Ciberseguridad en un entorno de Internet de las Cosas

Industrial (IIoT)
Retos para los sistemas de normas y los modelos de evaluación

Cybersecurity in an Industrial Internet of Things

Environment (IIoT)
Challenges for Standards Systems and Evaluation Models

Félix Antonio Barrio Juárez

Escuela de Ingeniería y Ciencias, Tecnológico de Monterrey
Ciudad de México, México
felixantonio.barrio@ui1.es

Resumen — Este documento sitúa la protección de la contexts. Finally, the case studies aim to generate an
ciberseguridad en el marco de un entorno industrial de Internet understanding of challenges and how standards and technology
de las Cosas y analiza dos grupos de herramientas en particular: address cybersecurity issues in these industrial contexts.
(1) Estándares y normas técnicas específicamente diseñadas para
aplicación en entornos de Internet de las Cosas (por sus siglas en Keywords – Industrial Internet of Things; IIot; cybersecurity;
inglés, Internet of Things IoT) o dispositivos electrónicos standards; assessment models.
inteligentes aplicables a entornos industriales, y (2) herramientas
I. INTRODUCCIÓN
de evaluación de la ciberseguridad diseñados para dispositivos de
Internet de las Cosas utilizables en entornos e infraestructuras Aunque el incremento de la complejidad en el desarrollo de
industriales. Estos estudios de caso muestran los retos y dispositivos en ubicuidad conectados a internet y la
preocupaciones para la configuración de ciberseguridad combinación de Internet de las Cosas con la Web de las cosas
originados por las limitaciones de estas tecnologías y los desafíos (Web of Things) han multiplicado hasta límites insospechados
que se abordan por parte de las actuales regulaciones, estándares los niveles de riesgo para la ciberseguridad, no obstante el
y mecanismos técnicos. El objetivo de estos estudios de caso es desarrollo de modelos normativos y estándares ayudan a
ilustrar cómo la regulación y las tecnologías intentan proteger los prevenir el desarrollo salvaje y caótico de productos,
intereses de ciberseguridad que tiene la introducción de soluciones y protocolos de comunicación para la denominada
dispositivos de Internet de las Cosas en entornos industriales. En IoT [1] [2].
otras palabras, los estudios de caso apuntan a generar una
comprensión de cómo los sistemas de estándares y los modelos de Un estudio realizado en 2016 sobre los ataques reportados
evaluación abordan los problemas de ciberseguridad en contextos en las noticias mediante analítica de datos reflejó que la
industriales. Finalmente, nos basaremos en estos estudios de caso distribución de incidentes de ciberseguridad se ha multiplicado
para intentar comprender los desafíos de ciberseguridad son incesantemente en estos entornos (Véase Figura 1 [1]).
afrontados a nivel normativo y de las tecnologías
deciberseguridad en estos contextos industriales. Paralelamente, desde 2017 hasta 2020, el gasto de las
empresas en seguridad de Internet de las Cosas Industrial (IIoT,
Palabras Clave – Internet de las Cosas Industrial; IIoT; por sus siglas en inglés) aumentará en un 50% debido a este
ciberseguridad; estándares; modelos de evaluación. crecimiento de los ataques a infraestructuras industriales y las
crecientes presiones regulatorias [3].
Abstract — This paper puts privacy cybersecurity protection into
framework of an Internet of Things industrial environment
(IIoT) and analyzes on two tools’ groups in particular: (1)
Standards and technical norms specifically designed to be applied
in industrial environments, and (2) assessment tools for
cybersecurity of Intermet of Things (IoT) devices usable in
industrial infrastructures and environments. These case studies
show the cybersecurity challenges and concerns triggered by
these limited technologies and how they are addressed by
regulations, standards, and technical mechanisms. The goal of
these case studies is to illustrate how regulation and technologies
attempt to protect the cybersecurity interests in industrial

978-1-7281-5555-5/19/$31.00 ©2019 IEEE

Authorized licensed use limited to: UNIVERSITY OF BIRMINGHAM. Downloaded on June 14,2020 at 17:59:33 UTC from IEEE Xplore. Restrictions apply.

