CIP Security™: Requisitos y capacidades relacionados con la seguridad para dispositivos EtherNet / IP

art-768-2CIP Security™: Requisitos y capacidades

La seguridad de los sistemas de control ha sido abordada históricamente mediante la adopción de una arquitectura de seguridad de defensa en profundidad, que se ha recomendado durante muchos años. 

Esta arquitectura se basa en la idea de que varias capas de seguridad son más resistentes a los ataques. La expectativa es que cualquier capa externa podría verse comprometida en algún momento, mientras que los dispositivos de automatización en la capa más interna permanecerían seguros.

Sin embargo, a medida que se acelera la convergencia de TI / OT y los atacantes se vuelven más sofisticados, se vuelve más importante que el dispositivo conectado al CIP, la última capa de defensa, se defienda. 

Considerando por ejemplo la situación en la que una pieza de malware, desconocida para el personal del sistema de control, se envía a una PC comprometida a través de una unidad USB. El malware podría contener código para emitir servicios CIP maliciosos a los dispositivos. Sin embargo, si el dispositivo pudiera rechazar dichos servicios de fuentes no confiables, la amenaza se mitigaría.

Contenidos de este artículo:
Objetivos
Atributos de seguridad
Surgimiento de CIP

 

Objetivos

El objetivo de CIP Security es permitir que el dispositivo conectado a CIP se proteja de las comunicaciones CIP maliciosas. Un dispositivo CIP totalmente autodefensivo podría:

  • Rechazar datos que han sido alterados (integridad)
  • Rechazar mensajes enviados por personas o dispositivos que no son de confianza (autenticidad)
  • Rechazar mensajes que soliciten acciones no permitidas (autorización)

Reconociendo que no todos los dispositivos CIP necesitan proporcionar el mismo nivel de soporte para todas las funciones de seguridad definidas, CIP Security define la noción de un perfil de seguridad. Un perfil de seguridad es un conjunto de capacidades bien definidas para facilitar la interoperabilidad de dispositivos y la selección de dispositivos por parte del usuario final con la capacidad de seguridad adecuada.

CIP Security para dispositivos EtherNet / IP utiliza los protocolos TLS (RFC 5246) y DTLS (RFC 6347) estándar de IETF para proporcionar un transporte seguro para el tráfico EtherNet / IP. TLS se utiliza para las comunicaciones basadas en TCP (incluida la capa de encapsulación, UCMM, clase de transporte 3) y DTLS para las comunicaciones de clase de transporte 0/1 basadas en UDP. Este enfoque es análogo a la forma en que HTTP usa TLS para HTTPS.

 

Atributos de seguridad

El transporte seguro EtherNet / IP proporciona los siguientes atributos de seguridad:


Autenticación de los puntos finales: Garantizar que el destino y el originador sean entidades de confianza. La autenticación de punto final se logra mediante certificados X.509 o claves previamente compartidas.

 

Integridad y autenticación del mensaje: Garantiza que el punto final de confianza envió el mensaje y que no se modificó en tránsito. La integridad y autenticación de los mensajes se logra mediante el código de autenticación de mensajes TLS (HMAC). 

 

Cifrado de mensajes: Capacidad opcional para cifrar las comunicaciones, proporcionada por el algoritmo de cifrado que se negocia mediante el protocolo de enlace TLS.

 

Surgimiento de CIP

La especificación de seguridad CIP inicial se publicó en 2015, lo que brinda a los proveedores la capacidad de mejorar la seguridad de los dispositivos conectados a EtherNet / IP al agregar soporte para la autenticación de dispositivos, la integridad de los datos y la confidencialidad de los mismos. 

Posteriormente en 2019, la seguridad CIP se mejoró para permitir:

  • Dispositivos para realizar la inscripción de certificados directamente para facilitar la puesta en marcha inicial.
  • Mayor eficiencia con respuestas de tiempo de espera.
  • Protección mejorada al permitir una conexión de seguridad CIP obligatoria para cambios.
  • Comportamientos ampliados para la verificación de certificados.

Se está trabajando en la siguiente fase de desarrollo de CIP Security, que agregará soporte para la autenticación de usuarios, el no repudio y la autorización de dispositivos. 

La finalidad del  desarrollo de la seguridad CIP es permitir que los dispositivos EtherNet / IP se vuelvan autónomos, asumiendo la responsabilidad de su propia seguridad y protegiéndose eficazmente de los ataques.

 

Si quieres conocer más acerca de las soluciones en ciberseguridad te invitamos a descargar la infografía sobre este tema.

 

Te invitamos a agendar una consultoría en redes Industriales, Transformación y Ciberseguridad:

{{cta('a69b03f0-5a5d-4bf0-a1c6-094d7b98f1b1')}}

 

Otros contenidos: