La visibilidad de la IA y la cadena de suministro es clave para mitigar las amenazas a la seguridad de OT

May 30, 2024

ipopba - stock.adobe.com

Los incesantes ataques cibernéticos contra infraestructuras de información críticas (ICI), como servicios públicos, transporte y manufactura, no muestran signos de disminuir. Los actores de amenazas y los adversarios han descubierto que la tecnología operativa (OT) que sustenta estos recursos críticos es vulnerable a las amenazas cibernéticas.

También han descubierto que un ataque exitoso puede ser devastador para los ciudadanos de un país y causar incertidumbre política y económica. El ataque de ransomware al Colonial Pipeline en 2021 provocó la cancelación de vuelos y la imposibilidad de que millones de estadounidenses compraran combustible para sus automóviles. El ataque contra la red eléctrica ucraniana en 2016 también dejó sin electricidad a 700.000 personas en pleno invierno.

Singapur no es inmune a estas amenazas. Como país que depende de tecnologías altamente conectadas para mantener sus capacidades de agua, energía, transporte, petroquímica y fabricación, combinado con el cambiante panorama de amenazas cibernéticas transfronterizas, Singapur es visto como un objetivo potencial. La motivación de los atacantes puede ser política, como fue el caso de los ataques a la red eléctrica de Ucrania, o puramente financiera, como fue el ataque al Colonial Pipeline, pero el impacto puede ser devastador si Singapur no está preparado.

La formación del Panel de Expertos en Ciberseguridad de Tecnología Operativa (OTCEP) por parte del gobierno de Singapur es un importante paso adelante. Al aprovechar la experiencia combinada de expertos de la industria de todo el mundo, Singapur ha desarrollado políticas y procedimientos de clase mundial y ha compartido esa experiencia con las partes interesadas responsables de sus sistemas críticos.

El ataque de 2020 a SolarWinds ha puesto de relieve las vulnerabilidades en la cadena de suministro de software que podrían ser explotadas por actores de amenazas. Reveló lo atractivo que resulta para los actores de amenazas atacar a un proveedor confiable para obtener acceso a sus objetivos previstos (en este caso, múltiples agencias gubernamentales y militares de EE. UU.).

En total, los atacantes obtuvieron acceso a más de 18.000 sistemas corporativos y gubernamentales en importantes empresas de telecomunicaciones, compañías eléctricas y la mayoría de las empresas Fortune 500 de EE. UU. Afortunadamente, los atacantes solo optaron por explotar una pequeña fracción de estas cabezas de playa; las estimaciones de la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) dicen que menos de 100, pero aun así fue un día de trabajo ordenado después de comprometer a una sola empresa de software.

Desde este incidente de alto perfil, los ataques a la cadena de suministro de software han aumentado a un ritmo alarmante del 742%, según Sonatype. Los gobiernos de Estados Unidos y Europa han reconocido la urgencia de esta amenaza y han emitido rápidamente nuevas leyes y directivas. Espero que otras regiones sigan su ejemplo. Ningún país es inmune porque las cadenas de suministro de software cruzan fronteras y, por tanto, la cooperación es clave.

Me han preguntado qué me preocupa más, el ransomware o los ataques a la cadena de suministro. Normalmente respondo “el combo” porque no son mutuamente excluyentes. El ransomware es la carga útil; la cadena de suministro es el vector de ataque. Los atacantes están empezando a “mezclar y combinar” sus estrategias, como vimos en el ataque a Kaseya de 2021.

Kaseya, que fabrica software utilizado por muchos proveedores de servicios de seguridad gestionados, fue el vehículo involuntario para distribuir ransomware a más de 800 pequeñas y medianas empresas (PYMES). Afortunadamente, la mayoría de las PYMES no operan sistemas OT, pero la efectividad de un ataque híbrido ciertamente no pasó desapercibida para los actores de amenazas y adversarios de Singapur.

Garantizar la seguridad de la cadena de suministro de software es ahora un aspecto crítico de la estrategia comercial general, especialmente para las empresas de los sectores ICI. La transparencia en toda la cadena de suministro de software y el conocimiento de todo el software integrado de terceros pueden ayudar a salvar vidas y proteger los procesos y equipos críticos de los que depende la sociedad.

Con el surgimiento de tecnologías disruptivas, es crucial que los operadores y proveedores de sistemas OT estén preparados para innovar.

Consideremos el papel de la inteligencia artificial (IA) en la ciberseguridad: ¿será un héroe o un villano? Los investigadores han demostrado cómo los actores de amenazas pueden aprovechar los sistemas generativos de inteligencia artificial como ChatGPT para envenenar la cadena de suministro de software. Si bien los desarrolladores pueden recurrir a la IA para recomendar paquetes de software en repositorios comunes, las sugerencias que reciben a menudo contienen "alucinaciones": paquetes que suenan realistas y que en realidad no existen. Todo lo que un adversario necesita hacer es crear un paquete malicioso, ponerle el nombre de la alucinación y esperar a que los desarrolladores desprevenidos lo incluyan en el software que crean.

El hecho de que los actores de amenazas estén aprovechando la IA es una razón más para adoptar nuevas tecnologías para contrarrestar sus estrategias y prevenir, en lugar de reaccionar, los ataques. La IA ofrece potentes capacidades analíticas para realizar tareas que, de otro modo, requerirían que enormes equipos de ciberseguridad dedicaran grandes cantidades de tiempo a tareas más adecuadas para una máquina.

Por ejemplo, el único enfoque factible para realizar un seguimiento continuo y en tiempo real de las vulnerabilidades en los muchos millones de productos y vulnerabilidades anunciados cada año es utilizar el aprendizaje automático y el procesamiento del lenguaje natural. Simplemente no es un trabajo para los seres humanos, que pueden añadir mucho más valor en otros lugares.

De cara al futuro, se espera ver más iniciativas regulatorias y un creciente apetito en el sector privado por el mismo nivel de transparencia que los gobiernos ahora exigen. La lista de materiales de software (SBOM) como forma de certificación de software es ahora una expectativa generalizada, y las herramientas que generan y gestionan SBOM se están generalizando. Una mayor visibilidad de la seguridad de la cadena de suministro de software se convertirá en un objetivo a nivel de junta directiva a medida que las empresas busquen cuantificar y limitar el riesgo.

El ritmo al que avanza la tecnología de IA generativa y las deficientes defensas que vemos actualmente en la mayoría de las cadenas de suministro de software exigen atención global. El foro OTCEP ofrece una oportunidad ideal para que los profesionales de la seguridad cibernética de OT de todo el mundo compartan sus experiencias y aprendan las mejores prácticas para mejorar la resiliencia cibernética de OT de Singapur.

Eric Byres es miembro del Panel de Expertos en Ciberseguridad de Tecnología Operacional de la Agencia de Seguridad Cibernética de Singapur, compuesto por expertos en seguridad cibernética de todo el mundo. También es director de tecnología de aDolus Technology, una empresa de investigación y desarrollo de seguridad cibernética que se centra en mejorar la seguridad cibernética de la cadena de suministro de software para OT.