Brechas de seguridad en IoT
25%
20%
15%
10%
5%
0%
Figura 1. Distirbución de los principales ataques en ciberseguridad a
entornos de IoT en 2016 [1]
II. ESTÁNDARES
A. Multiplicación de iniciativas para la creación de
estándares y protocolos en ciberseguridad en IoT y
entornos industriales
La base económica del desarrollo de dispositivos de IoT, y
asimismo la explicación a su proliferación en entornos
industriales, es la ventaja económica que supone respecto a los
desarrollos ad hoc de productos o soluciones que requerían
programación específica y adaptada a una línea de montaje o
fábrica. La disponibilidad de productos en el mercado a precios
asequibles gracias a la globalización de la economía ha
facilitado que con muy poca inversión los entornos industriales
se hayan abierto a la incorporación masiva de dispositivos.
En este sentido, la proliferación de fabricantes ha sido
facilitada por la paralela multiplicación de estándares y
protocolos disponibles y tan populares como Zigbee [4] y Z-
Wave [5], junto a otros como DECT [6], EnOcean [7],
Homematic (BidCos) [8], RWE [9], Nanonet [10], Scatterweb
[11], o los estándares de cableado KNX (EIB/EN 50090) [12],
Loxone [13] han venido a unirse a los ya conocidos protocolos
Wlan o WiFi como 802.11n o 802.11ac más rápido para
2,4Ghz y 5 Ghz [14]. De este modo es frecuente encontrar
protocolos en industrias y hogares alternativamente similares.
No obstante, un estudio reciente de la Universidad de
Stanford y Avast sobre 83 millones de dispositivos de IoT les
ha permitido concluir que, pese a identificar y catalogar más de
14,000 fabricantes, solo un centenar produce el 94% de
dispositivos IoT [15].
Esta tendencia a la concentración de los fabricantes puede
facilitar los avances hacia marcos normativos generales que
faciliten la interoperabilidad.
B. Estándares IoT
La necesidad de asegurar modelos normativos que faciliten
la interoperabilidad como parámetro esencial de
funcionamiento de estos entornos ubicuos, ha llevado en 2016
a que el comité de normas internacional ISO/IEC JT1 [16]
constituya el subcomité 41 dedicado a elaborar y coordinar el
desarrollo de estándares en este ámbito tecnológico. Su alcance
se extiende a las redes de sensorización y los dispositivos
biométricos personales o wearables.
978-1-7281-5555-5/19/$31.00 ©2019 IEEE
Authorized licensed use limited to: UNIVERSITY OF BIRMINGHAM. Downloaded on June 14,2020 at 17:59:33 UTC from IEEE Xplore. Restrictions apply.
La labor principal de este subcomité es tratar de coordinar
las organizaciones que están tratando de generar estándares que
inciden en entornos IoT, y que incluyen organizaciones tan
diversas como la International Organization for Standardization
(ISO) [17], World Wide Web Consortium (W3C) [18], Internet
Engineering Task Force (IETF) [19], National Institute of
Standards and Technology (NIST) [20], The European Union
Agency for Cybersecurity (ENISA) [21], ITU
Telecommunication Standardization Sector (ITU-T) [22],
Association for Automatic Identification and Mobility (AIM)
[23], IoT Security Foundation, Industrial Internet Consortium
(IIC) [24], Open Connectivity Foundation (OCF) [25], Open
Geospatial Consortium (OGC) [26], Global Language of
Business (GS1) [27] y el International Council on Systems
Engineering (INCOSE) [28].
Estas organizaciones han generado más de cuarenta normas
técnicas de aplicabilidad IoT [1] y que intervienen
directamente en la seguridad de estos entornos, sin embargo,
presentan diferentes parámetros de medida, controles y
