Kaspersky ICS Threat Intelligence Reporting Executive Summary and IOCs

¿Qué incluyen el resumen ejecutivo y los IOC de los informes de inteligencia sobre amenazas para ICS de Kaspersky?

Biblioteca de informes sobre ICS: informes de Kaspersky ICS CERT sobre campañas dirigidas a organizaciones industriales.
Resúmenes ejecutivos: resúmenes concisos de las amenazas, redactados para la dirección y los responsables de riesgos.
Indicadores de compromiso (IOC): IOC en formato openIOC para sus propias búsquedas de detección.
Reglas de detección: reglas YARA, Suricata y Sigma incluidas con los informes.
Acceso al portal: se proporciona a través del Kaspersky Threat Intelligence Portal, sin necesidad de infraestructura.
Importante: sin componentes de protección, sin consola y sin agente en los sistemas ICS.

¿El mejor antivirus? Por qué Windows Defender por sí solo no es suficiente
Explica por qué sigue siendo necesario un producto de detección junto con fuentes de inteligencia, y cuáles son los límites de la protección integrada de Windows.

¿Cuáles son las principales ventajas del resumen ejecutivo y los IOC de los informes de inteligencia sobre amenazas para ICS de Kaspersky?

El «Resumen ejecutivo e IOC del informe de inteligencia sobre amenazas para ICS de Kaspersky» es un servicio de inteligencia por suscripción, más que un software de protección: ofrece informes de amenazas específicos para ICS y artefactos técnicos a través del Kaspersky Threat Intelligence Portal, basado en navegador. Kaspersky lo comercializa como uno de los tres flujos de informes dentro de «Kaspersky Threat Intelligence Reporting», junto con los flujos de APT y Crimeware.

Atajo de atribución: compara tus propias alertas con campañas de ataque industrial identificadas.
Clasificación de vulnerabilidades: las evaluaciones de gravedad ayudan a decidir qué parches de ICS pueden esperar.
Resúmenes para la dirección: las secciones ejecutivas alimentan los informes de riesgos sin necesidad de que los analistas los reescriban.
Acceso retrospectivo: los informes publicados anteriormente siguen estando disponibles para búsquedas retrospectivas.
Mapeo MITRE ATT&CK: las TTP notificadas se mapean para que puedas comprobar la cobertura de detección.
Sin infraestructura: acceso solo a través del navegador, sin nada implementado dentro de las redes OT.

¿Para qué tamaño de empresa son adecuados el resumen ejecutivo y los IOC de los informes de inteligencia sobre amenazas para ICS de Kaspersky?

En este caso, el tamaño de la empresa importa menos que el hecho de que se asigne a una persona concreta la tarea de leer los informes y actuar en consecuencia. La información de inteligencia que nadie procesa no aporta ningún beneficio en materia de seguridad, por lo que la cuestión decisiva es la capacidad de los analistas, no el número de empleados.

¿Cumplen el «Resumen ejecutivo de informes de inteligencia sobre amenazas para ICS» y los IOC de Kaspersky los requisitos de la legislación suiza en materia de ciberseguridad?

La obligación de notificación prevista en la Ley de Seguridad de la Información revisada se aplica a los operadores de infraestructuras críticas, no a todas las empresas suizas, por lo que el primer paso es determinar por escrito si su organización entra dentro del ámbito de aplicación. Desde el 1 de abril de 2025, dichos operadores deben notificar cualquier ciberataque significativo a la Oficina Federal de Ciberseguridad (BACS) en un plazo de 24 horas desde su detección. Este servicio le ayuda con la parte más complicada de ese plazo, que es la clasificación: las descripciones de las campañas, la ubicación geográfica de las víctimas y los IOC proporcionados permiten a un analista decidir rápidamente si un evento observado forma parte de una campaña industrial conocida o si se trata de ruido sin relación alguna. No cubre el resto de la obligación, ya que no supervisa su red de tecnología operativa (OT), no detecta el incidente y no genera pruebas de registro procedentes de sus propios sistemas; por lo tanto, la detección, la reconstrucción de la cronología y el propio informe deben provenir de sus propias herramientas y procesos. Este texto no constituye asesoramiento jurídico; deberá aclarar con su propio asesor jurídico si su organización está sujeta a la obligación de notificación.

