Integración de un laboratorio de ciberseguridad OT en un laboratorio de automatización industrial

Integraci´ on de un laboratorio de ciberseguridad OT en un laboratorio de automatizaci´ on industrial Alejandro Manuel L´ opez G´ omez Universidad Pontificia Comillas Comunidad de Madrid [email protected] Jaime Mohedano Universidad Pontificia Comillas Comunidad de Madrid [email protected] Atanasio Carrasco Centrales Nucleares Almaraz-Trillo Comunidad de Madrid [email protected] Jos´ e Antonio Rodr´ ıguez-Mondejar Universidad Pontificia Comillas Comunidad de Madrid [email protected] Agust´ ın Valencia Fortinet Comunidad de Madrid a[email protected] Rafael Palacios Universidad Pontificia Comillas Comunidad de Madrid [email protected] Gregorio L´ opez Universidad Pontificia Comillas Comunidad de Madrid [email protected] Javier Jarauta Universidad Pontificia Comillas Comunidad de Madrid [email protected] Roberto Gesteira-Mi˜ narro Universidad Pontificia Comillas Comunidad de Madrid r[email protected] Resumen—Si la ciberseguridad en las Tecnolog´ ıas de la Informaci´ on (IT, Information Technology) es una persona adulta, la ciberseguridad en las Tecnolog´ ıas Operativas (OT, Operational Technology) est´ a a´ un en su infancia. Los desaf´ ıos ´ unicos en materia de seguridad que presentan los entornos industriales requieren una formaci´ on que combine conocimientos de automatizaci´ on industrial y ciberseguridad. Fruto de esta necesidad, en la Universidad Pontificia Comillas se ha puesto en funcionamiento un laboratorio dedicado a la formaci´ on en ciberseguridad en entornos industriales. Este laboratorio tiene como principal objetivo la concienciaci´ on y formaci´ on en seguridad industrial l´ ogica a partir de diferentes escenarios, as´ ı como la investigaci´ on de posibles ataques y sus mitigaciones. En este art´ ıculo se detalla el nacimiento de este laboratorio en colaboraci´ on con Fortinet a partir de un laboratorio de automatizaci´ on industrial preexistente. Se explicar´ an en detalle los escenarios realizados, desde ataques a m´ aquinas Windows desplegadas en un entorno virtualizado a la realizaci´ on de ataques a hardware real de control industrial, adem´ as de abordarse posibles mitigaciones como la activaci´ on de reglas de cortafuegos ´ o segmentaci´ on de redes. Index Terms—JNIC, Ciberseguridad, OT, Siemens, Fortinet Tipo de contribuci´ on: Formaci´ on e innovaci´ on educativa I. INTRODUCCI´ ON La tendencia de los fabricantes de equipos de control a usar equipos y aplicaciones preparados para el sector IT, hace que crezca la importancia de tener un planteamiento de ciberseguridad bien definido en el entorno OT. Si bien las tecnolog´ ıas de la informaci´ on ofrecen numerosos beneficios en materia de conectividad y supervisi´ on, tambi´ en exponen a los sistemas de control industriales a nuevas amenazas. En muchos aspectos, la ciberseguridad en OT se ha quedado rezagada con respecto a su contraparte en IT. Afortunadamente, seg´ un apunta un informe realizado por Fortinet en el a˜ no 2023 [1], la ciberseguridad OT ha empezado a recibir la atenci´ on que merece de los cargos directivos y de responsabilidad. Sin embargo, la mayor´ ıa de las organizaciones a´ un tienen mucho trabajo por hacer. De cara a reforzar la postura en ciberseguridad de entornos OT, existen retos propios de este ambiente que dificultan la equiparaci´ on en seguridad con despliegues IT. Muchos equipos OT fueron desplegados antes de que la ciberseguridad se convirtiese en una preocupaci´ on primordial, y su reemplazo por equipos m´ as actualizados no es sencillo o eficiente. Mientras que los sistemas IT se centran principalmente en la confidencialidad y la integridad de los datos, en los sistemas OT priman la disponibilidad y la seguridad operativa. Falta