Redes definidas por software para la respuesta a intrusiones en sistemas de control industrial [Póster]

Redes Definidas por Software para la Respuesta a Intrusiones en Sistemas de Control Industrial Xabier Etxezarreta, I˜ naki Garitano, Mikel Iturbe y Urko Zurutuza Departamento de Electr´ onica e Inform´ atica Mondragon Unibertsitatea Goiru 2, E-20500 Arrasate-Mondrag´ on Email: {xetxezarreta,igaritano,miturbe,uzurutuza}@mondragon.edu Resumen—Las Redes Definidas por Software (SDN) emergen como una soluci´ on prometedora para fortalecer la seguridad en los Sistemas de Control Industrial (ICS), fundamentales en las infraestructuras cr´ ıticas y diversos sectores industriales. Frente al aumento de ataques personalizados y sofisticados a los ICS, se requieren enfoques de ciberseguridad espec´ ıficos que superen las limitaciones de las soluciones tradicionales de las Tecnolog´ ıas de la Informaci´ on (IT). Este estudio examina la capacidad de respuesta ante intrusiones en ICS mediante la implementaci´ on de estrategias basadas en SDN. Se lleva a cabo un an´ alisis detallado de los requisitos de seguridad de los ICS y la viabilidad de SDN, comparando sus ventajas y desventajas con las infraestructuras y protocolos convencionales. Adem´ as, se presenta una taxonom´ ıa de estrategias de respuesta ante intrusiones, clasificando diversas propuestas seg´ un la estrategia de respuesta y las caracter´ ısticas del entorno de implementaci´ on. Por ´ ultimo, se se˜ nalan ´ areas de investigaci´ on futura y desaf´ ıos pendientes en la aplicaci´ on de SDN para la seguridad en ICS. Index Terms—Redes Definidas por Software (SDN), Sistemas de Control Industrial (ICS), Respuesta a intrusiones. Tipo de contribuci´ on: Investigaci´ on ya publicada [1]. I. INTRODUCCI´ ON La convergencia de las Tecnolog´ ıas de la Informaci´ on (IT) y las Tecnolog´ ıas Operativas (OT) en los Sistemas de Control Industrial (ICS) ha transformado la forma en que operan los procesos industriales. Anteriormente, las redes de IT y OT permanec´ ıan aisladas, pero esta separaci´ on se ha diluido con el tiempo, generando un entorno m´ as interconectado y, por ende, m´ as vulnerable a ciberataques. La introducci´ on de las Redes Definidas por Software (SDN) han despertado un gran inter´ es en la industria debido a su capacidad para simplificar y mejorar la gesti´ on de las redes, al separar el plano de control del plano de datos. Aunque la adopci´ on de SDN en entornos industriales est´ a en sus primeras etapas, se percibe su potencial para la seguridad en los ICS, especialmente en lo referente al desarrollo de sistemas de detecci´ on y respuesta ante intrusiones. En este contexto, este trabajo se propone analizar el papel de SDN en la respuesta a intrusiones en ICS, mediante una revisi´ on sistem´ atica de la literatura existente. Se busca complementar y ampliar estudios previos, abordando aspectos que hasta ahora no han sido tratados de manera integral en un solo trabajo, como el desarrollo de estrategias de respuesta a intrusiones basadas en SDN para ICS. Este trabajo resume la investigaci´ on publicada en [1], cuyas principales contribuciones son: Realizar una revisi´ on exhaustiva de la literatura sobre la aplicabilidad de SDN en el dise˜ no de estrategias de respuesta a intrusiones en ICS. Proponer una taxonom´ ıa para clasificar las estrategias de respuesta a intrusiones basadas en SDN para ICS. Identificar los desaf´ ıos y las tendencias emergentes en la intersecci´ on entre ICS, SDN y la respuesta a intrusiones. II. SDN FRENTE A LAS REDES INDUSTRIALES TRADICIONALES Las redes industriales tradicionales, cruciales para los ICS, presentan limitaciones en flexibilidad, heterogeneidad e interoperabilidad que son esenciales en entornos din´ amicos actuales. Las SDN emergen como soluciones m´ as din´ amicas y programables, superando estas barreras. A continuaci´ on, se analizan las aplicaciones de SDN en ICS, destacando especialmente su papel en la monitorizaci´ on, seguridad, puntualidad, fiabilidad, interoperabilidad