El parque de sensores IoT de la figura anterior está compuesto por 2 plantas o redes de campo con sensores (denominados S en la figura) que se corresponden con puntos de iluminación inteligentes controlados remotamente desde un sistema de gestión (Servidor IoT en la figura) al que se accede a través de una aplicación Web que permite administrar y operar remotamente uno o varios parques. El Centro de Control, muchas veces ubicado en la nube, consta de varios nodos y bases de datos (BBDD en la figura) que almacenan toda la información del sistema. El Servidor IoT se encarga a su vez de la comunicación con los nodos IoT empleando para ello los protocolos de aplicación habituales en IoT (MQTT o CoAP). La operación del sistema es realizada desde Internet por la entidad gestora de los parques e incluye la gestión de los nodos IoT (p.ej., suministro de consignas o puntos de funcionamiento), y se realiza a través de un navegador Web que utiliza un protocolo seguro (https con TLS 1.2 o superior. Las redes de acceso que usan los nodos IoT pueden ser del ámbito privado (p.ej. Lora, Sigfox, redes NBWLAN con una pasarela a Internet /un operador) o subcontratadas a un operador de red (GPRS o 3G), y se comunican con el centro de control mediante una red privada virtual (VPN) ofrecida habitualmente por el operador de red.

De forma general, podemos distinguir una serie de características propias de este tipo de instalaciones:

– Escaso caudal en el enlace de datos de acceso a los nodos IoT: cobertura 2,5G en muchos casos, e incluso caudales de datos inferiores (p.ej., SigFox, Lora)

– Operación remota de la instalación: el Centro de Control está protegido con una VPN suministrada por el operador de red, pero el acceso al servidor IoT se suele ofrece mediante Internet con usuario y contraseña (a fin de no resultar incómodo al operador o gestor de los parques) contra una aplicación https.

– Uso de aplicaciones y protocolos IoT que suelen implementarse con un nivel bajo de seguridad (sin cifrado de comunicaciones).

– Resulta peculiar la posibilidad de obtener un mismo patrón del comportamiento entre 2 plantas de iluminación inteligente similares y geográficamente cercanas, algunas variables de la aplicación (por ejemplo, potencia instantánea consumida) deberían tener un comportamiento síncrono.

En este tipo de escenarios, propios de la Industria Conectada (Industria 4.0), además de las ciberamenazas habituales de una red IT (p.ej., control de acceso físico, control de usuarios/permisos, políticas de autenticación -contraseñas-, etc.), podemos destacar las siguientes ciberamenazas particulares del escenario mostrado en la figura:

– Suplantación de sesión web o de identidad del operador de planta.

– Ataque al servidor/aplicación Web de la aplicación de gestión o al servidor VPN para operar la infraestructura IoT.

– Ataques de difícil detección por equipos de detección de intrusiones convencionales (IDS, Intrusion Detection Systems -podría ser un firewall de nivel de aplicación-). Este tipo de ataques serían los conocidos como: 0-day y APT (Advanced Persistent Threat) para el control de sistemas y robo de información sensible.

– Ataques a los dispositivos e infraestructura IoT en la red de campo.

Las consecuencias de un ciberataque en una planta industrial, además del perjuicio económico para la empresa (p.ej., coste de reposición, pérdida de producción o reputación), pueden conllevar riesgos para las personas (pensemos, por ejemplo, en que se apagaran todas las luces de la ciudad, y los sistemas de control de peatones a las 22:00).

Debido a las peculiaridades mencionadas, las posibles soluciones comerciales para la detección temprana de ciberataques en plantas industriales/IoT gestionadas remotamente tienen características diferenciales respecto a los sistemas de ciberseguridad convencionales (orientados a IT -Information Technology-) y deberían cumplir los siguientes requisitos:

• REQ1: No afectar al normal funcionamiento de los equipos instalados en la planta. Esto implica: utilizar sólo herramientas de seguridad pasivas (que no inyecten tráfico) y un consumo mínimo del ancho de banda de red disponible en la instalación.

• REQ2: No afectar de forma significativa al coste de la instalación. Para ello, además del precio asociado a la adquisición y puesta en marcha del sistema de ciberseguridad, la solución debe tener un bajo consumo de recursos computacionales, de almacenamiento, y de red, pudiendo idealmente integrarse en equipos existentes en planta como una máquina virtual.

• REQ3: Capacidad de detección amplia. La solución debe cubrir la detección de eventos significativos de seguridad ligados a las amenazas descritas anteriormente, tanto existentes como 0-day, así como también permitir el cumplimiento de la normativa y políticas aplicables en cada caso.