métricas. Esto constituye un problema ya que no existe una
librería o repositorio único, lo que resta transparencia a los
desarrolladores, que difieren en su nivel de conocimiento de las
normas aplicables o necesarias, cuando no del necesario
conocimiento técnico. En general el solapamiento y el caos
dificultan la usabilidad de las normas en materia de
ciberseguridad [1] [29].
En este sentido, la carencia de entidades de control y de
auditoría, en forma de laboratorios acreditados de
ciberseguridad, es una limitación para los miles de fabricantes
y más aún para los titulares de un sistema industrial que
quieran realizar una comprobación de origen de la
configuración segura de dispositivos conforme a este tipo de
estándares.
III. ANÁLISIS DE CASO DE UN MODELO DE EVALUACIÓN DE
LA CIBERSEGURIDAD MEDIANTE HERRAMIENTAS DE LIBRE
DISTRIBUCIÓN
Las recomendaciones esenciales en el desarrollo de un
sistema de IoT en entornos industriales que reúna las
condiciones necesarias de seguridad son tres [30]:
• Utilizar el modelado de amenazas, así como el árbol de
seguridad, y métodos contrastados para detectar
peligros, riesgos, vulnerabilidades y fallas;
• Establecer pautas de codificación claras y seguras, así
como verificar y analizar el código mediante una
combinación de vistas previas de pares y herramientas
de análisis;
• Realizar pruebas de penetración, por ejemplo, caja gris
y pruebas de software, firmware, hardware, protocolo
de configuración y, uso de radiofrecuencia (RF) para
detectar vulnerabilidades.
A. SecureGrid Hacking Tool Box (HTB)
Se ha utilizado para el análisis de caso un modelo de
evaluación mediante pen-testing construido por el centro
tecnológico TECNALIA [31] a partir de un conjunto de ocho
herramientas de libre distribución aplicables a grupos de
dispositivos electrónicos inteligentes (IEDs). Las herramientas gestión de activos, así como la visibilidad operacional y el
integradas en este modo incluyen las siguientes ocho control de plantas, depósitos, infraestructura y equipo dentro de
herramientas [32]: industrias intensivas en activos. El valor añadido de estas
herramientas trasciende los requisitos de ciberseguridad y está
TABLA I. HERRAMIENTAS DE PEN-TESTING INCLUIDAS EN diseñada para cumplir con los requisitos de seguridad,
SECUREGRID HTB protección y misión crítica asociados con los activos
Tabla industriales y sus entornos operativos. El software de la
Herramientas Descripción plataforma IIoT que reside en dispositivo RTU (Remote
Uso de "exploits" o código que puede Terminal Unit) como controladores, enrutadores, puntos de
Metasploit [33] explotar vulnerabilidades y permitir el acceso, puertas de enlace y sistemas informáticos de borde se
acceso a un sistema determinado. consideran todos ellos parte de una plataforma de IIoT
Realización de escaneo de aplicaciones distribuida.
web y detección de vulnerabilidades de
W3af [34]
tipo SQL-Injection, Cross-Site Scripting, Este tipo de herramientas, especialmente útiles para la
o fallos PHP. administración de la ciberseguridad en sistemas IoT en
Nmap [35] Escaneo de puertos. plataformas industriales, tiene una posición ventajosa en el
Hydra [36] conjunto de tecnologías ciberseguridad + IoT establecidas por
Realización de ataques de fuerza bruta.
Wafw00f [37] el cuadrante mágico de Gartner, como se aprecia en la Figura 2
Realización sniffering y filtering de red [3].
Ettercap [38] para ataques de tipo Man in The Middle
y de denegación de servicio (DoS).
Siege [39] Realización de pruebas de carga en
Slowloris [40] servidores y ataques DoS