¿Cumplen el «Resumen ejecutivo de informes de inteligencia sobre amenazas para ICS» y los IOC de Kaspersky los requisitos de la legislación europea en materia de ciberseguridad?

Ningún producto garantiza el cumplimiento de la Directiva NIS 2, ya que esta obliga a las entidades esenciales e importantes a aplicar medidas de gestión de riesgos y a notificar los incidentes significativos, y responsabiliza a los órganos de dirección de la aprobación y supervisión de dichas medidas. Las categorías de medidas que menciona la directiva incluyen el análisis de riesgos y las políticas de seguridad de los sistemas de información, la gestión de incidentes, la continuidad del negocio, la seguridad de la cadena de suministro, la gestión y divulgación de vulnerabilidades, y la comprobación de la eficacia de las medidas adoptadas. Esta suscripción contribuye a tres de ellas: los informes sobre el panorama de amenazas industriales alimentan el análisis de riesgos; los informes de vulnerabilidades de los sistemas de control industrial (ICS) con evaluaciones de gravedad alimentan la gestión de vulnerabilidades; y los indicadores de compromiso (IOC), junto con la correspondencia con el marco MITRE ATT&CK, proporcionan contexto al equipo de gestión de incidentes durante una investigación. No aporta nada a las categorías restantes, ya que no ofrece control de acceso, ni criptografía, ni funciones de copia de seguridad o continuidad, ni autenticación multifactorial, ni evaluación de sus propios proveedores. Considérela como un elemento más de un sistema de gestión, no como una medida en sí misma.

¿Qué debe saber sobre las evaluaciones oficiales de Kaspersky?

En Suiza, la Oficina Federal de Ciberseguridad no ha emitido ninguna advertencia relativa a Kaspersky y ha declarado que no se le ha notificado ningún uso indebido del software de este proveedor; su venta y uso siguen siendo legales en Suiza y en toda la Unión Europea. En Alemania, la Oficina Federal de Seguridad de la Información publicó el 15 de marzo de 2022 una advertencia contra el software antivirus de Kaspersky por motivos relacionados con el país de origen y la cadena de suministro, y dicha advertencia sigue vigente en 2026. Por otra parte, el Departamento de Comercio de Estados Unidos emitió una resolución definitiva en junio de 2024 por la que se prohíbe la venta y reventa del software de Kaspersky en Estados Unidos, y las actualizaciones de las instalaciones existentes en ese país finalizarán el 29 de septiembre de 2024. Kaspersky rechaza estas evaluaciones, afirma que nunca ha colaborado con ningún gobierno en actividades de ciberespionaje y destaca que, desde 2018, el tratamiento de los datos de sus clientes europeos se lleva a cabo en Zúrich, así como su certificación ISO 27001, renovada por TÜV Austria, y su auditoría SOC 2. Estas medidas se refieren a la confianza en el país de origen del proveedor y en su cadena de suministro, más que al rendimiento de detección publicado. En la práctica, esto es especialmente relevante para los contratos del sector público, para los proveedores de clientes federales alemanes y para las empresas cuyos grandes clientes excluyen el software de origen ruso en los cuestionarios de proveedores; cabe señalar también que, aunque la advertencia alemana se refiere específicamente al software de protección antivirus, las normas de contratación pública suelen excluir al proveedor en su conjunto, por lo que una suscripción a servicios de inteligencia podría seguir no superando dicha comprobación.

Norton frente a Kaspersky: ¿qué programa antivirus ofrece la mejor protección?
Compara ambos proveedores en cuanto a resultados de protección y características, lo cual resulta útil si el origen del proveedor es un factor determinante en su decisión.