de concienciaci´ on y capacitaci´ on en ciberseguridad dentro de la comunidad OT. Existe una notable diferencia en la cantidad de recursos de formaci´ on en ciberseguridad disponibles en entornos IT y OT. Desafortunadamente, los dos primeros puntos se pueden considerar inherentes al entorno industrial. Respecto al tercer punto comentado, es innegable que en el entorno OT existe una diferencia considerable en formaci´ on en ciberseguridad con el mundo IT. Con la finalidad de ayudar a lograr esta tan necesaria equiparaci´ on en talento, en la Universidad Pontificia Comillas se ha puesto en marcha un laboratorio de ciberseguridad OT en colaboraci´ on con Fortinet, que permitir´ a formar y concienciar a alumnos de diferentes perfiles en materia de ciberseguridad OT desde un punto de vista pr´ actico y realista. En Espa˜ na actualmente existen organizaciones dedicadas al desarrollo e investigaci´ on, a mencionar se encuentran el proyecto ARISTEO de la fundaci´ on CIDAUT [2] ´ o los laboratorios de Ziur situados en Guip´ uzcoa [3]. Destacar tambi´ en la red nacional de laboratorios de ciberseguridad industrial del INCIBE (Instituto Nacional de Ciberseguridad) [4]. Frente a las instalaciones previamente mencionadas, el laboratorio propuesto tiene objetivos did´ acticos, reforzando lo visto en clases te´ oricas previas con ejemplos y equipos realistas. JNIC 2024 ISBN:978-84-09-62140-8 134 El laboratorio presentando en este art´ ıculo ofrece ocho puestos de trabajo en los que se pueden evaluar tanto estrategias y configuraciones defensivas, como ataques a dispositivos de todos los niveles. Desde diferentes sensores y sistemas operativos, pasando por PLCs [5] (Programmable Logic Controllers) de diferentes generaciones y teniendo en cuenta las conexiones a Internet que resultan indispensables en los entornos productivos de hoy. Se detallan el proceso de integraci´ on de un laboratorio de automatizaci´ on industrial y un laboratorio de ciberseguridad OT. Las soluciones de un portfolio completo de aplicaciones ciberseguridad (antimalware, sondas IDS e IPS, NGFW, sandboxes, Honeypots, SIEM,... ) ya han sido probadas en formato virtualizado en el Trabajo de Fin de M´ aster de Jos´ e Rafael Mart´ ın Torre, dirigido por Agust´ ın Valencia [6]. II. LABORATORIO DE AUTOMATIZACI ´ ON INDUSTRIAL El laboratorio de Automatizaci´ on Industrial est´ a formado por ocho puestos de trabajo y una minif´ abrica (Fig. 1) que simula una planta industrial conectada entre s´ ı mediante una red Ethernet y una red Wi-Fi. El conjunto forma la red OT del laboratorio. Cada puesto de trabajo (Fig. 2) tiene una estaci´ on de trabajo con pantalla de 24” que act´ ua como estaci´ on de ingenier´ ıa, un PLC S7-1516-3 PN/DP (Fig. 3) del fabricante Siemens y un HMI (Human-Machine Interface) TP700 del mismo fabricante. Cuatro de los puestos tienen montados en el propio puesto una c´ amara para control de cada calidad por visi´ on artificial y un sistema de lectura de etiquetas RFID (Radio Frequency Identification) con dos antenas. La minif´ abrica representa una l´ ınea de fabricaci´ on formada por cuatro estaciones (Fig. 1). Cada una est´ a atendida por un robot. Dependiendo de la estaci´ on, el robot es de tipo colaborativo (ABB GoFA) o de tipo industrial (ABB Swifty). Hay una cinta transportadora que comunica todas las estaciones. Dos de las estaciones tienen su propia cinta transportadora para tareas de buffering. El material circula entre las estaciones sobre pal´ es, guiados con cambios de aguja y elevadores. Asociados a cada cambio de aguja hay retenedores que evitan conflictos en la circulaci´ on de los pal´ es. En cada puesto de trabajo existe tambi´ en una c´ amara y un sistema de lectura de etiquetas de RFID. Esta combinaci´ on de elementos permite que el