¿Qué es el modelo de Purdue para la seguridad de los ICS?

¿Cuál es el propósito del modelo Purdue?

El modelo de Purdue, parte de la Arquitectura de Referencia Empresarial de Purdue (PERA), fue diseñado como un modelo de referencia para los flujos de datos en la fabricación digital integrada (CIM), donde los procesos de una planta están completamente automatizados. Llegó a definir el estándar para construir una arquitectura de red ICS de manera que soporte la seguridad OT, separando las capas de la red para mantener un flujo jerárquico de datos entre ellas.

El modelo muestra cómo se interconectan los elementos típicos de una arquitectura ICS, dividiéndolos en seis zonas que contienen sistemas de tecnología de la información (TI) y OT. Implementado correctamente, ayuda a establecer un aislamiento entre ICS/OT y sistemas de TI, aislándolos para que una organización pueda aplicar controles de acceso efectivos sin obstaculizar la actividad empresarial.

Zonas del modelo de Purdue

Los sistemas OT ocupan los niveles inferiores del modelo, mientras que los sistemas TI ocupan los niveles superiores, con una “zona desmilitarizada” de convergencia entre ellos.

Echemos un vistazo a cada una de las zonas del modelo de referencia de Purdue, de arriba a abajo.

Figura 1:Una representación básica del modelo de Purdue

Nivel 4/5: Zona empresarial

Estas zonas albergan la red de TI típica, donde se desarrollan las principales funciones comerciales, incluida la orquestación de las operaciones de fabricación. Los sistemas de planificación de recursos empresariales (ERP) impulsan aquí los cronogramas de producción de la planta, el uso de materiales, los envíos y los niveles de inventario.

Las interrupciones en este caso pueden provocar tiempos de inactividad prolongados, con el potencial de causar daños económicos, fallos de infraestructura crítica o pérdida de ingresos.

Nivel 3.5: Zona Desmilitarizada (DMZ)

Esta zona incluye sistemas de seguridad como cortafuegos y servidores proxy, utilizados en un esfuerzo por prevenir el movimiento lateral de amenazas entre TI y OT. El auge de la automatización ha incrementado la necesidad de flujos de datos bidireccionales entre los sistemas OT y TI, por lo que esta capa de convergencia TI-OT puede brindar a las organizaciones una ventaja competitiva, pero también puede aumentar su riesgo cibernético si adoptan un enfoque de red plana.

Nivel 3: Zona de sistemas de operaciones de fabricación

Esta zona contiene dispositivos OT personalizados que gestionan los flujos de trabajo de producción en el taller:

• Los sistemas de gestión de operaciones de fabricación (MOM) gestionan las operaciones de producción.
• Los sistemas de ejecución de fabricación (MES) recopilan datos en tiempo real para ayudar a optimizar la producción.
• Los historiadores de datos almacenan datos de procesos y (en soluciones modernas) realizan análisis contextuales.

Al igual que en los niveles 4 y 5, las interrupciones aquí pueden provocar daños económicos, fallos de infraestructura crítica, riesgos para las personas y la seguridad de la planta, o pérdida de ingresos.

Nivel 2: Zona de sistemas de control

Esta zona contiene sistemas que supervisan, analizan y controlan los procesos físicos:

• El software de control de supervisión y adquisición de datos (SCADA) supervisa y controla los procesos físicos, de forma local o remota, y agrega datos para enviarlos a los historiadores.
• Los sistemas de control distribuido (DCS) realizan funciones SCADA, pero generalmente se implementan localmente.
• Las interfaces hombre-máquina (HMI) se conectan a DCS y PLC para permitir controles y supervisión básicos.

Nivel 1: Zona de dispositivos inteligentes

Esta zona contiene instrumentos que envían comandos a los dispositivos de nivel 0:

• Los controladores lógicos programables (PLC) supervisan la entrada humana o automatizada en los procesos industriales y realizan los ajustes de salida en consecuencia.
• Las unidades terminales remotas (RTU) conectan hardware en el Nivel 0 a sistemas en el Nivel 2.