y gesti´ on de la red. Monitorizaci´ on y seguridad de la red: La visi´ on global proporcionada por el controlador facilita la detecci´ on de cambios de estado en puertos y enlaces, la identificaci´ on de paquetes y el an´ alisis de estad´ ısticas de red. Adem´ as, SDN puede monitorear selectivamente el tr´ afico, lo que mejora la escalabilidad al enfocarse en flujos relevantes. Por otro lado, SDN posibilita la reconfiguraci´ on din´ amica de la red para mitigar ataques, aunque la implementaci´ on de respuestas automatizadas requiere precauci´ on y pruebas exhaustivas. Puntualidad y fiabilidad de la red: El controlador SDN monitorea continuamente la red, estableciendo reglas de redireccionamiento para restaurar la conectividad ante fallos. Por un lado, los switches pueden notificar cambios al controlador, reconfigurando la red en tiempo real. Por otro lado, las OpenFlow Fast-Failover groups ofrecen una recuperaci´ on m´ as r´ apida al actuar directamente en el plano de datos sin necesidad del controlador. Comparativamente, SDN supera a protocolos tradicionales como MRP (IEC 62439-2) y RSTP (IEEE 802.1w) al proporcionar mecanismos de recuperaci´ on independientes de la topolog´ ıa y m´ as r´ apidos, gracias a su perspectiva global de la red y la predefinici´ on de reglas. Interoperabilidad y gesti´ on de la red: SDN introduce una capa de abstracci´ on en el plano de datos, superando las limitaciones de las interfaces espec´ ıficas de cada proveedor y facilitando la interoperabilidad en diversos ecosistemas de ICS. Esto permite gestionar la red mediante interfaces JNIC 2024 ISBN:978-84-09-62140-8 520 abiertas, soportando m´ ultiples topolog´ ıas y protocolos industriales. La centralizaci´ on del control y el uso de protocolos abiertos aceleran la innovaci´ on en comparaci´ on con redes tradicionales. No obstante, integrar dispositivos ICS heredados en SDN sigue siendo un reto, debido a su larga vida ´ util y a la incompatibilidad con protocolos modernos, complicando la transici´ on completa hacia SDN en ciertos contextos. III. SDN PARA LA RESPUESTA A INTRUSIONES EN ICS La capacidad de modificar din´ amicamente el comportamiento de la red, la monitorizaci´ on continua y la toma de decisiones centralizada son aspectos recurrentes en numerosos estudios que abordan la seguridad en entornos SDN. En el ´ ambito industrial, la aplicaci´ on de SDN se ha enfocado principalmente en el desarrollo de soluciones de detecci´ on y respuesta a intrusiones. A continuaci´ on, se ofrece un an´ alisis de diversas estrategias de respuesta presentes en la literatura. Filtrado din´ amico del tr´ afico de red: SDN facilita la definici´ on din´ amica de pol´ ıticas de seguridad mediante el an´ alisis de estad´ ısticas de tr´ afico o informaci´ on del estado de la red. Estos enfoques implementan diversas t´ ecnicas de detecci´ on (como inspecci´ on profunda de paquetes, comparaci´ on de patrones de firmas, detecci´ on de anomal´ ıas, aprendizaje autom´ atico) y aprovechan SDN para descartar paquetes din´ amicamente o bloquear flujos de red y evitar que alcancen su destino. Capacidad de supervivencia de la red: Este enfoque est´ a dise˜ nado para garantizar la continuidad operativa de la red ante fallos o ataques. Utilizando las capacidades de SDN para obtener una perspectiva integral de la red, se implementan m´ odulos que eval´ uan el estado de la red en tiempo real, permitiendo su reconfiguraci´ on para minimizar o prevenir interrupciones. Existen dos enfoques: Reconfiguraci´ on en el plano de control: El controlador recibe interrupciones del plano de datos, como cambios en los estados de los puertos, para reaccionar y ajustar la configuraci´ on de la red en tiempo real. Reconfiguraci´ on en el plano de datos: Se realiza directamente en el plano de datos sin la intervenci´ on directa del controlador, usando herramientas como las OpenFlow fast failover groups. Ciberenga˜ no: El objetivo principal de las t´ ecnicas de ciberenga˜ no es confundir a los atacantes proporcionando informaci´ on falsa