Actualmente existen multitud de soluciones comerciales de ciberseguridad aplicables en distintos campos, como la seguridad web, seguridad en redes e infraestructuras, seguridad en IoT, seguridad en dispositivos finales, seguridad en la nube, etc….(ver informe de Cyberscape 2019 , que clasifica a los 133 mayores fabricantes y consultoras de productos de ciberseguridad en 18 campos distintos). Dentro de los campos de seguridad en red e infraestructuras, y seguridad en (IoT), podemos encontrar unas 30 empresas que ofrecen soluciones, la mayoría de las cuales están orientadas al cifrado de las comunicaciones y a la detección de ataques conocidos en protocolos industriales (p.ej., ModBus, IEC104, CoaP, MQTT,…). Sin embargo, las soluciones existentes (además de afectar significativamente al coste de la instalación) exigen para su configuración, puesta a punto y operación, un alto grado de especialización que implica la dedicación de grandes recursos (normalmente no disponibles). Además, la integración del sistema de ciberseguridad en los Centros de Operaciones existentes suele se compleja para los operarios, habituados exclusivamente a la operación del parque IoT. Por otro lado, muchas de las soluciones comerciales existentes inyectan tráfico en la red (bien para el escaneo de vulnerabilidades, consultas de patrones y/o actualizaciones con sus servidores). Por último cabe señalar que la capacidad de detección de estos dispositivos está mayormente basada en firmas o patrones, por lo que los ataques de mayor complejidad en detección como los 0-days o los APT, muy empleados en entornos industriales para el robo de información sensible, suelen pasar desapercibidos para estos sistemas estándar. Ello explica que mercado está actualmente tendiendo a soluciones de EPS (End Point Security), basadas en el análisis del comportamiento del usuario (PUB -Per User Behaviour-, uso del ratón, interrupciones de en el acceso a disco, programas ejecutados, etc.), que no son de aplicación directa en este proyecto, pues suelen modelar el comportamiento sobre los recursos de un PC en el contexto IT. Todo esto nos lleva a la conclusión de que no existen productos en el mercado que satisfagan los requisitos identificados anteriormente para plantas industriales conectadas y de IoT gestionadas remotamente, lo que supone un reto y, a la vez, una oportunidad que pretende ser aprovechada en este proyecto.

En la literatura científica, los artículos dedicados a detección de ataques o amenazas en entornos ICS e IoT basados en sensorización, proponen en general métodos no invasivos. En [Kauok] podemos encontrar una reciente revisión de los principales trabajos de detección de ataques en ICS, señalando además las oportunidades de investigación y retos existentes, entre los que destacan el uso de técnicas de detección por anomalías sobre comportamientos periódicos de las distintas aplicaciones que implementan los sistemas SCADA. En [Yang2] podemos también encontrar una revisión del estado de la investigación y retos específicos de IoT, donde se señala hacia la detección de anomalías de comportamiento como uno de los campos más prometedores. Sin embargo, la detección de anomalías en ICS (o en IoT) presenta dos facetas conceptualmente diferenciadas: la relativa a la propia supervisión del proceso industrial monitorizado y/o de las variables de control, y la relativa a la ciberseguridad en el tráfico de red. La primera, se ha venido abordando desde el punto de vista de la detección de fallos o la supervisión de los procesos aplicando técnicas de análisis de series temporales [Sridhar]. No obstante, el nuevo escenario de IoT aumenta los riesgos, apareciendo nuevas tipologías de ataques [Zhu] como la inyección de datos falsos, la generación de comandos fraudulentos, y la suplantación de identidad en el servidor Web. Por tanto, se requieren técnicas orientadas al análisis de los datos de la aplicación IoT correspondiente, pudiéndose para ello utilizar aproximaciones clásicas como el modelado bayesiano junto con EWMA [Kallistis], técnicas de regresión [Sandor], u otras del campo de la Inteligencia Artificial [Beaver]. La característica distintiva de nuestro escenario de trabajo, multiplanta, permite cotejar el comportamiento de la aplicación IoT en diversas plantas similares y buscar correlaciones espacio-temporales que permitan identificar anomalías como evidencias de posibles ciberataques.

Esto nos lleva a la necesidad de enfrentar el reto de diseñar una nueva solución para la detección de ciberataques en entornos IoT que cumpla los requisitos anteriores e integre en un sistema único las capacidades de detección basadas en patrones de ataques conocidos y aquellos identificados como anomalías en la operación de una planta o de varias plantas.

El agente agregado es WellnessTechGroup, empresa tecnológica con sede en Andalucía, con la que el presente grupo de investigación ha compartido ya varios proyectos de investigación de ámbito regional en ciberseguridad apoyados por la CTA como SIVA (PI-1669/22/2017) o CorrelaSeg (PI-1453/2015). Los resultados de dichos proyectos han sido en su mayoría transformados en productos o servicios de su actual catálogo. Cabe resaltar que esta empresa Andaluza participa como agente agregado en el Ecosistema Innovador de Andalucía Tech y que tuvo una facturación superior a los 20 millones de Euros el pasado año.

Wellness TecgGroup tiene un marcado carácter Internacional con múltiples proyectos de IoT, SmartSensors y ciberseguridad desarrollados en más de 60 países, por lo que el objetivo de la colaboración es doble: (a) proveer al proyecto un escenario IoT real (por ejemplo, gracias a su gama de productos de iluminación inteligente) lo que permite validar el piloto desarrollado en condiciones cercanas a la realidad, y (b) facilitar la explotación industrial y transferencia de los resultados. La empresa se compromete a definir el contexto de la aplicación, y proporcionar tráfico con características reales a emplear en el proyecto. Así mismo la empresa se compromete a colaborar en la toma de requisitos del sistema (su experiencia permitirá diseñar un sistema que pueda integrarse en una planta real) así como en la elaboración del plan de pruebas. Finalmente, la empresa se compromete a dar visibilidad al proyecto y sus resultados en su página web y redes sociales. El grupo de investigación, a su vez, se compromete a firmar un acuerdo de explotación gratuita de las patentes derivadas del proyecto, que podrán ser empleadas por la empresa para el desarrollo de un producto comercial incorporado a su catálogo.