Ilustración: una película de escaneo, en nubes de puntos, de los lugares de una empresa de energía o de agua: un parque eólico en una loma, el centro de control de la red, una subestación de noche, un parque solar, una estación de bombeo de agua, un gasoducto al atardecer y la marca de Cantic. Las etiquetas muestran lecturas y direcciones ficticias.
Redes eléctricasRenovablesGasAgua
Entramos en tu centro de control antes que un delincuente.
Por los accesos de tus contratistas, hasta las máquinas de tus instalaciones. Con Fortify, escribimos el arreglo en 24 horas.
Energía y suministros
Cada instalación remota es una entrada.
Cada línea que llega a internet es una puerta.
Eclipse, nuestro propio modelo entrenado para atacar, sigue hasta que puede demostrar el control total.
Dicho claro: un atacante que trabaja para tu empresa.
Hasta dónde llega Eclipse
- Web
- Aplicaciones
- Correo
- Accesos
- Nube
- Servidores
- Red interna
- Máquinas
Con qué funciona tu empresa
Sabemos con qué funcionan tus instalaciones. Los delincuentes, también.
Empresas externas
- Tu proveedor informático
- Integrador de sistemas de control
- Mantenimiento eólico y solar
- Proveedor de telemetría
- Soporte de los fabricantes
Acceso remoto
- VPN
- Escritorio remoto
- Portales de proveedores
- Routers 4G
- Soporte remoto
-
Centro de control
- Servidores SCADA
- Pantallas de operación
- Histórico de datos
- Alarmas
-
Subestación
- Relés de protección
- Unidades terminales remotas
- Pasarela de comunicaciones
-
Parque eólico y solar
- Control de aerogeneradores
- Inversores solares
- Portal de monitorización
-
Agua y bombeo
- Control de bombas
- Dosificación de reactivos
- Sensores de nivel y caudal
- Remotas de telemetría
-
Oficina
- Área de clientes
- Facturación
- Correo
- ERP
- Copias de seguridad
-
España
-
Polonia
Más de 30 parques eólicos y fotovoltaicos, y una central de calor y electricidad
Los atacantes dañaron controladores y borraron archivos; los parques dejaron de controlarse a distancia, pero la producción siguió.
Fuentes CERT Polska Help Net Security
-
Mataró, Cataluña, España
Aigües de Mataró, empresa municipal de aguas
Sistemas corporativos atacados y posibles datos de abonados expuestos; el suministro de agua siguió, según la empresa.
Fuentes The Record (Recorded Future News) Escudo Digital Ara
Comparado
Esto no es un pentest anual.
| Un pentest normal | Cantic |
|---|---|
| Una vez al año | Día y noche, y con cada cambio |
| Un PDF semanas después | Pruebas en el momento, con la reproducción |
| Se queda en la web | De la web al servidor y a la máquina |
| Tú buscas el arreglo | Escribimos el arreglo en un plazo de 24 horas |
| Esperas que aguante | Volvemos a atacar para comprobar que aguanta |
Bajo tu control
Dentro de las reglas que tú firmas.
Límites claros y privacidad de los datos para la energía, el agua y sus instalaciones.
No se ejecuta nada hasta que firmas
Una autorización y unas reglas de intervención, firmadas por quien puede autorizar la prueba.
Dentro de los límites que fijas
Tu alcance, tu horario y tus límites. Se detiene cuando puede demostrar el control.
Detén la prueba en 60 segundos
Ritmo limitado y tiempo acotado, así que tus sistemas no se ralentizan.
Cada acción, en el registro
Con hash y sello de tiempo en un registro que puedes inspeccionar, y en directo.
Una persona en cada hallazgo crítico
Un responsable asignado de nuestro equipo.
Ninguna empresa externa de IA ve tus datos
Eclipse es nuestro propio modelo, en nuestros propios servidores.
Destruidos al terminar el trabajo
Lo borramos en varios pasos en nuestros sistemas; no nos lo quedamos. Informes de la primera prueba: 14 días si no te suscribes.
El arreglo llega a tu proveedor informático
Los hallazgos y los arreglos van a tu propio equipo o a tu proveedor informático.
Normativa
Las normas que se aplican a la energía y el agua.
- NIS2 abarca las empresas de energía y agua con 50 o más empleados, o más de 10 millones de euros tanto de facturación como de balance (anexo I). 1
- Deben gestionar la seguridad de su cadena de suministro y avisar de un incidente significativo en 24 horas (artículos 21 y 23). 1
- En España, los operadores de servicios esenciales designados notifican a través de su CSIRT los incidentes que puedan perturbar de forma significativa el servicio (Real Decreto-ley 12/2018). 2
Preguntas
Lo que nos preguntan
- ¿Y los sistemas que mueven nuestras instalaciones?
- Si el acceso de un contratista o una página abierta lleva a tus sistemas de control, Eclipse lo intenta.
- ¿Ayuda con NIS2?
- Sí: cada paso queda registrado, del alcance firmado a la nueva prueba, pero no certifica el cumplimiento.
- Ya tenemos un integrador para los sistemas de control. ¿Por qué vosotros?
- Tu integrador y tu proveedor informático hacen funcionar tus sistemas y nosotros los atacamos: son dos trabajos distintos.
Cómo empieza
Tus resultados en un día.
Tú firmas las reglas
Una autorización y unas reglas de intervención, firmadas antes de que se ejecute nada.
Eclipse prueba lo que está dentro del alcance
Desde fuera, como lo haría un atacante. No hay nada que instalar.
Ponemos los hallazgos sobre la mesa
En lenguaje claro, con lo que hay que hacer. Cada hallazgo llega con su prueba.
Fuentes
- EU Official Journal (publications.europa.eu), Directive (EU) 2022/2555 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive), . Consultado el .
- Boletín Oficial del Estado (BOE), Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información, . Consultado el .