Nivel 0: Zona de proceso físico

Esta zona contiene sensores, actuadores y otros dispositivos directamente responsables del ensamblaje, la lubricación y otros procesos físicos. Muchos sensores modernos se comunican directamente con el software de supervisión en la nube a través de redes móviles.

La figura 2 muestra el flujo de trabajo y las interacciones entre las diferentes zonas y sistemas.

Figura 2: Flujo de trabajo e interacciones del modelo de Purdue

¿Sigue siendo relevante el modelo de Purdue?

Cuando Theodore J. Williams y el Consorcio de la Universidad de Purdue introdujeron el modelo Purdue en 1992, pocos modelos habían delineado aún una jerarquía de información clara para CIM, que comenzó a afianzarse en el sector a mediados y fines de los años 1980.

Hoy en día, con la Internet industrial de las cosas (IIoT) difuminando la línea entre TI y OT, los expertos a menudo se preguntan si el modelo de Purdue todavía se aplica a las redes ICS modernas. Después de todo, su marco de segmentación a menudo se deja de lado, ya que los datos del Nivel 0 se envían directamente a la nube. Sin embargo, muchos sugieren que todavía no es momento de descartar el modelo.

En 2020, el director ejecutivo de Litmus, Vatsal Shah, afirmó: «El modelo Purdue aún satisface los requisitos de segmentación para redes inalámbricas y cableadas, y protege la red de tecnología operativa (OT) del tráfico y las vulnerabilidades no deseadas».¹

El Instituto SANS adoptó una postura similar en 2021, al afirmar: «Aunque sus capas jerárquicas ya no se pueden aplicar de manera uniforme a las arquitecturas modernas, la clasificación de los dispositivos y sistemas ICS y de TI en capas funcionales diferenciadas ayuda a los administradores y profesionales de la seguridad a determinar dónde aplicar las medidas de seguridad de manera eficaz».²

Forbes mantuvo esta perspectiva en 2022: “El modelo Purdue está muerto. Larga vida al modelo Purdue”.³

Los requisitos de tiempo de actividad industrial y los presupuestos a menudo implican que lo nuevo aún no puede reemplazar a lo antiguo, y eso es válido para el modelo de Purdue a pesar del auge de la IoT. En cambio, muchos abogan por un enfoque híbrido de aplicación de la segmentación macro con zero trust para superar los desafíos únicos de la seguridad de los ICS modernos.

1. AutomationWorld, “¿Sigue siendo relevante el modelo de Purdue?” Mayo de 2020.

2. SANS Institute, “Introducción a la seguridad de ICS, parte 2”, julio de 2021.

3. Forbes, “Un modelo de Purdue reinventado para la seguridad industrial es posible”, enero de 2022.

Desafíos de ciberseguridad exclusivos de los ICS

Echemos un vistazo a algunos de esos desafíos:

• El aislamiento ya no funciona. El aumento de la adopción de IoT y de la nube en toda la cadena de valor industrial ha hecho que muchas redes industriales estén tan integradas que el aislamiento tradicional simplemente ya no es efectivo.
• Los dispositivos ICS fueron diseñados para durar, no para evolucionar. Los estrictos requisitos de tiempo de funcionamiento de muchos dispositivos industriales hacen que sea difícil, caro o arriesgado actualizarlos o reemplazarlos, lo que deja a muchos dispositivos CIM vulnerables a ataques modernos, pero aún conectados a la red más amplia.
• La convergencia TI-OT y las nuevas tecnologías incrementan el riesgo. A medida que la transformación digital rompe las barreras de TI y TO, los avances en redes y análisis de datos reformulan los procesos y aparecen nuevos ciberataques sofisticados, los marcos de ICS tardan en adaptarse.
• Muchos propietarios de redes ICS dudan en adoptar zero trust. Las preocupaciones por los tiempos de inactividad que causan pérdidas de ingresos, interrumpen las infraestructuras o incluso ponen en peligro la seguridad de las personas hacen que los operadores industriales sientan incertidumbre sobre las posibles compensaciones en costes y complejidad, incluso cuando zero trust sigue siendo la estrategia más eficaz para proteger las redes modernas.

