A medida que aumentan los ataques de ransomware, un nuevo algoritmo puede ayudar a prevenir apagones

Millones de personas podrían perder repentinamente la electricidad si un ataque de ransomware modificara ligeramente el flujo de energía en la red eléctrica de EE. UU.

Ninguna empresa de servicios públicos de energía tiene suficientes recursos para proteger toda la red, pero tal vez las 3000 empresas de servicios públicos de la red podrían llenar los vacíos de seguridad más importantes si hubiera un mapa que mostrara dónde priorizar sus inversiones en seguridad.

Los investigadores de la Universidad de Purdue han desarrollado un algoritmo para crear ese mapa. Con esta herramienta, las autoridades reguladoras o las compañías de seguros cibernéticos podrían establecer un marco que guíe las inversiones en seguridad de las empresas de servicios públicos de energía hacia las partes de la red con mayor riesgo de provocar un apagón si son pirateadas.

Las redes eléctricas son un tipo de infraestructura crítica, que es cualquier red, ya sea física como los sistemas de agua o virtual como el mantenimiento de registros de atención médica, que se considera esencial para el funcionamiento y la seguridad de un país. Los ataques de ransomware más grandes de la historia ocurrieron el año pasado y afectaron a la mayoría de los sectores de infraestructura crítica en los EE. UU., como los sistemas de distribución de granos en el sector de alimentos y agricultura y el Oleoducto Colonial, que transporta combustible a lo largo de la costa este.

Con esta tendencia en mente, los investigadores de Purdue evaluaron el algoritmo en el contexto de varios tipos de infraestructura crítica además del sector energético. El objetivo es que el algoritmo ayude a proteger cualquier sistema de infraestructura grande y complejo contra ataques cibernéticos.

«Múltiples empresas son propietarias de diferentes partes de la infraestructura. Cuando el ransomware ataca, afecta muchas piezas diferentes de tecnología propiedad de diferentes proveedores, por lo que eso es lo que hace que el ransomware sea un problema a nivel estatal, nacional e incluso mundial», dijo Saurabh Bagchi, profesor. en la Escuela de Ingeniería Eléctrica e Informática de la Familia Elmore y en el Centro de Educación e Investigación en Garantía y Seguridad de la Información en Purdue. «Cuando está invirtiendo dinero en seguridad en infraestructuras a gran escala, las malas decisiones de inversión pueden significar que su red eléctrica se apague o su red de telecomunicaciones se apague por unos días».

Proteger la infraestructura de los ataques mediante la mejora de las decisiones de inversión en seguridad

Los investigadores probaron el algoritmo en simulaciones de ataques informados anteriormente a cuatro sistemas de infraestructura: una red inteligente, un sistema de control industrial, una plataforma de comercio electrónico y una red de telecomunicaciones basada en la web. Descubrieron que el uso de este algoritmo da como resultado la asignación más óptima de inversiones en seguridad para reducir el impacto de un ataque cibernético.

Los hallazgos del equipo aparecen en un documento presentado en la edición de este año Simposio IEEE sobre seguridad y privacidad, la principal conferencia en el área de la seguridad informática. El equipo está compuesto por los profesores de Purdue Shreyas Sundaram y Timothy Cason y el ex Ph.D. estudiantes Mustafa Abdallah y Daniel Woods.

«Nadie tiene un presupuesto de seguridad infinito. Debe decidir cuánto invertir en cada uno de sus activos para que obtenga un aumento en la seguridad del sistema en general», dijo Bagchi.

La red eléctrica, por ejemplo, está tan interconectada que las decisiones de seguridad de una empresa de servicios públicos pueden tener un gran impacto en las operaciones de otras plantas eléctricas. Si las computadoras que controlan los generadores de un área no tienen la protección de seguridad adecuada, entonces un ataque a esas computadoras interrumpiría el flujo de energía a los generadores de otra área, obligándolos a apagarse.

