seguritecnia 411

SEGURITECNIA Septiembre 2014 89 Artículo Técnico dría resultar en una interrupción del servicio prestado. Las actividades principales del pro- yecto son: a) Diseño de una metodología de pruebas que recoja todos los pasos necesarios para llevar a cabo una evaluación remota de seguridad sobre entornos industriales. b) Implementación de un laborato- rio que proporcione la arquitectura necesaria para lanzar pruebas de seguridad y genere informes con los resultados obtenidos de forma automática. c) Implementación de un banco de pruebas ( test bed ) que albergue un sistema de control industrial ob- jeto de evaluación, tipo SCADA, in- cluyendo aplicaciones de control, automatización y supervisión, así como, dispositivos de campo, PLC, etc. d) Desarrollo de un asistente que per- mita guiar al operador de la infraes- tructura crítica a lo largo de todo el proceso de evaluación. Esta iniciativa va más allá del mero análisis de funcionalidades de las solu- ciones de seguridad específicas de las tecnologías industriales, ya que per- mite probarlas en un modelo realista análogo a un entorno en producción. Esto permite conocer las limitaciones de un producto antes de considerarlo como una posible solución, o garan- tizar que proporciona determinadas funcionalidades de seguridad. El diseño del SCADA LAB se divide técnicamente en dos áreas: el labora- torio ( Laboratory Area ) y el banco de pruebas ( Test Bed Area ). El área de la- boratorio gestiona la planificación de las pruebas y el banco de pruebas es el entorno que se evalúa y el contexto donde se llevan a cabo las pruebas. Además, en la implementación de la arquitectura se utiliza un agente, de manera que las pruebas de segu- ridad se puedan lanzar sobre los ban- cos de pruebas tanto en un entorno local como remoto, a través de redes tuneladas. Tres niveles Por otro lado, el área del banco de prue- bas se ha diseñado con el objetivo de buscar una fiel aproximación a los en- tornos reales que serán el objetivo de la evaluación. Por este motivo, el banco de pruebas incluye los tres niveles que conforman la arquitectura básica de un sistema de control industrial, desde las entidades de más alto nivel en la jerar- quía SCADA, hasta los elementos más básicos en la zona de camp): a) Nivel de Campo y Control : Este pri- mer nivel contiene, por un lado, los dispositivos que gestionan los senso- res y actuadores finales, tales como PLC, IED o RTU. Estos dispositivos permiten a los sensores y actuado- res operar juntos para llevar a cabo el proceso de fabricación definido. Por otro lado, contiene los sensores (ele- mentos de medición) y actuadores (elementos de acción) finales. b) Nivel de Comunicación : El segundo nivel se refiere a la interfaz de co- municación entre los dispositivos de campo y control y el nivel de su- pervisión. c) Nivel de Supervisión : Este último ni- vel abarca todos los elementos que permiten el control y la monitori- zación de los dispositivos del nivel de campo y control. Este nivel in- cluy: servidores SCADA, estaciones de trabajo de monitorización, servi- dores OPC, servidores de datos, etc. De esta manera, el laboratorio per- mite a proveedores de soluciones de seguridad y a fabricantes de sis- temas de control, automatización y supervisión industrial, validar con- juntamente la correcta integración e interoperabilidad de las solucio- nes de seguridad TIC con aplicativos y soluciones concretas de informá- tica industrial. Por último, destacar que la utilización de esta arquitectura permite disponer de un modelo realista de trabajo, y la garantía de que no habrá daños cola- terales sobre la infraestructura original. Del mismo modo, se facilita el correcto proceso de una evaluación de seguri- dad, ya que se reducen los elementos de riesgo propios de una infraestruc- tura original pudiendo probar de forma empírica y en tiempo real las distintas configuraciones para obtener diferentes valoraciones de seguridad. S Esta iniciativa permite probar las soluciones de seguridad específicas en un modelo realista análogo a un entorno en producción