La necesidad de Zero Trust en los ICS

Los entornos OT tienden a utilizar redes planas y equipos de múltiples proveedores. Sin embargo, la implementación de microsegmentación a nivel de red con dispositivos físicos puede significar un tiempo de inactividad significativo, especialmente si los sistemas ICS y SCADA están demasiado obsoletos. Además, la mayoría de los profesionales de OT no conocen las mejores prácticas de TI ni los conceptos avanzados de seguridad de red, y su trabajo es priorizar el tiempo de actividad y la seguridad de las personas, no la seguridad.

Ethernet sigue siendo la columna vertebral de la mayoría de las fábricas y almacenes, pero la conectividad inalámbrica está ganando terreno a medida que la telefonía móvil privada aporta movilidad, confiabilidad, redes deterministas y tecnología estandarizada. Esto permitirá robots móviles autónomos, cobots, seguimiento de activos, gafas inteligentes y otras aplicaciones de la industria 4.0.

Hoy en día, los fabricantes pueden recopilar datos en tiempo real y usarlos para ejecutar análisis en la nube para obtener resultados inmediatos. Las aplicaciones y actividades de generación de datos que antes estaban reservadas para operaciones locales (PLC, SCADA y DCS para fabricación, y sistemas de gestión de almacenes para logística) también están encontrando su camino hacia la nube, lo que aumenta la complejidad de la red OT.

Zero trust puede simplificar la seguridad de los entornos OT y resolver desafíos clave como el acceso remoto seguro a los sistemas ICS sin requerir segmentación física en cada capa. El Instituto Nacional de Estándares y Tecnología (NIST) propuso la arquitectura de zero trust para redes industriales y empresariales, afirmando: “La seguridad de la red basada en el perímetro también ha demostrado ser insuficiente, ya que una vez que los atacantes infringen el perímetro, el movimiento lateral posterior no se ve obstaculizado”.

La aplicación de los principios rectores de zero trust de las redes de TI para el flujo de trabajo, el diseño de sistemas y las operaciones puede simplificar y mejorar la postura de seguridad de la red OT, y ayudar a acelerar la transformación digital.

La solución de seguridad ICS de Zscaler

Un enfoque zero trust es la forma más efectiva de garantizar una seguridad potente de TO, con acceso a aplicaciones adaptativo y basado en el contexto que no depende del acceso a la red. Con una arquitectura zero trust efectiva, cualquier usuario (un empleado, un contratista o un tercero) sólo puede acceder a las aplicaciones y los sistemas que necesita para hacer su trabajo, sin necesidad de complejos cortafuegos ni VPN, todo mientras sus aplicaciones y la red permanecen invisibles para la Internet abierta.

Zscaler Private Access™ (ZPA™) es la plataforma de acceso a red de zero trust (ZTNA) más implementada del mundo y proporciona:

• Una potente alternativa a la VPN: reemplace la VPN sobrecargada y llena de riesgos con ZPA para eliminar el retorno de tráfico innecesario y obtener acceso seguro y de baja latencia a aplicaciones privadas.
• Seguridad del personal híbrido: permita que sus usuarios accedan de manera segura a aplicaciones web y servicios en la nube desde cualquier ubicación o dispositivo, con una experiencia de usuario fluida.
• Acceso sin agente para terceros: amplíe su acceso seguro a aplicaciones privadas a proveedores, contratistas, distribuidores, etc. con soporte para dispositivos no administrados, sin agente de punto final.
• Conectividad IIoT y OT: proporcione acceso remoto rápido, confiable y seguro a dispositivos IIoT y OT para facilitar el mantenimiento y la resolución de problemas.