Apágalo y vuelve a encenderlo, pero solo en el caso de las infraestructuras críticas
Un grupo de investigadores del Real Instituto de Tecnología KTH desarrolló una réplica en contenedores de una red industrial segmentada para someterla a ataques constantes durante dos semanas. A partir del tráfico de red capturado, entrenaron a un agente defensivo autónomo capaz de determinar cuándo debe intervenir ante una intrusión.
El agente analiza periódicamente seis valores numéricos relacionados con el tráfico entre los segmentos y las máquinas para deducir el avance del atacante. Sus posibles respuestas van desde no realizar ninguna acción hasta reiniciar hosts específicos, procesos de tanques de agua o todos los equipos de las subredes de control simultáneamente, lo cual renueva credenciales y direcciones IP aunque puede generar brechas operativas momentáneas.
Para superar la limitación de que los atacantes no suelen ser visibles directamente, los creadores midieron la red en periodos de treinta segundos y estimaron cómo varía el tráfico según la acción del intruso. El agente más eficaz utiliza un modelo de evolución del sistema que incluye el comportamiento del atacante para actualizar sus estimaciones sobre el estado de la red.
La red de prueba utilizada contenía equipos con credenciales débiles y vulnerabilidades conocidas, aunque los autores no analizaron si este modelo funciona en otras configuraciones o tipos de ataques. Los investigadores ya han publicado su implementación y planean realizar pruebas en un banco de pruebas industrial junto a un socio, considerando la seguridad operativa como un factor limitante para las estrategias defensivas futuras.