alumno est´ e en un entorno semi-industrial: hay fabricaci´ on representada por los robots que montan y desmontan objetos formados por piezas de LEGO, hay transporte de material gracias a las cintas accionadas mediante variadores de velocidad, hay control de calidad a trav´ es de las c´ amaras y trazabilidad mediante la lectura de etiquetas RFID montadas en los pal´ es. Todos los elementos, tanto de la minif´ abrica como de los puestos est´ an conectados seg´ un el esquema de red mostrado en la Fig. 4. Esta red est´ a formada por m´ ultiples switches que permite la comunicaci´ on entre cualquier elemento de la minif´ abrica y de los puestos de trabajo. Existe una configuraci´ on de red tanto en estrella como en cascada. Esta ´ ultima se consigue gracias a que la mayor´ ıa de los dispositivos tienen un switch interno de dos puertos. Los protocolos de comunicaci´ on usados son S7Comm, PROFINET y OPC UA. Alrededor de la minif´ abrica hay desplegada una red de seguridad formada por un PLC de seguridad, setas de emer- Figura 1. Minif´ abrica Figura 2. Estaciones de ingenier´ ıa gencia en cascada, detectores de puerta abierta, barreras de luz, cierres magn´ eticos y l´ aseres de proximidad que utiliza como protocolo principal PROFIsafe, utilizando la misma red Ethernet. Desde el punto de vista de la automatizaci´ on, cada puesto est´ a dotado de la herramienta TIA Portal para programar los PLC y resto de material del fabricante Siemens, y de la herramienta RobotStudio para programar los robots. Adem´ as, en cada puesto se pueden arrancar PLC virtuales, paneles virtuales y robots virtuales. Desde el punto de vista de conexi´ on, sin entrar en los temas de ciberseguridad que se ver´ an en el pr´ oximo apartado, cada puesto est´ a conectado a la red corporativa de la universidad, a la red OT del laboratorio, y la red interna de dispositivos virtuales del puesto, que desde el punto de vista operaci´ on, siguen estando en la misma red OT. Todos los dispositivos del laboratorio est´ an actualmente en el mismo dominio, aunque gracias a la red Wi-Fi, se pueden montar m´ as dominios. En este laboratorio los alumnos aprenden t´ ecnicas cl´ asicas de automatizaci´ on basadas en PLC y en robots y t´ ecnicas m´ as avanzadas como integraci´ on (OPC UA) o de control de calidad por visi´ on. El laboratorio es utilizado por alumnos de diferentes m´ asteres: Ingenier´ ıa Industrial, Ingenier´ ıa de Telecomunicaci´ on, Ciberseguridad, Transformaci´ on Digital de la Industria, etc. III. LABORATORIO DE CIBERSEGURIDAD OT Este laboratorio tiene como objetivo ofrecer escenarios de aprendizaje sencillos para formar y concienciar al alumnado. En esta secci´ on se describe a alto nivel el proceso de integraci´ on con el laboratorio de automatizaci´ on industrial, as´ ı como los equipos desplegados. Adem´ as, se detalla a menor nivel el esquema de las conexiones realizadas. Para reducir necesidades de espacio en el laboratorio, como es realizado en muchas industrias, el despliegue de herramientas de monitorizaci´ on y detecci´ on de intrusiones se realiza de manera virtualizada en un servidor VMWARE ESXi, permitiendo adem´ as minimizar los cambios realizados Integraci´on de un laboratorio de ciberseguridad OT en un laboratorio de automatizaci´on industrial 135 Figura 3. Equipo Siemens Simatic S7-1500 Figura 4. Esquema conectividad laboratorio A. Industrial en las estaciones de trabajo. En este equipo se encuentran m´ aquinas Kali Linux y Windows 11 para la realizaci´ on de escenarios. Aparte de los PLC S7-1500 usados en el laboratorio de automatizaci´ on industrial, se han instalado tambi´ en equipos Siemens Simatic S7-300 (Fig. 5). Los ataques realizados deben ser sencillos para que cumplan su finalidad formativa, por ello en ambos modelos de PLCs se emplean