¿Ayudan el resumen ejecutivo y los IOC del informe de inteligencia sobre amenazas para ICS de Kaspersky a completar los cuestionarios de seguridad de los grandes clientes?

En parte, y solo en lo que respecta al apartado de inteligencia sobre amenazas. Le proporciona una respuesta documentada sobre si está suscrito a una fuente comercial de inteligencia sobre amenazas, si recibe información sobre vulnerabilidades específicas de ICS, si su contenido de detección está mapeado con MITRE ATT&CK y si dispone de un proceso definido para el uso de indicadores de compromiso. No responde a ninguno de los apartados más amplios: cobertura de protección de terminales y servidores, capacidad de EDR, estado de los parches y pruebas de su aplicación, cifrado de dispositivos, autenticación multifactorial, pruebas de copia de seguridad y restauración, períodos de retención de registros, revisiones de acceso, preparación para la respuesta ante incidentes y el estado de certificación de su propio sistema de gestión. Tampoco puede responder a la pregunta sobre el origen del proveedor que aparece cada vez con más frecuencia en estos formularios, y para algunos clientes ese único aspecto tiene más peso que la respuesta sobre la inteligencia. Para subsanar las deficiencias operativas, ascender dentro de la plataforma industrial de un mismo proveedor —por ejemplo, añadiendo Kaspersky Industrial CyberSecurity para nodos y redes— suele ser más económico y genera pruebas más coherentes que combinar varios proveedores, ya que una única consola genera un conjunto de informes que el auditor puede seguir.

¿Qué limitaciones debe conocer antes de comprar?

La disponibilidad regional es lo primero que hay que comprobar: de acuerdo con la resolución del Departamento de Comercio de Estados Unidos, los productos y servicios de Kaspersky no se comercializan en Estados Unidos, por lo que esta suscripción no puede prestarse a una entidad estadounidense ni a un equipo de seguridad con sede en Estados Unidos dentro de un grupo. La segunda limitación es el alcance: los informes describen el panorama de amenazas industriales a nivel global y por regiones y sectores, pero nada se adapta a su planta específica, y no se analiza ninguna telemetría de su entorno. La tercera es la gestión: los informes y los artefactos se clasifican según el Protocolo del Semáforo y está prohibida la divulgación del contenido de los informes sobre APT, lo que restringe hasta qué punto puede transmitir el material a un integrador de OT externo o a un proveedor de servicios. Por último, el soporte técnico estándar cubre el uso del propio servicio y no conlleva ningún compromiso de tiempo de respuesta fijo, a menos que se acuerde un nivel de servicio de pago, y excluye explícitamente la investigación de incidentes, que se comercializa por separado. La compra adicional más habitual es un producto de detección para la red OT, ya que esta suscripción proporciona indicadores, pero nada que los busque.

Preguntas frecuentes sobre el resumen ejecutivo y los IOC del informe de inteligencia sobre amenazas para ICS de Kaspersky

¿En qué formatos se pueden exportar los informes y los indicadores?

Los informes se pueden consultar en el Portal de Inteligencia sobre Amenazas de Kaspersky o descargarse en formato PDF para su uso sin conexión. Los indicadores de compromiso se proporcionan en formato openIOC y las reglas de detección en formato YARA, lo que permite a un analista cargarlas en las herramientas de detección existentes sin necesidad de volver a escribirlas manualmente.

¿Podemos compartir los informes con nuestro proveedor de servicios de tecnología operativa (OT)?

Solo dentro de los límites de la clasificación del Protocolo «Traffic Light» aplicada a cada informe, y el contenido de los informes sobre APT no puede divulgarse. Cuando un documento, como una lista de IOC, no lleve una clasificación propia, se le aplicará la clasificación del informe adjunto; por lo tanto, compruebe la clasificación antes de reenviar cualquier cosa a un integrador.