Este modelo presenta la ventaja de reunir de modo

consistente y robusto un conjunto de pruebas, permitiendo
generar un informe de evaluación de entornos IoT en espacios
industriales. En este caso se ha diseñado para infraestructuras
de generación eléctrica tipo Smart Grid, y conforme a la norma
IEEE 1686 [41]. Este modelo de pen-testing se puede
modificar incorporando o sustituyendo alguna de sus
herramientas por otras. Herramientas de libre distribución
como Attify Os, Ubertooth o Killerbee permiten interceptar
comunicación y tráfico, así como realizar inyecciones de
paquetes de datos manipulados para comprobar la reacción de
los sistemas y dispositivos IoT.
La utilidad contrastada de un modelo de estas
características para monitorizar de modo sistemático
plataformas IoT es una base para el desarrollo de una Figura 2. Perspectiva tecnológica del cuadrante mágico de Gartner para
herramienta que complete el pen-testing con monitorización Ciberseguridad e IoT [3]
tipo SIEM [42] y permita integrar sus reportes con sistemas de
gestión de la ciberseguridad industrial. A. Propuesta de taxonomía básica de estándares en
ciberseguridad e IIoT
La posibilidad de generar modelos estandarizados a partir
de herramientas de libre distribución se revela como una Se ha analizado el conjunto de las principales 38 normas y
tendencia a explorar en el futuro. estándares técnicos de referencia para el desarrollo de
productos y soluciones IoT con aplicabilidad en entornos
IV. DEMANDA DE LA INDUSTRIA HACIA SOLUCIONES QUE industriales. Con base, en este análisis, se han establecido
GESTIONEN Y MONITORICEN LA CIBERSEGURIDAD EN cuatro dimensiones o parámetros que permiten seleccionar la
ENTORNOS IIOT idoneidad del modelo desde el punto de vista de un usuario o
una organización. Con la finalidad de poder desplegar un
De acuerdo con Gartner, para fines de 2020, las plataformas marco de confianza para la configuración segura de su sistema
de Internet de las Cosas (IoT) en las instalaciones industriales, IoT y una funcionalidad de monitorización y evaluación
junto con la informática de vanguardia, representarán hasta el (interna o realizada por terceras entidades). Además de
60% de la IoT Industrial (IIoT), respecto a menos del 10% que retroalimentar el ciclo de mejora continua exigible a sistemas
suponen en la actualidad. La falta de plataformas atractivas en de gestión de ciberseguridad en general [43]. En la Figura 3, se
el mercado inducirá al 15% de los fabricantes de herramientas muestra una propuesta de pertinencia de los principales
de ciberseguridad a desarrollar o adquirir plataformas IoT estándares en función de su adecuación a sistemas IoT en
(representando menos del 1% en la actualidad) [3]. entornos industriales.
Las plataformas IIoT son un conjunto de capacidades de En esta dimensión se asigna un peso a los estándares en
software integradas, para mejorar la toma de decisiones de virtud de sus propiedades de congruencia, suficiencia,

