El sistema de detección y análisis de amenazas CARMEN ha experimentado una evolución significativa gracias al proyecto R2D2. Antes del proyecto, CARMEN tenía limitaciones en entornos industriales (OT). Con la incorporación de los módulos del proyecto R2D2, CARMEN puede interpretar de manera profunda los protocolos industriales más críticos.
Protocolos industriales analizados
Los protocolos industrialmente relevantes incluyen MQTT, DNP3, IEC104 e ICCP. Gracias a los disectores, CARMEN puede leer estos mensajes, entender qué comandos se están enviando y diferenciar entre tráfico legítimo y actividad sospechosa.
Funcionalidad del módulo S2TH
El módulo S2TH permite correlacionar alertas con inteligencia histórica sobre grupos APT. Este módulo calcula similitud entre la actividad detectada y patrones de ataques conocidos. En una red industrial y corporativa típica, se introdujo un broker MQTT malicioso que envía comandos inesperados a los sensores y controladores industriales.
Funcionalidad del módulo ADR
El módulo ADR analiza cómo podrían afectar a la organización las amenazas identificadas. Este módulo calcula la probabilidad de que un contacto inicial alcance los activos más críticos, evaluando rutas de propagación y priorizando la respuesta.
Mejoras en detección y gestión
El despliegue de CARMEN con R2D2 ha mostrado mejoras en la detección y gestión de amenazas. Se identifica de manera temprana la presencia de APTs gracias al proyecto R2D2. La reducción de falsos positivos es otro beneficio destacable: solo el 1% de las alertas requiere atención.
Visión integrada IT/OT
La integración IT/OT proporciona una visión completa de la superficie de ataque. CARMEN genera una alerta indicando que esto podría ser un posible ataque de algún grupo APT conocido.
Riesgos identificados
- La presencia de APTs en sistemas críticos.
- Amenazas que podrían alcanzar activos más críticos.
Mitigaciones implementadas
- Actuar antes de que causen daños a sistemas críticos.
- Priorizar la respuesta enfocando los esfuerzos primero en la protección del activo crítico.