versiones de firmware vulnerables y comunicaciones no cifradas. Una adecuada segmentaci´ on de los entornos IT y OT es fundamental. Es habitual realizarla acorde con el conocido modelo de Purdue [7] y las directrices de una red convergente extendida de planta, como la definida por Cisco y Rockwell [8]. Para el despliegue de los equipos se ha optado por seguir la pir´ amide de Purdue. Se emplea el cortafuegos avanzado Figura 5. Equipo Siemens Simatic S7-300 NGFW FG-80F de Fortinet como zona desmilitarizada industrial (iDMZ), segmentando los equipos IT (nivel dos en el esquema mostrado en la Fig. 6, dedicado a la red de procesos) y OT (nivel uno en la misma figura, donde se encuentran los equipos de control). Gracias al acuerdo educativo con Fortinet se pueden dar formaci´ on en sus productos a los alumnos y usar herramientas virtuales que potencien las soluciones f´ ısicas. Desde el punto de vista de la seguridad, idealmente todas las comunicaciones entre los distintos niveles de Purdue deber´ ıan realizarse a trav´ es de segmentaci´ on a nivel de aplicaci´ on y protocolo industrial (capa 7 en el modelo OSI [9]). Sin embargo, durante el proceso de integraci´ on de los laboratorios esto result´ o imposible debido a la no exclusividad de uso del equipamiento, ya que se trata de un espacio compartido con otras titulaciones no relacionadas con la ciberseguridad industrial. Las conexiones que no siguen esta filosof´ ıa de segmentaci´ on se observan en el esquema simplificado de la Fig. 6 marcadas con un s´ ımbolo de peligro. Este resultado accidental se aprovecha para explicar a los alumnos como se deber´ ıa realizar la segmentaci´ on de forma correcta y destacar el delicado balance entre la disponibilidad y la seguridad l´ ogica en entornos OT. El nuevo laboratorio requiere de una red aislada que permita la ejecuci´ on de diferentes pruebas sin posibilidad interferir con otros equipos ajenos al ejercicio. En la Fig. 7 se puede observar como se ha incorporado esta red (nuevos enlaces en rojo). En cada estaci´ on se obtiene una nueva conexi´ on de red a trav´ es de adaptadores USB-Ethernet. Estos equipos se conectan a uno de los dos posibles switches conectados entre s´ ı. Finalmente el switch de nivel superior es conectado al cortafuegos FG-80F. A este cortafuegos se conectan el resto de equipos, como es la red de automatizaci´ on preexistente (red de la Fig. 4), los dos PLC S7-300 y la subred dedicada a las m´ aquinas y herramientas virtualizadas. El resultado es la convivencia de ambos espacios de docencia e investigaci´ on donde los punto de interferencia son minimizados a lo estrictamente necesario. IV. CASOS DE USO REALIZADOS Los escenarios realizados tienen la finalidad de mostrar a los estudiantes posibles ataques as´ ı como sus mitigaciones. En los casos de uso planteados, los estudiantes realizan ataques desde las m´ aquinas Kali Linux situadas en el servidor VMWare a equipos PLC, actuando bajo la suposici´ on de que el atacante (el alumno) ha conseguido previamente acceder a la red interna de la planta y, tras realizar un reconocimiento de red, ha logrado identificar la direcci´ on IP de un PLC vulnerable. Estos escenarios han sido preparados para A. M. L´opez G´omez, J. Mohedano, A. Carrasco, J. A. Rodr´ıguez Mondejar, A. Valencia, R. Palacios, G. L´opez, J. Jarauta and R. Gesteira-Mi˜narro 136 Figura 6. Esquema simplificado laboratorio ciberseguridad OT Figura 7. Esquema detallado conectividad laboratorio reproducir situaciones reales de ataques a entornos industriales eliminando la complejidad de los mismos, ya que su prop´ osito es formar a estudiantes sin experiencia en el campo de la ciberseguridad OT. En primer lugar el alumno realizar´ a la acci´ on ofensiva, para posteriormente aplicar las mitigaciones o