978-1-7281-5555-5/19/$31.00 ©2019 IEEE

Authorized licensed use limited to: UNIVERSITY OF BIRMINGHAM. Downloaded on June 14,2020 at 17:59:33 UTC from IEEE Xplore. Restrictions apply.
generalización y claridad respecto a entornos industriales. Se Consortium (W3C) [18], para desarrollar un estándar web
dispone de modelos normativos como la ISO 27001:2015 que común, así como con la iniciativa europea EEBus [45] que
tiene una importante versatilidad y un anexo de controles de promueve la estandarización en el IoT en todos los sectores,
ciberseguridad, pero que su excesivo carácter general no la incluyendo energía, hogares y edificios, y dispositivos
convierte en un estándar específicamente adecuado para este conectados como electrodomésticos. Otros intentos adoptan un
tipo de entornos. enfoque sincrético [46] [47] en la línea de la interoperabilidad,
aunque de nuevo corren el riesgo de solapar librerías de
Modelos normativos como ISO/IEC 15408-Common normas.
Criteria [44] se han demostrado muy robustos aunque el
excesivo coste de implantación y certificación supone una Basado en programación XML, LsDL se puede usar en
barrera para su extensión a nivel industrial, quedándose redes LoRa, wi-fi y ethernet, incluso han desarrollado un
reservados para uso eminentemente de consumo estratégico en producto propio de transmisión en el espectro de radio sub-
las industrias militar y de seguridad del estado. GHz en el que se ejecutan muchos dispositivos IoT y asimismo
utiliza tecnologías estándar de Internet como IPv6. En
A la cabeza por su versatilidad y adecuación se encuentra cualquier caso, la seguridad del despliegue de redes dependerá
el estándar IEEE 1686, que, combinado con la familia de de la configuración adecuada y de la prevención de
estándares IEEE se revela uno de los más versátiles y vulnerabilidades conocidas, por lo que el despliegue de IPv6
aplicables. Este estándar dispone de un Anexo que permite condiciona de base la seguridad de una red de IIoT [48].
realizar un completo Checklist de medidas a nivel de
comprobación de seguridad para dispositivos IoT en entornos B. Vulnerabilidad de los protocolos estándar de
industriales. En realidad, denominada Table of Compliance, lo comunicación de dispositivos industriales
que recoge son 136 puntos de comprobación que las cláusulas Existen diversos protocolos de comunicación, dentro de los
del estándar exigen regulación con unas condiciones mínimas. cuales se pueden destacar los siguientes:
Aunque el estándar se ha desarrollado pensando en entornos
industriales específicamente vinculados al ámbito de las En primer lugar, el protocolo de comunicación más
infraestructuras críticas, su aplicabilidad a cualquier tipo de extendido en entornos industriales continúa siendo modbus
contexto industrial es altamente recomendable ya que somete a [49]. Una búsqueda sencilla en plataformas web de sistemas
los dispositivos electrónicos inteligentes a un chequeo vulnerables como Shodan [50] o Censys [51] indican que el
exhaustivo de su configuración de seguridad. No obstante, la 40% de los dispositivos utilizan este protocolo. Éste, trabaja en
parametrización de controles de auditoría supone un esfuerzo el nivel 7 del Modelo OSI con una arquitectura
en materia de costes y la trazabilidad de los controles depende cliente/servidor. Además, su diseño se remonta a 1979 para
de la fiabilidad del evaluador. controladores lógicos programables (PLCs). Por lo que es un
protocolo de comunicaciones estándar de facto en sistemas
industriales por su mayor disponibilidad para la conexión de
Sistemas IEEE Std 1686-2013 Standard for Intelligent dispositivos electrónicos industriales en general. Sin embargo,
IoT ETSI TR 103 306:
Electronic Devices (IED) Cyber Security Capabil.
su bien documentada vulnerabilidad [52] le convierte en un
IEEE IEEE Std 1667-2015 Standard for
Global Cyber Security
Ecosystem
Discovery, Authen ca on, and Authoriza on in
Host A ach- ments of Storage Devices
elemento de debilitación per se para los sistemas de control
y otros industrial. Por lo tanto, la indisponibilidad de protocolos de
comunicación seguros resulta especialmente grave.
IETF Open Authen ca on
IETF IP Security Maintenance and En segundo lugar, el protocolo más común es dnp3 [53],
GSMA IoT Security Extensions
Guidelines IETF Secure Inter-Domain Rou ng
específicamente diseñado para comunicaciones entre
NIST Interagency Report otras dispositivos electrónicos inteligentes y estaciones de control.
(NISTIR) 7977 Este protocolo de tres capas (enlace, aplicación y transporte) se
ISO/IEC 15408-Common ENISA Cri cal encuentra especialmente extendido en el sector eléctrico y su
Criteria Infrastructure and Services
antigüedad le asignó de origen un diseño no seguro [54].
IEC 27019 Otros protocolos frecuentes incluyen BACnet 575 [55] para
ISO 27001
sistemas de detección, con servicios tales como Who-Is, I-am,
Who-Has, I-Have, Read-Property y Write-Property que pueden
ser usados por los atacantes para la lectura o escritura de datos;
Sistemas Industriales o el protocolo Niagara Fox 274 [56] que se utiliza para la
automatización de infraestructuras, a nivel de aplicación, y que
Figura 3. Propuesta de taxonomía básica de los principales modelos
normativos en Ciberseguridad e IIot (Elaboración propia)
no está diseñado para realizar accesos externos, lo que lo
convierte en un objetivo asequible para intrusiones.
Una de las tendencias más interesantes es la apuesta por C. Creciente sofisticación de los ataques a Sistemas de
desarrollar un estándar de comunicación universal e Control Industrial
interoperable y que facilite el despliegue de una capa de
seguridad única. Este es el caso de la iniciativa del protocolo Además de la debilidad de los protocolos se ha unido la
desarrollado por la empresa Lemonbeat con su Lemonbeat proliferación de ataques dirigidos contra los sistemas de control
Smart Device Language (LsDL) [30], y que está trabajando industrial, que explotan de forma sistemática las
con Web of Things Interest Group, parte del World Wide Web vulnerabilidades de configuración por defecto de los entornos

