La Guerra: en los Sistemas de Información Críticos

Leyendo el último boletín del CCN-CERT parece claro que los soldados de un futuro no muy lejano son ingenieros en informática especializados en seguridad en sistemas y redes.

Las películas de Hollywood, esos productos aparentemente inocentes, casi siempre sirven para saber lo que se nos viene encima. Se me viene a la mente la cuarta parte de La Jungla de Cristal, donde un ataque informático masivo está en marcha. Los EEUU están por completo gestionados por tecnología informática, todas las redes de distribución críticas (agua, energía, comunicaciones, etc.) están controladas por sistemas informáticos. Los terroristas pretenden dejar todo el sistema caido mediante un «Plan de Aniquilamiento» en tres fases.

El planteamiento de la película es bueno ¿qué sentido tiene invertir en armamento cuando un reducido grupo de expertos puede compremeter un país entero y, en lugar de destruirlo a bombazos, propiciar su autodestrucción?

Y como casi siempre ocurre, la realidad supera a la ficción (cito del último boletín CCN-CERT): En noviembre de 2009 EEUU desarrolló el equipo de respuesta ante incidentes cibernéticos en sistemas de control industrial (Industrial Control Systems Cyber Emergency Response Team, ICS-CERT) con el fin de mejorar la concienciación sobre incidentes cibernéticos y facilitar información de inteligencia al gobierno y al sector público.

Los sistemas de control, supervisión y adquisición de datos (SCADA) son sistemas con los que el común de los mortales, ingenieros informáticos incluidos, no estamos acostumbrados a tratar, pero se utilizan para monitorizar y controlar infraestructuras tan críticas como:

consumo de energía
sistemas de tráfico
cadenas de montaje
presas
ferrocarriles
procesadoras de alimentos
instituciones bancarias y financieras
instalaciones de tratamiento de agua
telecomunicaciones
centros médicos

Así como otras infraestructuras críticas. Así que el lector es capaz de imaginar a qué nivel nos afecta un mal funcionamiento de alguno de estos sectores inducido por un ataque contra sus sistemas.

El último incidente en sistemas SCADA se produjo cuando el gusano Stuxnet comprometió varios equipos de enriquecimiento nuclear de Irán al explotar cuatro vulnerabilidades en varias versiones del sistema operativo Windows. En 2005, el gusano Zotob explotó vulnerabilidades en los sistemas Windows para provocar el cese de la actividad en 13 plantas de fabricación de Daimler-Chrysler en EEUU. Y en 2003 el gusano Slammer explotó vulnerabilidades en (de nuevo) Microsoft SQL Server 2000 llegando a provocar la paralización de la actividad en la central nuclear Davis-Besse de Ohio. Y sigue…

Poco importa que en el fregado siempre aparezca Microsoft. La última vulnerabilidad podría haber estado corregida desde 6 meses antes si los administradores hubieran aplicado un parche disponible. Nunca se insistirá lo suficiente, tanto a nivel doméstico como a nivel de Estado, sobre la importancia de aplicar todos los parches de seguridad disponibles y si se hace de forma automática mucho mejor.

El tema preocupa mucho más de lo que parece, pero España es un pais bastante proactivo en el tema. El 28 de Abril de 2011 aprobó la Ley 8/2011 por la que se establecen medidas de protección de las infraestructuras críticas. Asimismo el CCN-CERT dependiente del Centro Nacional de Inteligencia es el órgano que vela por la seguridad global en nuestro país.

Este tipo de noticias no suele interesar a la prensa, pero nos afectan más que muchas cosas de las que sí se suele hablar largo y tendido. Porque todavía hoy parece de ciencia ficción un ataque que comprometa al pais completo, pero sí veo bastante posible ataques diseminados que compromenta una infraestructura por aquí y otra por allá, y será más grave cuanto más interconectado esté todo.

Referencias:

Perpetrado el 19 de diciembre de 2011 por una IN (Inteligencia Natural), la mia, con cierto esfuerzo.

Archivado en categoría(s) Divagaciones, Internet, Seguridad, Tecnología