Por qué las redes aisladas no son tan seguras como crees

Lo que las organizaciones pasan por alto sobre la seguridad air-gapped y cómo construir una verdadera resiliencia

Conclusiones principales

• Las redes air‑gapped reducen la exposición, pero no son inmunes a los ciberataques.
• Tratar los air gaps como una seguridad perfecta puede llevar a puntos ciegos y atajos arriesgados.
• Las investigaciones han revelado métodos poco comunes para espiar sistemas aislados físicamente, pero los atacantes rara vez los utilizan en la práctica.
• Las filtraciones que se producen en la vida real suelen basarse en soportes extraíbles, vulnerabilidades en la cadena de suministro y usuarios de confianza.
• Los controles básicos y la concienciación son fundamentales para proteger los sistemas aislados.

Las redes air‑gapped se han considerado durante mucho tiempo como la forma más segura de proteger sistemas sensibles. Sin conexión a Internet, sin acceso remoto, sin problema. O al menos eso se suele pensar.

En realidad, esa confianza suele resultar infundada. El aislamiento físico reduce el riesgo, pero no lo elimina. Y en entornos industriales y operativos, donde los sistemas siguen necesitando mantenimiento, actualizaciones y el manejo de personas reales, ese aislamiento rara vez es tan hermético como parece sobre el papel.

Qué son las redes air-gapped y por qué las organizaciones las utilizan

Una red air-gapped es aquella que está aislada física o lógicamente de otras redes, especialmente de la Internet pública. No hay ningún cable Ethernet conectado, no hay conexión Wi-Fi activa y no existe ninguna vía evidente por la que puedan entrar o salir datos.

Por lo general, encontrará sistemas air-gapped en lugares donde los errores son costosos o peligrosos, incluyendo:

• Entornos de fabricación y control industrial
• Infraestructura crítica como electricidad, agua y transporte
• Instalaciones de defensa, gubernamentales y de investigación
• Sistemas de protección de la propiedad intelectual de gran valor

La lógica es que si los atacantes no pueden acceder a un sistema de forma remota, no pueden atacarlo. Pero, por supuesto, como sabemos por innumerables brechas exitosas, si los atacantes pueden obtener acceso físico a un sistema, no necesitan acceso remoto para llevar a cabo un ataque.

Vulnerabilidad principal del air-gapping

Incluso los sistemas más aislados necesitan atención y mantenimiento. El software debe actualizarse. Hay que revisar los registros. Las configuraciones cambian. Los proveedores lanzan nuevas herramientas. Los ingenieros transfieren archivos. Los operadores procesan informes.

Con el tiempo, el aislamiento puede acabar asumiendo una carga excesiva en materia de seguridad. Los controles de acceso físico se relajan. Las políticas sobre soportes extraíbles se incumplen "solo por esta vez". Los usuarios de confianza dejan de ser considerados parte del modelo de amenazas.

Por desgracia, los atacantes conocen muy bien esta dinámica.

Una digresión: técnicas poco comunes para acceder de forma remota a sistemas aislados físicamente

Los investigadores de seguridad han demostrado algunas formas verdaderamente creativas de observar o filtrar información de sistemas aislados. Estas incluyen técnicas basadas en:

• Emisiones electromagnéticas o de radiofrecuencia
• Señales acústicas como cambios sutiles en el ruido del ventilador
• Patrones térmicos causados por fluctuaciones de calor
• Indicadores visuales como luces indicadoras o actividad en pantalla

Estos métodos dan lugar a demostraciones fascinantes y titulares llamativos. Además, sirven para recordarnos que el aislamiento físico no es lo mismo que la invisibilidad.

Pero no aparecen en los informes de incidentes del mundo real. Son frágiles, complejos y difíciles de usar fuera de condiciones estrictamente controladas. Al igual que en el entorno general de ciberamenazas, los atacantes generalmente prefieren opciones más simples y confiables.

Cómo se producen realmente las brechas de seguridad en las redes air‑gapped

En el mundo real, las redes air‑gapped son vulneradas de la misma manera que muchos otros sistemas: a través de personas, procesos y elementos en los que ya confiamos.