978-1-7281-5555-5/19/$31.00 ©2019 IEEE

Authorized licensed use limited to: UNIVERSITY OF BIRMINGHAM. Downloaded on June 14,2020 at 17:59:33 UTC from IEEE Xplore. Restrictions apply.
industriales. El tipo de ataque denominado Amenaza
Persistente Avanzada (APT, en inglés) tempranamente se
orientó a entornos industriales, como la denominada APT1
[57], pero en el periodo 2010-2012 grupos como Sandworm
[58] comienzan a diseñar más APTs y aparece el primer
software malicioso diseñado para Sistemas de Control
Industrial (ICS, en inglés): Stuxnet [59]. Entre 2013 y 2015, un
nuevo grupo conocido como Dragonfly [60] también elige este
vector de ataque y aparecen nuevas formas de malware como
Blackenergy2 y Havex [61]. El ataque dirigido a una central
metalúrgica en Alemania repite la sombra de Stuxnet. En los
últimos tres años aparecen más y más grupos y APTs
originadas en gobiernos, el grupo 7 Unique, y malware como
Crashoverride y Trisis, que atacan a distribuidoras eléctricas y
factorías petroquímicas respectivamente [62].
En resumen, en los últimos años ha crecido la preocupación
porque los ataques cibernéticos claramente se dirigen a realizar
daño humano mediante el boicot de infraestructuras esenciales
y se suceden los ataques a redes de distribución energética. Un
informe realizado por Drago’s en 2017 reportó que el 64% de
las vulnerabilidades identificadas en los sistemas de control
industrial a nivel global no pudieron ser eliminadas, y un 72%
de los ataques que recibieron no pudieron ser mitigados [63].
V. CONCLUSIONES
La seguridad de los entornos IoT genera interesantes
diferencias respecto a los sistemas tecnológicos tradicionales
[1]:
• Una mayor complejidad;
• Seguridad distribuida en la red;
• Integración de software y hardware innovadores;
• Una nueva arquitectura de software;
• Más campos para los vectores de ataque potenciales.
Esta mayor accesibilidad a los atacantes incluye desde los
escenarios de ataques mediante ingeniería social hasta los
ataques a redes que presentan numerosas vulnerabilidades a
nivel de protocolos de comunicación débiles o en virtud de
configuraciones por defecto de los productos intrínsecamente
vulnerables.
Cualquier riesgo en un punto único puede poner en peligro
a toda la red y a los sistemas esenciales y por ello, se deben en
tener en cuenta las siguientes consideraciones:
• El diseño de arquitecturas de ciberseguridad en
sistemas IIoT requiere de la combinación de Sistemas
de Gestión de la Ciberseguridad (SGSI) que incluyan
específicamente modelos normativos contrastados y de
referencia para aquellos dispositivos.
• La seguridad debe partir de la planificación previa de
una red IoT y debe desarrollarse un sistema de
seguridad de extremo a extremo con múltiples capas.
• La IoT debe evolucionar los protocolos y sacar ventaja
de las características del transporte por capa física de
las comunicaciones móviles inalámbricas. La adopción
de protocolos como IPv6 requieren asimismo de
978-1-7281-5555-5/19/$31.00 ©2019 IEEE
Authorized licensed use limited to: UNIVERSITY OF BIRMINGHAM. Downloaded on June 14,2020 at 17:59:33 UTC from IEEE Xplore. Restrictions apply.
diseños estandarizados que aseguren sus evidentes
ventajas sobre protocolos más antiguos.
• La aplicación de normas y tecnologías estandarizadas
de seguridad para autenticación, cifrado y transmisión
segura con el fin de garantizar la calidad de la
transmisión, requiere protocolos contrastados como
IEEE 1686-2013.
• En lugar de apostar por modelos centrados en la
protección de cada elemento de un entorno IoT, como
realiza Common Criteria, se debe priorizar la
protección de los componentes de la arquitectura.
Según Gartner [3], la seguridad en dispositivos IoT está en
fase de desarrollo, lo cual llevará entre 5 y 10 años hasta que
llegue a su mayor impacto. Además, este interés se verá
acrecentado pues la seguridad es la principal barrera para la
adopción de IoT. Las oportunidades que se abren para este
sector de las tecnologías de la información y la comunicación
son proporcionales a los retos que supone el avance hacia
modelos normativos universales y nuevos estándares de
comunicación interoperables, pero principalmente asegurables.
REFERENCIAS BIBLIOGRÁFICAS
[1] F. A. Reusch, “Remarks to the security of Web of Things,” July 2016
[Digests F2F Meeting W3C, Web of Things].
[2] J. Newell, “Securing the IIoT,” Environmental Engineering, Oct 2017,
Vol.30(5), p.49.
[3] B. Lheureux et al.. Magic Quadrant for Industrial IoT Platforms,
Stamford, CT: Gartner, 2018.
