Estudio y desarrollo de un enfoque de pentesting para sistemas de control industrial (ICS)

Abstract

Los Sistemas de Control Industrial forman parte de las infraestructuras críticas de un país, las cuáles rigen y sostienen el funcionamiento del mismo: agua, sanidad, industria farmacéutica, energía... son algunos ejemplos. Estas infraestructuras críticas necesitan de un control de mandos, y es ahí cuando entran en juego los Sistemas de Control Industrial (ICS), que permiten administrar y regular el comportamiento de los Sistemas Industriales que las conforman. Estos Sistemas Industriales son el objetivo de ataques cibernéticos continuos, como ha sido el caso de Ucrania en 2015 que afectó a 225.000 usuarios de la red eléctrica; o el tan conocido mediáticamente caso de Stuxnet, bautizado como el primer arma de ciberguerra que afectó a la planta nuclear de Natanz en Irán. Las consecuencias sobre este tipo de sistemas pueden ser desde pérdidas económicas desmesuradas hasta lo que es peor: poner en riesgo la vida de los ciudadanos de un país. Por este motivo, resulta de vital importancia someter a auditorías de seguridad a los Sistemas de Control Industrial. Con este Trabajo de Fin de Máster se pretende realizar un estudio y elaborar una metodología o enfoque que sirva para realizar auditorías de seguridad o tests de penetración (pentest) sobre este tipo de sistemas. A su vez, se pondrá en práctica el enfoque desarrollado mediante la realización de una PoC (Proof of Concept) sobre el honeypot de baja interacción Conpot.

Industrial Control Systems are part of the critical infrastructures of a country, which govern and sustain the proper operation of it: wáter, sanitation, pharmaceutical industry, energy... are some examples. These critical infrastructures need a main controller, and that is when the Industrial Control Systems (ICS) come into play: they allow to manage and regulate the behaviour of the Industrial Systems that define them. These Industrial Systems are the target of continuous cyber attacks, as has been the case in Ukraine in 2015 that affected 225,000 users of the power grid; or the well-known media case of Stuxnet, also known as the first cyberwar weapon that targeted the Natanz's nuclear plant in Iran. The consequences on this type of systems can range from excessive economic losses to what is worse: they can put the lifes of the citizens of a country at risk. For this reason, it is vitally important to perform security audits on Industrial Control Systems. The objective of this Master's Thesis is to conduct a study and develop a methodology to perform security audits or penetration tests (pentest) on this type of systems. At the same time, the approach developed through the implementation of a PoC (Proof of Concept) on the low interaction honeypot Conpot will be put into practice.

Els Sistemes de Control Industrial formen part de les infraestructures crítiques d'un país, les quals regeixen i sostenen el funcionament del mateix: aigua, sanitat, indústria farmacèutica, energia ... són alguns exemples. Aquestes infraestructures crítiques necessiten d'un control de comandaments, i és aquí quan entren en joc els Sistemes de Control Industrial (ICS), que permeten administrar i regular el comportament dels Sistemes Industrials que les conformen. Aquests Sistemes Industrials són l'objectiu d'atacs cibernètics continus, com ha estat el cas d'Ucraïna el 2015 que va afectar a 225.000 usuaris de la xarxa elèctrica; o el tan conegut mediàticament cas de Stuxnet, batejat com el primer arma de ciberguerra que va afectar la planta nuclear de Natanz a l'Iran. Les conseqüències sobre aquest tipus de sistemes poden ser des pèrdues econòmiques desmesurades fins el que és pitjor: posar en risc la vida dels ciutadans d'un país. Per aquest motiu, és de vital importància sotmetre a auditories de seguretat als Sistemes de Control Industrial. Amb aquest Treball de Fi de Màster es pretén realitzar un estudi i elaborar una metodologia o enfocament que serveixi per a realitzar auditories de seguretat o tests de penetració (Pentest) sobre aquest tipus de sistemes. Al seu torn, es posarà en pràctica l'enfocament desenvolupat mitjançant la realització d'una PoC (Proof of Concept) sobre el honeypot de baixa interacció Conpot.