salvaguardas necesarias. IV-A. Ataque a maquinas Windows 11 Este primer escenario pretende introducir a estudiantes sin experiencia a conceptos clave en ciberseguridad. Los alumnos aprenden acerca de la plataforma de tests de penetraci´ on Metaesploit [10] y la herramienta asociada para la generaci´ on payloads msfvenom. Los estudiantes preparan un archivo malicioso que permita abrir una sesi´ on meterpreter en el objetivo. Este fichero posteriormente es enviado mediante una conexi´ on HTTP (Hyper Text Transfer Protocol) a la m´ aquina v´ ıctima donde el fichero es ejecutado. En las m´ aquinas Kali, se indica a los alumnos que deben arrancar la herramienta multi handler. El resultado debe ser la creaci´ on de una sesi´ on meterpreter estable entre ordenador v´ ıctima y atacante. Este ataque es f´ acilmente eludible mediante concienciaci´ on acerca de los peligros de ejecutar archivos desconocidos, mantener el equipo actualizado y emplear software antivirus. Este sencillo ejemplo es utilizado para concienciar a los alumnos sobre la necesidad de buenas pr´ acticas en ciberseguridad, y como incluso los sistemas operativos m´ as modernos y actualizados son vulnerables si no son utilizados de forma segura. A pesar de la simpleza del escenario en las pr´ acticas de laboratorio realizadas este caso de uso demostr´ o ser muy eficaz a la hora de captar la atenci´ on de los estudiantes y despertar su inter´ es. IV-B. Ataque START/STOP S7-300 Los dispositivos PLC de Siemens utilizan un protocolo propio denominado S7Comm. Este protocolo sigue el enfoque tradicional de cliente-servidor. La comunicaci´ on se basa en peticiones y respuestas que emplean una serie de c´ odigos de funciones conocidos por ambos extremos de la comunicaci´ on. Los c´ odigos de funciones presentan un valor fijo, y en el resto del protocolo no existe ninguna variabilidad, por lo que los paquetes enviados siempre poseen la misma estructura y valores I. Tabla I C´ ODIGOS DE FUNCI´ ON S7COMM [11] Funci´ on C´ odigo Hexadecimal Setup Comunicaci´ on 0xf0 Lectura / Escritura 0x04/0x05 Descarga / Subida 0x1a-1f Control PLC 0x28 Stop PLC 0x29 Un atacante podr´ ıa capturar diferentes paquetes y retransmitirlos al equipo para provocar comportamientos indeseados, un ejemplo de esto es el script escrito por Dillon Beresford [12], que emplea paquetes preparados para arrancar o detener el PLC. Este ataque es efectivo debido a que el protocolo S7Comm no incorpora seguridad por defecto, lo que permite realizar comandos de nivel administrativo sin necesidad de una autenticaci´ on previa [13]. Para solucionar este problema, Siemens ha incluido en versiones m´ as recientes del protocolo mecanismos de autenticaci´ on por contrase˜ na para acciones administrativas. Sin embargo, se ha demostrado que es viable obtener las claves secretas a partir de capturas de tr´ afico o de los propios ficheros de configuraci´ on del PLC. Integraci´on de un laboratorio de ciberseguridad OT en un laboratorio de automatizaci´on industrial 137 Figura 8. Politicas FG-80F Figura 9. Esquema secuestro y suplantaci´ on (primer enfoque) La mitigaci´ on que se ense˜ na en el laboratorio para este ataque consiste en aplicar reglas de NGFW en un nivel superior al equipo industrial. El cortafuegos FG-80F cuenta con la licencia de Fortinet para la protecci´ on de protocolos industriales, que otorga las capacidades de an´ alisis y disecci´ on de los mismos, as´ ı como aplicar reglas de detecci´ on o prevenci´ on logrando evitarse acciones maliciosas. Para evitar una orden STOP PLC maliciosa, se utilizan las reglas mostradas en la Fig. 8. De esta forma, se ofrece una protecci´ on granular sin afectar al entorno de producci´ on. IV-C. Manipulaci´ on de sesi´ on S7-300 Se trata de un ataque de denegaci´ on de servicio