[4] Zigbee Alliance [en línea] [fecha de consulta: 28 septiembre 2019].
Disponible en: https://zigbee.org/
[5] Z-Wave Alliance [en línea] [fecha de consulta: 28 septiembre 2019].
Disponible en: https://z-wavealliance.org/
[6] Digital Enhanced Cordless Telecommunications (DECT) [en línea]
[fecha de consulta: 28 septiembre 2019]. Disponible en:
https://www.etsi.org/technologies/dect
[7] EnOcean Alliance [en línea] [fecha de consulta: 28 septiembre 2019].
Disponible en: https://www.enocean-alliance.org/what-is-enocean/
[8] Bidirectional Communication Standard (BidCos) [en línea] [fecha de
consulta: 28 septiembre 2019]. Disponible en:
https://ref.homegear.eu/family.html?familyLink=homematicbidcos&fam
ilyName=HomeMatic+BidCoS
[9] RWE SmartHome [en línea] [fecha de consulta: 28 septiembre 2019].
Disponible en: http://www.rwe.com/web/cms/en/113648/rwe/press-
news/press-release/?pmid=4013529
[10] Gardaševi, Gordana, et al. The IoT architectural framework, design
issues and application domains. Wireless personal communications,
2017, vol. 92, no 1, p. 127-148.
[11] Scatterweb [en línea] [fecha de consulta: 28 septiembre 2019].
Disponible en: https://www.mi.fu-berlin.de/inf/groups/ag-
tech/projects/ScatterWeb/index.html
[12] KNX (EIB/EN 50090) [en línea] [fecha de consulta: 28 septiembre
2019]. Disponible en:
https://www2.knx.org/uy/knx/tecnologia/estandarizacion/index.php
[13] Loxone [en línea] [fecha de consulta: 28 septiembre 2019]. Disponible
en: https://www.loxone.com/enen/kb/glossary/
[14] IEEE 802.11ac-2013 [en línea] [fecha de consulta: 28 septiembre 2019].
Disponible en: https://standards.ieee.org/standard/802_11ac-2013.html
[15] K, Deepak, et al. All Things Considered: An Analysis of IoT Devices on
Home Networks. En 28th {USENIX} Security Symposium ({USENIX}
Security 19). 2019. p. 1169-1185.
[16] ISO/IEC JTC 1, Information Technology [en línea] [fecha de consulta:
28 septiembre 2019]. Disponible en: https://www.iso.org/isoiec-jtc-
1.html
[17] International Organization for Standardization (ISO) [en línea] [fecha de
consulta: 28 septiembre 2019]. Disponible en:
https://www.iso.org/home.html
[18] World Wide Web Consortium (W3C) [en línea] [fecha de consulta: 28
septiembre 2019]. Disponible en: https://www.w3.org/
[19] Internet Engineering Task Force (IETF) [en línea] [fecha de consulta: 28
septiembre 2019]. Disponible en: https://www.ietf.org/
[20] National Institute of Standards and Technology (NIST) [en línea] [fecha
de consulta: 28 septiembre 2019]. Disponible en: https://www.nist.gov/
[21] European Union Agency for Cybersecurity (ENISA) [en línea] [fecha de
consulta: 28 septiembre 2019]. Disponible en:
https://www.enisa.europa.eu/
[22] ITU Telecommunication Standardization Sector [en línea] [fecha de
consulta: 28 septiembre 2019]. Disponible en:
https://www.itu.int/en/ITU-T/Pages/default.aspx
[23] Association for Automatic Identification and Mobility (AIM) [en línea]
[fecha de consulta: 28 septiembre 2019]. Disponible en:
https://www.aimglobal.org/
[24] IoT Security Foundation, Industrial Internet Consortium (IIC) [en línea]
[fecha de consulta: 28 septiembre 2019]. Disponible en:
https://www.iiconsortium.org/
[25] Open Connectivity Foundation (OCF) [en línea] [fecha de consulta: 28
septiembre 2019]. Disponible en: https://openconnectivity.org/
[26] Open Geospatial Consortium (OGC) [en línea] [fecha de consulta: 28
septiembre 2019]. Disponible en: https://www.opengeospatial.org/
[27] Global Language of Business (GS1) [en línea] [fecha de consulta: 28
septiembre 2019]. Disponible en: https://www.gs1.org/
[28] International Council on Systems Engineeering (INCOSE) [en línea]
[fecha de consulta: 28 septiembre 2019]. Disponible en:
https://www.incose.org/
[29] R. Ileszczyna, “A review of standards with cybersecurity requirements
for smart grid,” Computers & Security, 2018, vol. 77, p. 262-276.
[30] Lemonbeat, GMBH, Overcoming the hurdle of IoT security.
Whitepaper. Dortmund, Germany, 2019.
[31] Fundación Tecnalia Research & Innovation [en línea] [fecha de
consulta: 28 septiembre 2019]. Disponible en:
https://www.tecnalia.com/es/
[32] I. Angulo et al., “Securegrid, el hacking ético aplicado a la mejora de la
seguridad en infraestructuras críticas de la red eléctrica”, Digests V
Congreso de Smart Grids, 2019, in press.
[33] Metasploit Framework [en línea] [fecha de consulta: 28 septiembre
2019]. Disponible en: https://www.metasploit.com/
[34] w3af - Open Source Web Application Security Scanner [en línea] [fecha
de consulta: 28 septiembre 2019]. Disponible en: http://w3af.org/