Dado que no todas las empresas de servicios públicos de la red tienen el mismo presupuesto de seguridad, puede ser difícil garantizar que los puntos críticos de entrada a los controles de la red obtengan la mayor inversión en protección de seguridad.

El algoritmo que desarrollaron los investigadores de Purdue incentivaría a todos los responsables de la toma de decisiones de seguridad a asignar inversiones de seguridad de una manera que limite el daño acumulativo que podría causar un ataque de ransomware. Un ataque a un solo generador, por ejemplo, tendría menos impacto que un ataque a los controles de una red de generadores. Se incentivaría a las empresas de servicios públicos de energía a invertir más en medidas de seguridad para los controles de una red de generadores que en la protección de un solo generador.

Construyendo un algoritmo que considere los efectos del comportamiento humano

La investigación de Bagchi muestra cómo aumentar la ciberseguridad de manera que aborde la naturaleza interconectada de la infraestructura crítica, pero que no requiera una revisión de todo el sistema de infraestructura para implementarse.

Como director del Centro de Infraestructuras, Sistemas y Procesos Resilientes de Purdue, Bagchi ha trabajado con el Departamento de Defensa de EE. UU., Northrop Grumman Corp., Intel Corp., Adobe Inc., Google LLC e IBM Corp. en la adopción de soluciones de su investigación. El trabajo de Bagchi ha revelado las ventajas de establecer una respuesta automática a los ataques y ha dado lugar a innovaciones clave contra las amenazas de ransomware, como formas más eficaces de tomar decisiones sobre la copia de seguridad de los datos.

Hay una razón convincente por la que incentivar las buenas decisiones de seguridad funcionaría, dijo Bagchi. Él y su equipo diseñaron el algoritmo basándose en los hallazgos del campo de la economía del comportamiento, que estudia cómo las personas toman decisiones con el dinero.

«Antes de nuestro trabajo, no se había realizado mucha investigación de seguridad informática sobre cómo los comportamientos y los sesgos afectan los mejores mecanismos de defensa en un sistema. Eso se debe en parte a que los humanos son terribles para evaluar el riesgo y un algoritmo no tiene ningún sesgo humano», dijo Bagchi. . «Pero para cualquier sistema de complejidad razonable, las decisiones sobre inversiones en seguridad casi siempre se toman con humanos en el circuito. Para nuestro algoritmo, consideramos explícitamente el hecho de que los diferentes participantes en un sistema de infraestructura tienen diferentes sesgos».

Para desarrollar el algoritmo, el equipo de Bagchi comenzó jugando un juego. Ejecutaron una serie de experimentos que analizaban cómo grupos de estudiantes elegían proteger activos falsos con inversiones falsas. Al igual que en estudios anteriores sobre economía del comportamiento, descubrieron que la mayoría de los participantes del estudio no adivinaron bien qué activos eran los más valiosos y debían protegerse de los ataques de seguridad. La mayoría de los participantes del estudio también tendieron a distribuir sus inversiones en lugar de asignarlas a un activo, incluso cuando se les dijo qué activo es el más vulnerable a un ataque.

Usando estos hallazgos, los investigadores diseñaron un algoritmo que podría funcionar de dos maneras: o los que toman las decisiones de seguridad pagan un impuesto o una multa cuando toman decisiones que no son óptimas para la seguridad general del sistema, o los que toman las decisiones de seguridad reciben un pago por invertir de la manera más óptima.

«En este momento, las multas se imponen como una medida reactiva si hay un incidente de seguridad. Las multas o los impuestos no tienen ninguna relación con las inversiones en seguridad o los datos de los diferentes operadores en infraestructura crítica», dijo Bagchi.

En las simulaciones de los investigadores de los sistemas de infraestructura del mundo real, el algoritmo minimizó con éxito la probabilidad de perder activos por un ataque que disminuiría la seguridad general del sistema de infraestructura.

La investigación fue publicada en las actas de la Simposio IEEE 2022 sobre seguridad y privacidad (SP).