que afecta a la sesi´ on de comunicaci´ on. Se puede realizar siguiendo dos enfoques diferentes. Secuestro y suplantaci´ on de la sesi´ on de comunicaci´ on del PLC con un HMI leg´ ıtimo. Establecimiento de una nueva sesi´ on suplantando un supuesto HMI nuevo comunic´ andose con el PLC. La comunicaci´ on se realiza a trav´ es del protocolo S7Comm, que a diferencia de su versi´ on m´ as reciente, S7CommPlus, no utiliza cifrado. Adem´ as de la ausencia de cifrado el ataque aprovecha el hecho de que en la comunicaci´ on no se verifique el checksum, ni a nivel de IP (Internet Protocol) ni a nivel de TCP (Transmission Control Protocol). Para realizar el ataque siguiendo el primer enfoque (Fig. 9), se intercepta un paquete desde el HMI al PLC; ya sea de escritura, porque el operador busque modificar alguna variable del PLC o, de lectura, por el ciclo de lectura ya comentado. El paquete interceptado sirve para obtener el puerto TCP origen usado por el HMI y los n´ umeros de secuencia y de ACK de la comunicaci´ on TCP. Cabe mencionar que en la comunicaci´ on Figura 10. Esquema creaci´ on de nueva sesi´ on (segundo enfoque) entre el PLC y el HMI, existe una variable de ciclo de lectura que sirve al HMI para actualizar los valores que tiene de las variables del PLC. Para el segundo enfoque (Fig. 10), no es necesario esperar a capturar un paquete leg´ ıtimo ya que no se necesitan n´ umeros de secuencia ni puerto del HMI, pues se trata de una nueva sesi´ on y estos valores pueden ser aleatorios. Adicionalmente al primer enfoque, se requiere, en primer lugar, realizar el establecimiento tanto de TCP, mediante el TCP handshake, como de los protocolos de capas superiores, COTP y S7Comm. Independientemente del enfoque, tras estos pasos, se env´ ıan paquetes de escritura en bucle para actualizar una variable del PLC continuamente, de tal forma que este sature y no responda cuando el HMI leg´ ıtimo intente enviarle un paquete. Durante este env´ ıo continuo es necesario actualizar los n´ umeros de secuencia y de ACK de nivel TCP de los paquetes, adem´ as de enviar los correspondientes paquetes de ACK a las respuestas provenientes del PLC. La mitigaci´ on recomendada para este tipo de ataques consiste en aplicar reglas en el NGFW que bloqueen el tr´ afico procedente de fuera de la red del laboratorio con puerto destino el 102, puerto para el protocolo S7Comm, en conjunto con una lista blanca de los dispositivos presentes en el laboratorio. Aun as´ ı, como se ha demostrado en el ataque, es posible la suplantaci´ on de un dispositivo leg´ ıtimo estando dentro de la red del laboratorio. Por ello, adicionalmente, se recomiendan medidas disponibles en el NGFW FG-80F como la limitaci´ on del ancho de banda para restringir el uso excesivo de recursos de red por dispositivos individuales y la propia protecci´ on contra ataques DoS que posee este dispositivo, la cual detecta y bloquea patrones de tr´ afico que indiquen este tipo de ataques. IV-D. Extracci´ on de listas SZL Las listas SZL (del alem´ an System-ZustandsListen) son listas que permiten conocer el estado actual del equipo de solo lectura. Estas listas y la informaci´ on que contienen se pueden obtener sin necesidad de una autenticaci´ on previa, pudiendo ser utilizadas por un potencial adversario para labores de reconocimiento previas a un ataque. Un ejemplo sencillo ser´ ıa obtener el n´ umero de equipo, como se muestra en la Fig. 11. Una r´ apida b´ usqueda en Internet devolver´ a el equipo PLC en cuesti´ on. Se puede conseguir otra informaci´ on de igual o incluso mayor criticidad. La contramedida ense˜ nada para detener esta acci´ on es muy similar a la descrita anteriormente, aplicar reglas en el NGFW bloqueando el tr´ afico S7Comm procedente de fuera del exterior de la red en junto con