CyberOTworld: Análisis Forense en entornos OT tras un Ciberataque (I)

Preparación y respuesta inicial

Introducción

El análisis forense en entornos de Tecnología Operacional (OT) representa uno de los desafíos más complejos en el campo de la ciberseguridad industrial. A diferencia de los entornos IT tradicionales, los sistemas OT controlan procesos físicos en tiempo real, donde cualquier interrupción puede tener consecuencias graves tanto en términos de seguridad como económicos.

Características especiales del entorno OT

Los entornos OT presentan características únicas que impactan directamente en el proceso de análisis forense:

Sistemas Legacy
- Sistemas operativos sin soporte (Windows XP, Windows 2000)
- Hardware obsoleto pero crítico para la operación
- Imposibilidad de actualización por restricciones del fabricante
- Dependencias con software antiguo no compatible con sistemas modernos
Protocolos Industriales
- Modbus TCP/IP (puerto 502)
- Profinet (puerto 34962-34964)
- EtherCAT
- OPC UA (puerto 4840)
- S7comm (puerto 102)
- DNP3 (puerto 20000)
- BACnet (puerto 47808)
Restricciones Operativas
- Requisitos de tiempo real con latencias máximas permitidas
- Ciclos de proceso continuos 24/7
- Ventanas de mantenimiento limitadas
- Impacto directo en la producción
- Requisitos de seguridad física
Hardware Especializado
- PLCs (Siemens, Allen-Bradley, Schneider)
- RTUs (Remote Terminal Units)
- IEDs (Intelligent Electronic Devices)
- DCS (Distributed Control Systems)
- Sensores y actuadores industriales

Fase 1: Preparación del Análisis

1.1 Establecimiento del perímetro de investigación

1.1.1 Identificación de Sistemas Afectados

Sistemas de Control
- PLCs comprometidos
  - Registro de cambios en la lógica
  - Modificaciones en tablas de variables
  - Alteraciones en la configuración de comunicaciones
- DCS
  - Cambios en lazos de control
  - Modificaciones en parámetros de proceso
  - Alteraciones en históricos
- RTUs
  - Modificaciones en puntos de telemetría
  - Cambios en configuración de comunicaciones
Sistemas de Supervisión
- Servidores SCADA
  - Logs de eventos
  - Bases de datos de tiempo real
  - Configuración de alarmas
- Estaciones de Operación
  - Registros de actividad del operador
  - Modificaciones en pantallas HMI
  - Cambios en privilegios de usuario
- Historiadores
  - Integridad de datos históricos
  - Modificaciones en la configuración de archivado
  - Alteraciones en reportes
Infraestructura de Red
- Switches industriales
  - Configuración de VLANs
  - Tablas MAC
  - Logs de puerto
- Firewalls industriales
  - Reglas modificadas
  - Logs de tráfico
  - Eventos de seguridad
- Sistemas de prevención de intrusiones
  - Signatures personalizadas
  - Logs de alertas
  - Configuración modificada

1.1.2 Establecimiento de Línea Temporal

Identificación de Eventos Clave


[T-0] Estado normal del sistema
[T+1] Primera evidencia de compromiso
[T+2] Cambios detectados en configuración
[T+3] Alertas de seguridad
[T+4] Impacto en proceso productivo
[T+5] Detección del incidente
[T+6] Inicio de la investigación

Correlación de Eventos
- Registro de alarmas de proceso
- Logs de seguridad
- Registros de producción
- Eventos de red
- Actividad de usuarios

1.2 Preparación de herramientas especializadas

1.2.1 Herramientas de Captura y Análisis de Red

Software de Captura


# Captura con tcpdump para diferentes protocolos industriales

# Modbus TCP
tcpdump -i eth0 'port 502' -w modbus_capture.pcap

# Profinet
tcpdump -i eth0 'port 34962 or port 34963 or port 34964' -w profinet_capture.pcap

# S7comm
tcpdump -i eth0 'port 102' -w s7comm_capture.pcap

# OPC UA
tcpdump -i eth0 'port 4840' -w opcua_capture.pcap

Analizadores de Protocolo

Wireshark con disectores industriales


# Filtros Wireshark útiles
modbus.func_code == 16  # Escribir múltiples registros
s7comm.rosctr == 1      # Solicitud de Job
opcua.msgtype == 0x446  # WriteRequest

NetworkMiner Industrial
ICS Pcap Analyzer

1.2.2 Herramientas Forenses para Sistemas Legacy

Software de Adquisición de Memoria


# Windows XP/2000
win32dd.exe --output memory.raw

# Sistemas Linux antiguos
dd if=/dev/mem of=memory.raw bs=1M

# Captura de memoria de proceso específico
procdump.exe -ma [PID] dump.dmp

Herramientas de Análisis de Memoria


# Análisis con Volatility
volatility -f memory.raw imageinfo
volatility -f memory.raw --profile=WinXPSP3x86 pslist
volatility -f memory.raw --profile=WinXPSP3x86 netscan
volatility -f memory.raw --profile=WinXPSP3x86 malfind

1.2.3 Software Específico de Fabricantes

Siemens
- SIMATIC Step 7
- TIA Portal
- PCS 7
Rockwell Automation
- RSLogix 5000
- Studio 5000
- FactoryTalk View
Schneider Electric
- Unity Pro
- SoMachine
- Modicon

Fase 2: Respuesta Inicial y Preservación de Evidencias

2.1 Adquisición de memoria volátil

2.1.1 Priorización de Sistemas

Orden de Adquisición


1. Sistemas de control críticos
2. Servidores SCADA
3. Estaciones de ingeniería
4. Sistemas historiadores
5. Estaciones HMI

