El Laboratorio de Propulsión a Chorro de la NASA diseña, construye y opera naves espaciales de mil millones de dólares. Eso lo convierte en un objetivo. Lo que el mundo infosec llama Amenazas persistentes avanzadas – lo que significa, en general, los adversarios de los estados nacionales – flotar fuera de sus fronteras en línea, constantemente buscando acceso a sus "sistemas de datos terrestres", sus redes en la Tierra, que a su vez se conectan a las estaciones de retransmisión terrestres a través de las cuales se operan esas naves espaciales.
Su objetivo presunto es exfiltrar datos secretos y tecnología propia, pero también existe el riesgo de sabotaje de una misión de mil millones de dó lares. En los últimos años, a raíz de múltiple
Hablé con Arun Viswanathan, un investigador clave de seguridad cibernética de la NASA, sobre ese trabajo, que es una mezcla fascinante de "totalmente representativo de infosec hoy" y "único para las preocupaciones altamente inusuales del JPL". El mensaje clave está firmemente en la categoría anterior. Sin embargo: la seguridad de la información debe ser proactiva, no reactiva.
Cada misión en JPL es como su propia startup semi-independiente, pero sus limitaciones técnicas tienden a ser muy diferentes a las de las startups de Valley. Por ejemplo, el software de la misión generalmente es de cosecha propia / innovador, porque sus requisitos de software son mucho más estrictos: por ejemplo, absolutamente no se puede hacer que el software se vuelva corrupto y consuma el 100% de la CPU en una sonda espacial.
Las misiones exitosas pueden durar mucho tiempo, por lo que el JPL tiene muchos sistemas arcaicos, de varias décadas de antigüedad, que ya no son compatibles con nadie; tienen que diseñar sus soluciones de seguridad en torno a las limitaciones de ese antiguo software. A diferencia de la mayoría de las empresas, están abiertas al público, que recorre las instalaciones por cientos. Además, tienen muchos socios, como otras agencias espaciales, con acceso privilegiado a sus sistemas.
Todo eso … a la vez que es el objetivo de los atacantes de los estados nacionales. El suyo es, por decir lo último, un modelo de amenaza interesante.
Viswanathan se ha centrado principalmente en dos proyectos clave. Una es la creación de un modelo de los sistemas de datos terrestres de JPL (todas sus redes heterogéneas, hosts, procesos, aplicaciones, servidores de archivos, firewalls, etc.) y un motor de razonamiento. Esto se puede consultar mediante programación. (Nota técnica interesante: el lenguaje de consulta es Datalog, una rama no completa de Turing del venerable Prolog que ha tenido un resurgimiento últimamente.)
Antes de este modelo, ninguna persona podía responder con confianza "¿cuáles son los riesgos de seguridad de este sistema de datos terrestres?" Al igual que con muchas instituciones de hace décadas, ese conocimiento estaba en gran medida atrapado en documentos y cerebros.
Con el modelo, se pueden hacer consultas ad hoc como "¿alguien en la cafetería del JPL puede acceder a servidores de misión crítica?", Y el motor de razonamiento buscará rutas y detallará sus servicios y configuraciones. Del mismo modo, los investigadores pueden trabajar hacia atrás desde los objetivos de los atacantes para construir "árboles de ataque", caminos que los atacantes podrían usar para alcanzar su objetivo, y mapearlos contra el modelo, para identificar mitigaciones para aplicar.
Su otro gran proyecto es aumentar la "conciencia de la situación cibernética" del JPL, es decir, instrumentar sus sistemas para recopilar y analizar datos, en tiempo real, para detectar ataques y otros comportamientos anómalos. Por ejemplo, un aumento en el uso de la CPU podría indicar que se está utilizando un servidor comprometido para la minería de criptomonedas.
En los viejos tiempos, la seguridad era reactiva: si alguien tenía un problema y no podía acceder a su máquina, llamaba, pero ese era el alcance de su capacidad de observación. Hoy en día, pueden observar patrones maliciosos y anómalos que van desde lo simple, como un ataque de fuerza bruta indicado por muchos inicios de sesión fallidos seguidos de uno exitoso, hasta los mucho más complejos, p. detección basada en aprendizaje automático de un sistema de comando que opera fuera de sus parámetros de línea de base habituales.
Por supuesto, a veces es solo una anomalía, no un ataque. Por el contrario, esta nueva capacidad de observación también está ayudando a identificar ineficiencias del sistema, pérdida de memoria, etc., de forma proactiva en lugar de reactiva.
Todo esto puede parecer bastante básico si está acostumbrado, por ejemplo, a su panel de control de Digital Ocean y su variedad de análisis de servidores. Pero la reingeniería de una base instalada de sistemas heredados complejos heterogéneos para la observabilidad a escala es otra historia completamente diferente. Mirar los bordes y las interfaces no es suficiente; también debe observar todo el comportamiento dentro del perímetro, especialmente a la luz de los socios con acceso privilegiado, que podrían abusar de ese acceso si se ven comprometidos. (Esta fue la causa raíz de la infame Ataque 2018 en el JPL.)
Si bien el modelo de amenaza del JPL es bastante único, el trabajo de Viswanathan es bastante representativo de nuestro valiente nuevo mundo de guerra cibernética. Ya sea que sea una agencia espacial, una gran empresa o una startup en crecimiento, su seguridad de la información hoy en día debe ser proactiva. El monitoreo continuo del comportamiento anómalo es clave, al igual que pensar como un atacante; reaccionar después de descubrir que algo malo sucedió no es suficiente. Que su organización aprenda esto de la manera fácil, en lugar de unirse a los titulares aparentemente interminables que nos dicen todos los incumplimientos tras incumplimiento.