una lista blanca de los dispositivos permitidos. A. M. L´opez G´omez, J. Mohedano, A. Carrasco, J. A. Rodr´ıguez Mondejar, A. Valencia, R. Palacios, G. L´opez, J. Jarauta and R. Gesteira-Mi˜narro 138 Figura 11. Extracci´ on identificador del equipo IV-E. Ataque DoS S7-1500 Este ataque de denegaci´ on de servicio aprovecha una vulnerabilidad [14] en el monitor de recursos usado en los equipos PLCs de la familia S7-1500. A trav´ es del env´ ıo continuado de paquetes UDP maliciosos el atacante provoca el uso de un gran n´ umero de recursos que puede llevar al agotamiento de los mismos, provocando la ralentizaci´ on e incluso la detenci´ on de actividades leg´ ıtimas. Este ataque puede ser realizado sin necesidad de una autenticaci´ on previa. De nuevo la mitigaci´ on para evitar este ataque consiste en el uso de reglas en el NGFW respecto a la cantidad y el tipo de tr´ afico generado. En un futuro con la instalaci´ on de herramientas como FortiSIEM se espera expandir este escenario, permitiendo al alumnado monitorizar y actuar en tiempo real. IV-F. Acceso con OPC UA En esta pr´ actica se familiariza al alumno con el uso de OPC UA a trav´ es de un ejemplo de automatizaci´ on. La l´ ogica de la automatizaci´ on consiste en abrir y cerrar el caj´ on continuamente durante el tiempo programado, para comprobar que no hay fallo de las gu´ ıas en las que se apoya el caj´ on. La automatizaci´ on ha sido realizada programando el PLC del laboratorio utilizando el lenguaje GRAFCET (GRAPH en el argot de Siemens). Adem´ as, se ha configurado el panel del laboratorio para controlar y supervisar de manera simplificada la operaci´ on del test de gu´ ıas de caj´ on. Tambi´ en es objetivo de la pr´ actica familiarizar al alumno con el uso del lenguaje o metodolog´ ıa GRAFCET. Desde el punto de vista de formaci´ on en ciberseguridad OT, la conexi´ on descrita en el p´ arrafo anterior es insegura. Como contramedida, se emplean certificados digitales para cifrar la comunicaci´ on y forzar la autenticaci´ on entre cliente y servidor. La pr´ actica muestra la complejidad que puede suponer la instalaci´ on y el mantenimiento de la ciberseguridad en el mundo OT. V. SIGUIENTES PASOS En un futuro cercano, se espera ampliar aun m´ as los casos de uso y capacidades del laboratorio para ofrecer una experiencia de aprendizaje m´ as enriquecida y diversa. Actualmente se est´ a trabajando en lo siguiente. Instalaci´ on de m´ as aplicaciones de ciberseguridad de Fortinet, prefiri´ endose en formato virtualizado como el ya probado en [6], mejorando la implementaci´ on del modelo Purdue y aumentando la formaci´ on dada en el manejo de sistemas de monitorizaci´ on, detecci´ on y prevenci´ on de intrusos. Investigaci´ on en otros posibles ataques y mitigaciones en equipos de la familia S7-1500. Utilizar equipos m´ as actuales y con mejores medidas de seguridad aumentar´ a el realismo de los escenarios realizados y mejorar´ a la preparaci´ on dada a los alumnos. Dise˜ no de un acceso remoto seguro a los recursos del laboratorio, simulando lo ya conseguido en muchos entornos industriales. Despliegue de soluciones de dominios virtuales (VDOM) [15] para accesos individualizados desde cada una de las estaciones de trabajo. En las pr´ acticas realizadas con el alumnado, se generaba confusi´ on al tener a varios estudiantes manipulando las mismas reglas dentro de un mismo equipo. Desarrollo de pr´ acticas de ataque al nivel de sensores (nivel 0 del modelo de Purdue), tanto a nivel de Wi-Fi interna como a nivel de conexiones IoT externas. Llegar a formar parte de la red de laboratorios de ciberseguridad industrial del INCIBE (Instituto Nacional de Ciberseguridad). VI. CONCLUSIONES El laboratorio de ciberseguridad OT de la Universidad Pontificia Comillas, ha permitido a