sobre los recursos de la red, aumentando as´ ı la incertidumbre en sus acciones y permitiendo la recopilaci´ on de informaci´ on por parte del defensor. Existen dos enfoques: Moving Target Defense (MTD): Esta estrategia implica la aleatorizaci´ on de la configuraci´ on de la red a lo largo del tiempo, como cambiar direcciones IP o rutas de red, con el fin de reducir la superficie de ataque y proporcionar informaci´ on falsa al atacante. Respuesta basada en Honeypots: Se implementan sistemas y dispositivos falsos dentro de la infraestructura, atrayendo as´ ı a los ataques. Mantener activos estos sistemas falsos permite recopilar informaci´ on sobre los ataques sin afectar a los sistemas de producci´ on. IV. L´ INEAS FUTURAS DE INVESTIGACI ´ ON Hacia una respuesta proactiva y adaptativa: La defensa de los ICS debe ir m´ as all´ a de la reacci´ on a los ataques (propensa a falsos positivos) y adoptar la prevenci´ on proactiva. Se han identificado dos ´ areas de investigaci´ on clave: Respuesta proactiva: Desarrollar nuevas medidas proactivas en el campo MTD, para prevenir o mitigar ataques sin necesidad de un sistema de detecci´ on. Respuesta adaptativa: Adaptar las acciones de defensa en funci´ on de los patrones de ataque y el estado de la red para una respuesta ´ optima, utilizando potencialmente conceptos como la teor´ ıa de juegos o aprendizaje por refuerzo. Arquitecturas de respuesta m´ as fiables y escalables: Una respuesta ante intrusiones SDN fiable y escalable en entornos industriales requiere: Plano de datos con estado: Descargar el procesamiento a los switches utilizando lenguajes similares a P4 para reducir la carga del controlador y permitir la detecci´ on/mitigaci´ on local de amenazas. Colaboraci´ on entre el plano de datos y de control: Emplear tareas sencillas (filtrado) en los switches y complejas (aprendizaje autom´ atico, MTD) en el controlador, colaborando para una respuesta eficiente. Plano de control distribuido: Arquitecturas multicontrolador (plana o jer´ arquica) para distribuir la carga, evitar cuellos de botella y mejorar la escalabilidad. M´ etodos de evaluaci´ on y conjuntos de datos: Comparar las t´ ecnicas de respuesta a intrusiones es un reto debido a la inconsistencia de los enfoques de evaluaci´ on. Cada estudio utiliza m´ etricas, configuraciones de red y datos diferentes, lo que dificulta las comparaciones. Son necesarias: (1) Metodolog´ ıas de evaluaci´ on y m´ etricas estandarizadas en todos los estudios. (2) Arquitecturas de red coherentes (por ejemplo, utilizando configuraciones replicables a peque˜ na escala). (3) Conjuntos de datos espec´ ıficos del sector que contengan tr´ afico normal y de ataque. V. CONCLUSIONES La aplicaci´ on de SDN a la detecci´ on y respuesta de intrusiones en ICS presenta ventajas sobre m´ etodos tradicionales. Este estudio analiza y clasifica las soluciones existentes, abarcando tendencias, estrategias de respuesta y caracter´ ısticas arquitect´ onicas. Finalmente, identifica ´ areas de investigaci´ on abiertas y las direcciones m´ as prometedoras, destacando la necesidad de estrategias proactivas y adaptativas, arquitecturas SDN escalables y metodolog´ ıas de evaluaci´ on de soluciones. AGRADECIMIENTOS Este trabajo ha sido desarrollado por el grupo Sistemas Inteligentes para Sistemas Industriales, con el apoyo del Departamento de Educaci´ on, Pol´ ıtica Ling¨ u´ ıstica y Cultura del Gobierno Vasco (IT1676-22). Este proyecto ha recibido financiaci´ on del Departamento de Desarrollo Econ´ omico, Sostenibilidad y Medio Ambiente del Gobierno Vasco, dentro de la convocatoria ELKARTEK 2023, bajo el proyecto BEACON (n´ umero de registro KK-2023/00085). REFERENCIAS [1] X. Etxezarreta, I. Garitano, M. Iturbe, and U. Zurutuza, “Softwaredefined networking approaches for intrusion response in industrial control systems: A survey,” International Journal of Critical Infrastructure Protection, vol. 42, p. 100615, 2023. Redes Definidas por Software para la Respuesta a Intrusiones en Sistemas de Control Industrial 521