La táctica Initial Access es una de las 12 tácticas que componen la matriz elaborada por MITRE para entornos industriales (para más información sobre la matriz, no dudes en consultar el artículo Matriz de SCI, el estado de la v11). Dentro de esta táctica se muestran diferentes técnicas utilizadas por atacantes con el objetivo de ganar acceso no autorizado a un entorno industrial. Este suele ser el primer objetivo de los atacantes externos, ya que el acceso al entorno interno del SCI permite reconocer y explotar equipos internos, desplazarse por la red, ganar privilegios elevados o robar información confidencial. Por tanto, es importante conocer esta táctica para poder defender nuestros sistemas.
En el análisis forense digital de sistemas Windows, los artefactos, como los registros de eventos, archivos Prefetch, LNK o el Registro de Windows, son fundamentales para la investigación de ciberincidentes. Estos artefactos se caracterizan por el almacenamiento de información detallada sobre las actividades producidas en el sistema y el usuario, permitiendo identificar acciones maliciosas, rastrear movimientos de atacantes y reconstruir líneas de tiempo sobre los eventos críticos. Gracias a estos, se pueden detectar técnicas de ataque, como la ejecución de comandos, la persistencia y la evasión de defensas en los sistemas. Tener conocimiento sobre la recolección y análisis de estos artefactos, nos asegura un análisis preciso y eficiente. Por ello, contextualizar la relevancia de estos artefactos ayuda a los profesionales de ciberseguridad a fortalecer sus capacidades de detección y respuesta, asegurando así la integridad de las evidencias recopiladas y mejorar la eficacia en las investigaciones forenses digitales.
Nmap (Network Mapper) es una herramienta ampliamente reconocida en el ámbito de la seguridad informática y la administración de redes. Su popularidad radica en su capacidad para mapear redes y detectar servicios activos en dispositivos conectados. Desde su creación en 1997, por Gordon Lyon, Nmap ha sido una de las herramientas más confiables para realizar análisis de seguridad, identificar puertos abiertos y servicios disponibles en hosts remotos. A lo largo de los años, la herramienta ha evolucionado y se ha adaptado a las crecientes demandas del campo de la ciberseguridad.
Las vulnerabilidades de corrupción de memoria son fallos críticos en los programas que ocurren cuando el software manipula incorrectamente la memoria. Estos fallos pueden permitir que un programa escriba datos en ubicaciones de memoria no previstas o acceda a áreas de memoria que están fuera del alcance previsto.
Un atacante que controla estos datos, podría desencadenar un comportamiento inesperado en el sistema, como hacer que el programa se bloquee o, en el peor de los casos, obtener control total sobre el sistema afectado.
En parte, esto es así porque inicialmente los sistemas computacionales no fueron diseñados teniendo en cuenta la seguridad, por lo que las direcciones de memoria utilizadas por los programas y sistemas operativos eran estáticas y predecibles. Esto significaba que cada vez que un programa se ejecutaba, las ubicaciones de la memoria, como la pila, el heap y las bibliotecas compartidas, se situaban siempre en las mismas direcciones.
Esta previsibilidad facilitaba a los atacantes la explotación de vulnerabilidades de memoria, como los desbordamientos de búfer y los ataques de retorno a libc, ya que podían anticipar exactamente dónde se encontrarían los datos o el código que deseaban manipular para ejecutar código malicioso. En este artículo veremos cómo la técnica de ASLR ayuda a combatir estas vulnerabilidades.
El creciente desarrollo del malware enfocado al mundo industrial no ha parado su maquinaria ni mucho menos. Varios grupos de investigación han detectado un nuevo malware llamado Fuxnet y actualmente se encuentran investigando su alcance. Esta pieza tiene la capacidad de enviar peticiones concretas a nivel serie, por RS485/MBus, llevando a cabo inundaciones a más de 87.000 de activos, entre sistemas de control y sensores integrados que se encuentran desplegados en diferentes sectores. De entre las infraestructuras que se ven comprometidas por este malware encontramos hospitales, aeropuertos y otras infraestructuras críticas que proporcionan servicios esenciales a la población.
Los gemelos digitales, también conocidos como digital twins, son recreaciones virtuales de objetos o procesos del mundo real. Esta innovadora idea, propuesta por el Dr. Michael Grieves, ha cobrado cada vez más relevancia en diversos sectores industriales gracias al avance de tecnologías como el modelado 3D, el Internet de las Cosas (IoT), el IIoT (Internet Industrial de las Cosas), el aprendizaje automático (machine learning) y el análisis de grandes volúmenes de datos (big data). Su aplicación permite simular y analizar procesos físicos de forma eficiente, contribuyendo así a la transformación digital de la industria, también conocida como industria 4.0.
El propósito fundamental de los gemelos digitales radica en facilitar la comprensión de cómo operan los elementos en el mundo físico. Por ejemplo, en el ámbito de la manufactura, es posible crear un gemelo digital de una fábrica y mediante simulaciones explorar diferentes escenarios. ¿Qué sucedería si se modificara una máquina? ¿Cómo impactaría en la producción? El gemelo digital brinda respuestas antes de realizar cambios reales en el entorno físico, lo que agiliza la toma de decisiones y optimiza procesos.
Actualmente existen gran cantidad de estándares y normativas en lo referente al sector industrial. Una gran variedad de ellas permite a las organizaciones industriales comprobar su nivel de madurez, como la IEC 62443 o mejorar el nivel de seguridad de la organización mediante la aplicación de una serie de pautas, buenas prácticas o guías, como en el caso del NIST Framework.
Dado el crecimiento del sector industrial, y el aumento de las capacidades, tanto en producción, como en conectividad, gracias al afianzamiento de la Industria 4.0 y el surgimiento de la Industria 5.0; los entornos industriales están en el foco, ya no solo de las mejoras tecnológicas, sino también de los ciberataques.
La aplicación e implementación de la familia de la IEC 62443, en combinación con el NIST Framework, permitirá a las organizaciones reducir, mitigar y controlar la posibilidad de sufrir un ciberataque, mediante la implementación de los controles y buenas prácticas definidas en ambos estándares.
UMAS (Unified Messaging Application Services) es un protocolo patentado de Schneider Electric (SE) que se utiliza para configurar y supervisar controladores lógicos programables (PLCs) de Schneider Electric. Si bien es cierto que el protocolo está relacionado con este fabricante, el uso del protocolo es bastante extendido en diferentes sectores sobre todo el sector energía como es obvio.
El artículo se centrará en el desglose técnico del protocolo y en el uso de este. Dentro del artículo se mostrarán también debilidades, fortalezas y algunas vulnerabilidades a nivel técnico detectadas en este protocolo.