varias promociones de estudiantes de diferentes titulaciones un aprendizaje pr´ actico m´ as all´ a de los conceptos te´ oricos. En este art´ ıculo se ha descrito el nacimiento de este laboratorio a partir de un laboratorio de automatizaci´ on industrial preexistente. Se han explicado los retos de despliegue, destacando la necesidad de garantizar la coexistencia sin interferencias entre ambos y la segmentaci´ on de ambas redes minimizando los puntos de conexi´ on (Fig. 4) y 7) teniendo en cuenta las limitaciones debido a la necesidad de mantener conexiones que desde un punto de vista de Purdue son inseguras (conexiones marcadas en la Fig. 6 con un s´ ımbolo de peligro). Posterior al despliegue se han comentado los escenarios realizados. A destacar se encuentran los escenarios que tratan directamente con hardware, en concreto los equipos PLC S7- 300 5, utilizado para los escenarios de START/STOP IV-B y manipulaci´ on de sesi´ on IV-C, y S7-1500 3, empleado los escenarios de lectura de listas SZL IV-D y ataque de denegaci´ on de servicio IV-E. Respecto al futuro de este laboratorio, aparte de las mejoras t´ ecnicas comentadas como el despliegue de soluciones VDOM o la instalaci´ on de m´ as herramientas de Fortinet, uno de los objetivos m´ as relevantes es lograr formar parte de la red de laboratorios de ciberseguridad industrial del INCIBE. Con la creciente preocupaci´ on por la ciberseguridad en industriales es evidente que en un futuro no tan lejano ser´ an necesarios m´ as profesionales especializados en ciberseguridad OT y responsables familiarizados y concienciados con ella. Desde el equipo responsable del laboratorio, se tiene la convicci´ on de que estas pr´ acticas ayudan a los estudiantes a entender la necesidad de asegurar los sectores industriales y de infraestructuras cr´ ıticas y permiten formar profesionales con experiencia en equipos y escenarios realistas. Mediante innovaciones educativas, como este laboratorio de ciberseguridad industrial, se espera contribuir a reducir la brecha entre los mundos de la ciberseguridad IT y OT y lograr entornos industriales donde la ciberseguridad se convierta en un pilar fundamental. Integraci´on de un laboratorio de ciberseguridad OT en un laboratorio de automatizaci´on industrial 139 REFERENCIAS [1] Fortinet: ”2023 State of Operational Technology and Cybersecurity Report”. Accedido: Mayo 4, 2024. [2] CIDAUT: ”Proyecto ARISTEO”. Accedido: Mayo 2, 2024. [3] Ziur: ”Ziur”. Accedido: Mayo 2, 2024. [4] INCIBE-CERT: ”Red Nacional de Laboratorios de Ciberseguridad Industrial”. Accedido: Marzo 22, 2024. [5] Wikipedia: ”Programmable logic controller”. Accedido: Marzo 17, 2024. [6] Jos´ e Rafael Mart´ ın Torre, Agust´ ın Valencia Gil-Ortega: ”Despliegue de arquitecturas e implementaci´ on de medidas de ciberseguridad.”Trabajo Fin de Master en Madrid, Espa˜ na:Universidad Pontificia Comillas, Junio 2023. [7] Dean Parsons: ”2023’s Challenges and Tomorrow’s Defenses”, en SANS ICS/OT Cybersecurity Survey, Septiembre 2023. [8] Cisco: ”Enabling a Converged Plantwide Ethernet (CPwE) network”. Accedido: Marzo 17, 2024. [9] Cloudfare: ”Modelo OSI”. Accedido: Mayo 2, 2024. [10] Metaesploit Framework. Accedido: Marzo 21, 2024. [11] gmiru: ”The Siemens S7 Communication”. Accedido: Marzo 19, 2024. [12] exploit-db: ”Siemens Simatic S7-300/400 - CPU START/STOP Module (Metasploit)”. Accedido: Marzo 18, 2024. [13] P. Ackerman: ¨ Industrial Cybersecurity: Efficiently Secure Critical Infrastructure Systems..en Birmingham, Reino Unido: Packt Publishing, 2017. [14] NIST: ”CVE-2019-19281”. Accedido: Marzo 18, 2024. [15] Fortinet: VDOM. Accedido: Mayo 2, 2024. A. M. L´opez G´omez, J. Mohedano, A. Carrasco, J. A. Rodr´ıguez Mondejar, A. Valencia, R. Palacios, G. L´opez, J. Jarauta and R. Gesteira-Mi˜narro 140