Stuxnet supuso una llamada de atención allá por 2010. El malware no utilizó técnicas avanzadas para sortear una barrera física. Se introdujo a través de memorias USB infectadas por usuarios autorizados que realizaban tareas rutinarias. El ataque no requirió en ningún momento una conexión a Internet.

Esa lección se me quedó grabada. Las campañas modernas dirigidas a entornos aislados suelen seguir un patrón habitual:

• Comprometer primero un sistema conectado
• Usarlo para sembrar archivos maliciosos en medios extraíbles
• Esperar a que ese medio sea transportado a un sistema aislado.
• Recolectar datos o preparar cargas útiles hasta que el camino se revierta

Recientes ataques bien documentados muestran lo eficaz que sigue siendo este enfoque, especialmente en entornos de tecnología operativa donde los medios extraíbles siguen siendo una necesidad práctica.

Más allá de los ataques basados en USB, las brechas de sistemas aislados suelen implicar:

• Compromiso de la cadena de suministro a través de software o instaladores de confianza
• Actuaciones de insiders, ya sean malintencionadas o simplemente precipitadas
• Ingeniería social que convence a alguien para que infrinja las normas

Nada de esto es extraño. Todo es predecible. Y eso es exactamente por lo que funciona.

Cómo reducir el riesgo

El air-gapping todavía tiene valor. Solo necesita un backup.

Las organizaciones pueden reducir significativamente el riesgo al fortalecer los controles que rodean a los sistemas aislados, incluyendo:

• Disciplina estricta con los soportes extraíbles
  Limitar los dispositivos aprobados, escanear todo y eliminar por completo las unidades USB personales.
• Formación específica en concienciación sobre seguridad
  Asegúrese de que el personal entienda que los medios extraíbles y los instaladores no son inofensivos y a menudo son el punto de partida de ataques.
• Acceso mínimo por diseño
  Restringir quién puede interactuar con sistemas desconectados y hacer que esas interacciones sean visibles y auditables.
• Flujos de trabajo de transferencia controlada
  Tratar cada archivo que cruce el espacio de aislamiento como no confiable hasta que se demuestre lo contrario.
• Supervisión y preparación
  Incluso los sistemas no conectados a Internet generan señales. Supervíselas para detectar actividades anómalas.

Para equipos con recursos limitados, las mayores mejoras suelen provenir de corregir comportamientos cotidianos en lugar de perseguir amenazas de casos extremos.

Cómo Barracuda Managed XDR puede ayudar a cerrar la brecha

Los entornos aislados a menudo quedan fuera de los flujos de trabajo tradicionales de monitorización y detección. La visibilidad es limitada. La telemetría es escasa. Cuando algo sale mal, puede llevar tiempo conectar los puntos.

Barracuda Managed XDR combina la percepción experta humana con la detección y respuesta automatizada mejorada por IA para incidentes cibernéticos. Está diseñado para ayudar a los equipos con recursos limitados a proteger entornos complejos, incluso cuando partes de la infraestructura están aisladas. Al combinar la supervisión dirigida por expertos con una visibilidad unificada a través de enpoints, redes y servicios en la nube, Managed XDR ayuda a sacar a la luz actividades sospechosas que de otro modo podrían pasar desapercibidas, incluyendo señales de que los atacantes están intentando conectar sistemas aislados a través de medios extraíbles o procesos de confianza.

El objetivo no es eliminar los «air gaps», sino respaldarlos con una mayor comprensión y una respuesta más rápida. Para los equipos responsables de sistemas críticos u operativos, esa visibilidad adicional ayuda a convertir el aislamiento en parte de una estrategia de seguridad más amplia y resiliente, en lugar de una única fuente de confianza.

Air-gapping es solo un control de seguridad

Las redes con separación física definitivamente reducen el riesgo, pero no pueden eliminarlo.

Los atacantes ya entienden cómo funcionan realmente los entornos aislados. Los defensores necesitan ser igual de realistas. Cuando el aislamiento se combina con controles operativos fuertes, formación de usuarios y detección en capas, los sistemas air-gapped se convierten en objetivos más difíciles. Y fortalecer toda la superficie de ataque es un elemento clave de la verdadera ciberresiliencia.