[35] Nmap: the Network Mapper - Free Security Scanner [en línea] [fecha de
consulta: 28 septiembre 2019]. Disponible en: https://nmap.org/
[36] THC-Hydra | Penetration Testing Tools [en línea] [fecha de consulta: 28
septiembre 2019]. Disponible en: https://tools.kali.org/password-
attacks/hydra
[37] Identify Web Application Firewall: WAFW00F [en línea] [fecha de
consulta: 28 septiembre 2019]. Disponible en:
https://pypi.org/project/wafw00f/
[38] Ettercap [en línea] [fecha de consulta: 28 septiembre 2019]. Disponible
en: https://www.ettercap-project.org/
[39] Siege [en línea] [fecha de consulta: 28 septiembre 2019]. Disponible en:
https://github.com/JoeDog/siege
[40] Slowloris [en línea] [fecha de consulta: 28 septiembre 2019]. Disponible
en: https://github.com/gkbrk/slowloris
[41] IEEE 1686-2013 - IEEE Standard for Intelligent Electronic Devices
Cyber Security Capabilities [en línea] [fecha de consulta: 28 septiembre
2019]. Disponible en: https://standards.ieee.org/standard/1686-
2013.html
[42] Miller, David, et al. Security information and event management (SIEM)
implementation. McGraw-Hill, 2011.
[43] M. Bañón et al. “SC27 de AENOR: nuevos horizontes en el objetivo
estratégico de crear estándares útiles de seguridad de la información,”
Revista SIC: ciberseguridad, seguridad de la información y privacidad,
2013, n. 104, p. 76-77.
[44] ISO/IEC 15408-1:2009-Information technology-Security techniques-
Evaluation criteria for IT security-Part 1 [en línea] [fecha de consulta: 28
septiembre 2019]. Disponible en: Introduction and general model:
https://www.iso.org/standard/50341.html
[45] EEBUS | Globale Sprache für das Internet of Things:
https://www.eebus.org/
[46] “Lonmark International, Echelon Corporation, the European Committee
for Standardization Technical Committee TC-247 and Lonmark
Germany Plan to Develop a New Control Networking Standard for the
Industrial Internet of Things (IIoT)”. Quality, vol. 55, no. 5, 2016, p. 13.
[47] “Industrial Internet Consortium Track and Trace Testbed Generates
Requirements for New IIoT Standard.” ICT Monitor Worldwide, 2018,
pp. ICT Monitor Worldwide, Oct 17, 2018.
[48] D. Holder, "Upgrading the Net." ITNOW 44.3, 2002, pp. 26-27.
[49] Modbus Organization [en línea] [fecha de consulta: 28 septiembre
2019]. Disponible en: http://www.modbus.org/
[50] Shodan [en línea] [fecha de consulta: 28 septiembre 2019]. Disponible
en: https://www.shodan.io/
[51] Censys [en línea] [fecha de consulta: 28 septiembre 2019]. Disponible
en: https://censys.io/
[52] Samtani, Sagar, et al. Identifying SCADA vulnerabilities using passive
and active vulnerability assessment techniques. En 2016 IEEE
Conference on Intelligence and Security Informatics (ISI). IEEE, 2016.
p. 25-30.
[53] DNP- Distributed Network Protocol [en línea] [fecha de consulta: 28
septiembre 2019]. Disponible en: https://www.dnp.org
[54] Faruk, A. B. M. Testing and exploring vulnerabilities of the applications
implementing DNP3 protocol. 2008. Tesis de Maestría. Institutt for
telematikk.
[55] BACnet Protocol [en línea] [fecha de consulta: 28 septiembre 2019].
Disponible en: http://www.bacnet.org/
[56] Niagara Framework [en línea] [fecha de consulta: 28 septiembre 2019].
Disponible en: https://www.tridium.com/es-mx/products-
services/niagara-ax
[57] Rid, Thomas; Buchanan, Ben. Attributing cyber attacks. Journal of
Strategic Studies, 2015, vol. 38, no 1-2, p. 4-37.
[58] Hultquist, John. Sandworm team and the ukrainian power authority
attacks. 2016-01-07)[2016-06-14]. https://www. isightpartners.
com/2016/01/ukraine-andsand worm-team, 2016.
[59] Langner, Ralph. Stuxnet: Dissecting a cyberwarfare weapon. IEEE
Security & Privacy, 2011, vol. 9, no 3, p. 49-51.
[60] Langill, Joel T. Defending against the dragonfly cyber security attacks.
Retrieved, 2014, vol. 11, p. 2015.
[61] Khan, Rafiullah, et al. Threat Analysis of BlackEnergy Malware for
Synchrophasor based Real-time Control and Monitoring in Smart Grid.
ICS-CSR, 2016, vol. 16, p. 1-11.
[62] Greenberg, Andy. 'Crash Override': The Malware That Took Down a
Power Grid. URL http://bit. ly/2raojOf, Wired Magazine, retrieved,
2017, p. 09-20.
[63] Dragos, Industrial Controls System Vulnerabilities, Year in review 2017
[en línea] [fecha de consulta: 28 septiembre 2019]. Disponible en:
https://dragos.com/media/2017-Review-Industrial-Control-
Vulnerabilities.pdf

978-1-7281-5555-5/19/$31.00 ©2019 IEEE

Authorized licensed use limited to: UNIVERSITY OF BIRMINGHAM. Downloaded on June 14,2020 at 17:59:33 UTC from IEEE Xplore. Restrictions apply.