SEPT I EMBRE 2013 / N º106 / S iC

Jorge Dávila Muro

ConsultorindependienteDirectorLaboratoriodeCriptografíaLSIIS – Facultadde Informática – UPMjdavila@fi.upm.es

mente críticas necesitarán una ciberseguridad certificada por organismos competen-tes y exquisitamente inde-pendientes de los fabricantes de equipos. La posibilidad de esa ciberseguridad industrial certificada abre la puerta a que se pueda “asegurar” su funcionamiento del mismo modo que se aseguran otras actividades sociales y pro-ductivas.

En el ámbito de las Tecno-logías de la Información este mismo intento se remonta a antes del año 1997, año en el que se publica el RFC 2196 consagrado al desarrollo de Políticas de Seguridad. Hoy en día, ese el punto en el que se encuentra la ciberseguri-dad industrial, lo que supone, al menos, dieciséis años de retraso.

Este retraso bien podría suponer una ventaja si los encargados de asegurar las instalaciones industriales tie-nen la voluntad y capacidad de aprender de lo que ha dado de sí la seguridad TI en esos más de tres quinque-nios. Sin embargo, hay que reconocer que hay elementos completamente nuevos en el escenario, como es el caso de que los ciclos de vida de los sistemas industriales que se miden en décadas y no en meses. Dicho de otro modo, el hardware y el software indus-trial deberían mantenerse ac-tualizados según evoluciona la tecnología y las amenazas y, sin embargo, no pueden ser sustituidos o amortiza-dos en tiempos inferiores a décadas y, en algunos casos, ni siquiera pueden detener su funcionamiento por mo-tivos de mantenimiento. El clásico recurso de “apagar y volver a encender” es algo del todo impensable en muchos escenarios industriales.

En las instalaciones que nos ocupan conviven muchos protocolos de comunicación y no hay un acuerdo general de

cuál debería ser el estándar, por lo que podemos encontrar varios modelos compitiendo entre sí para hacer la misma función. No habrá una ciber-seguridad industrial que se precie hasta que el galimatías MODBUS Serial y TCP y los PROFIBUS PA y DP, entre otros, desaparezca para dar lugar a un solo modelo que pueda ser estudiado y evaluado en cuanto a su seguridad.

La realidad de la ciberse-guridad industrial actual es sombría. Todos los sistemas de control se han gestado alejados del resto de las tec-nologías de la información en lo que a su seguridad se

en 2003 el gusano Slammer 5 desactivó parte del sistema de monitorización de seguridad de la central nuclear Davis-Besse 6 en Ohio. El aumento descontrolado del tráfico de red causado por el gusano provocó una denegación efectiva de servicio en varios componentes de la red de mo-nitorización, y con ello queda-ron inaccesibles desde otros componentes del sistema. Ya en 2010 el Repository of Industrial Security Incidents 7 indicó que el 50% de todos los incidentes de seguridad denunciados fueron debidos a virus, gusanos y caballos de Troya genéricos.

Lo más preocupante de esta situación no es la abun-dancia de elementos para escribir buenas novelas de ficción sino que estas pueden no ser tan fantasiosas. Lo grave es que, hoy por hoy, la mayoría de los que saben algo sobre los procesos industriales, poco saben de ciberseguridad y eso nos les preocupa; y los que conocen con detalles la cibersegu-ridad, usualmente profesio-nales de las tecnologías de la información, a menudo lo desconocen todo de los pro-cesos industriales. Superar este escenario tan desolador es un reto ineludible que

refiere. Si a eso le sumamos que algunas de las instala-ciones se diseñaron décadas atrás, cuando los ciberataques ni existían ni se imaginaban, y que los ingenieros industriales no incluyeron salvaguardia alguna en sus sistemas de control, la amenaza es ahora bien distinta. Dado el aumen-to dramático de ataques aus-piciados por el dinero o por motivos políticos, todos los sectores de la infraestructu-ra industrial global son vul-nerables y están expuestos a ataques potencialmente devastadores.

No solo hay que temer los ataques intencionados (sabo-tajes) a las redes industriales, porque también pueden ser víctimas de infecciones fortuitas y no específicas que den al traste con ellas. Ejemplo de ello lo es cuando

Cábalas, futuribles y cibersabotajes

Puestos a buscar guiones para una buena novela de aventuras, podemos pensar en registros públicos que se vuelven locos y lo nuestro ya no es nuestro, ni nos lla-mamos como nuestra madre nos nombró, en sistemas tributarios que dicen que no les hemos pagado o que les debemos lo que no es nues-tro, en sistemas de control de tráfico aéreo o de superficie que parecen jugar con nues-tra paciencia, en robos del fruto de nuestros esfuerzos en I+D+i para que otros se lleven nuestros beneficios competitivos, en historiales médicos barajados que nos exponen inexorablemente a un diagnóstico erróneo que puede ser letal o, como en la serie Homeland 8, a que nos podamos cargar al Vicepre-sidente de EE.UU. hackeando su marcapasos.

tenemos por delante y que necesariamente habremos de resolver.

Más que ciberguerras, lo que seguro tenemos delante son cibersabotajes, así que, más nos vale que lo hagamos bien y sepamos aprovechar el retraso relativo que hoy tiene el mundo de la ciberse-guridad industrial respecto a los sistemas de información. No hacerlo será convertir la ficción en realidad, y eso no siempre es bueno.

5 Verhttp://en.wikipedia.org/wiki/SQL_Slammer6 Verhttp://en.wikipedia.org/wiki/Davis-Besse_Nuclear_Power_Station7 Verhttp://www.securityincidents.org/8 Verhttp://en.wikipedia.org/wiki/Homeland_(TV_series)

La mayoría de los que saben algo sobre los procesos industriales, poco saben de ciberseguridad y eso nos les preocupa; y los que conocen con detalles la ciberseguridad, usualmente profesionales de las TI, a menudo lo desconocen todo de los procesos industriales. Superar este escenario tan desolador es un reto ineludible que tenemos por delante y que necesariamente habremos de resolver.