Datos a Recolectar por Sistema


- Memoria RAM completa
- Procesos en ejecución
- Conexiones de red
- Módulos cargados
- Archivos abiertos
- Registro de Windows
- Usuarios activos

2.1.2 Procedimientos de Adquisición

Memoria RAM


# Ejemplo de script de adquisición
@echo off
set TIMESTAMP=%date:~-4%%date:~3,2%%date:~0,2%_%time:~0,2%%time:~3,2%
mkdir C:\forensics\%TIMESTAMP%

REM Captura de memoria RAM
winpmem.exe C:\forensics\%TIMESTAMP%\memory.raw

REM Procesos en ejecución
tasklist /v > C:\forensics\%TIMESTAMP%\processes.txt

REM Conexiones de red
netstat -anob > C:\forensics\%TIMESTAMP%\network.txt

REM Servicios
sc query > C:\forensics\%TIMESTAMP%\services.txt

Registro de Windows


# PowerShell script para exportar registro
$timestamp = Get-Date -Format "yyyyMMdd_HHmm"
$exportPath = "C:\forensics\registry_$timestamp"

reg export HKLM "$exportPath\HKLM.reg"
reg export HKCU "$exportPath\HKCU.reg"
reg export HKCR "$exportPath\HKCR.reg"
reg export HKU "$exportPath\HKU.reg"
reg export HKCC "$exportPath\HKCC.reg"

2.2 Captura de tráfico de red

2.2.1 Puntos de Captura Estratégicos

Segmentación de Red Industrial


- DMZ Industrial
- Red de Control
- Red de Supervisión
- Red de Proceso

Configuración de SPAN/Mirror


# Cisco Switch Configuration
conf t
monitor session 1 source interface Gi1/0/1 - 24
monitor session 1 destination interface Gi1/0/48
end

2.2.2 Filtros de Captura Específicos

Protocolos Industriales


# Captura múltiples protocolos
tshark -i eth0 -w capture.pcap -f "port 502 or port 102 or port 4840 or port 20000"

# Análisis en tiempo real
tshark -i eth0 -Y "modbus || s7comm || opcua || dnp3"

Análisis de Tráfico Anómalo


# Detección de escrituras Modbus
tshark -i eth0 -Y "modbus.func_code == 16" -T fields -e frame.time -e ip.src -e modbus.reference_num -e modbus.word_cnt

# Detección de descargas de programa S7
tshark -i eth0 -Y "s7comm.rosctr == 1 && s7comm.param.func == 0x05" -T fields -e frame.time -e ip.src

2.3 Adquisición de datos de PLC´s

2.3.1 Backup de Configuración

Siemens S7


1. Conexión Online
2. Cargar configuración de hardware
3. Cargar bloques de programa
4. Exportar tabla de símbolos
5. Backup de DB's

Allen-Bradley ControlLogix


1. Conexión mediante RSLinx
2. Upload Program
3. Export L5K/L5X
4. Tag Database Export
5. Controlador Properties

2.3.2 Análisis de Cambios

Comparación de Programas


- Bloques modificados
- Nuevas rutinas
- Cambios en comentarios
- Modificaciones en tags

Verificación de Firmware


- Versión actual vs esperada
- Checksums
- Últimas actualizaciones

Fase 3: Documentación Inicial

3.1 Registro de acciones

3.1.1 Formato de Documentación


Registro de Actividad Forense
----------------------------
Caso #: INC-2024-001
Fecha: [FECHA]
Investigador: [NOMBRE]

1. Actividad Realizada:
   - Descripción:
   - Timestamp:
   - Sistema Afectado:
   - Herramientas Utilizadas:
   - Resultados:
   - Hash de Evidencias:

2. Hallazgos Preliminares:
   - Descripción:
   - Impacto:
   - Sistemas Relacionados:
   - Evidencias Asociadas:

3.1.2 Gestión de Evidencias

Nomenclatura de Archivos


CASO_TIPO-EVIDENCIA_SISTEMA_TIMESTAMP
Ejemplo: INC2024001_MEM_PLC1_20240315_1422.raw

Registro de Hashes


# Script para calcular y registrar hashes
for file in evidence/*; do
  sha256sum "$file" >> hashes.txt
  md5sum "$file" >> hashes.txt
done

3.2 Establecimiento de cadena de custodia

3.2.1 Formato de Cadena de Custodia


CADENA DE CUSTODIA - EVIDENCIA DIGITAL
-------------------------------------
ID Evidencia: [ID]
Descripción: [DESCRIPCIÓN]
Hash SHA-256: [HASH]
Ubicación Original: [UBICACIÓN]

Cronología:
[FECHA/HORA] - [ACCIÓN] - [RESPONSABLE] - [UBICACIÓN]

3.2.2 Almacenamiento Seguro

Requisitos de Almacenamiento


- Dispositivos Write-Blocker
- Medios de almacenamiento forense
- Cifrado AES-256
- Backups redundantes
- Control ambiental

Control de Acceso


- Registro de accesos
- Autenticación de dos factores
- Videopvigilancia
- Logs de apertura/cierre

Preparación para la Siguiente Fase

Análisis preliminar de datos

Identificación de Patrones
- Comportamiento anómalo en la red
- Modificaciones no autorizadas
- Intentos de conexión sospechosos
- Cambios en la configuración
Hipótesis Inicial
- Vector de ataque probable
- Alcance del compromiso
- Sistemas afectados
- Timeline preliminar

Conclusión de la Parte 1

Esta primera parte establece los fundamentos críticos para una investigación forense efectiva en entornos OT. La correcta ejecución de estos pasos iniciales, junto con una documentación exhaustiva, son esenciales para el éxito de la investigación y la posterior

CyberOTworld

lunes, 16 de diciembre de 2024

Análisis Forense en entornos OT tras un Ciberataque (I)