Capítulo 16 — Arquitectura de seguridad | Grado Seguridad de infraestructuras críticas y sectores

Aprendizaje gratuito y abierto para quienes desean proteger a las personas y la tecnología. No se necesita una cuenta para estudiar ni consultar las respuestas.

Mapa de la lección

Lección 16 publicada. Mapa, ejemplo, EX032.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["16.1 Principios que perduran"]
  N2["16.2 Una arquitectura de referencia por capas"]
  N3["16.3 Defensa en profundidad y confianza cero"]
  N4["16.4 Acceso remoto"]
  N5["16.6 Actividad práctica"]
  N6["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX032"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["16.1 Principios que perduran"]
  N2["16.2 Una arquitectura de referencia por capas"]
  N3["16.3 Defensa en profundidad y confianza cero"]
  N4["16.4 Acceso remoto"]
  N5["16.6 Actividad práctica"]
  N6["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX032"]

[Resultados de aprendizaje y conexión]
    |
    v
[16.1 Principios que perduran]
    |
    v
[16.2 Una arquitectura de referencia por capas]
    |
    v
[16.3 Defensa en profundidad y confianza cero]
    |
    v
[16.4 Acceso remoto]
    |
    v
[16.6 Actividad práctica]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX032]

Resultados de aprendizaje y conexión

Después de este capítulo usted podrá (1) aplicar los principios de diseño clásicos: mínimo privilegio, valores predeterminados a prueba de fallos, economía de mecanismos, mediación completa y separación de privilegios; (2) describir una arquitectura de referencia por capas para un operador de servicios críticos, desde la empresa hasta el campo; (3) explicar la defensa en profundidad y la confianza cero, y sus límites en la tecnología operativa; y (4) diseñar un acceso remoto seguro para fabricantes. Se apoya en los capítulos 7, 11 y 13 y prepara el capítulo 21 (modelos de sistemas) y el capítulo 24 (controles).

16.1 Principios que perduran

Los principios de Saltzer y Schroeder de 1975 siguen enmarcando la arquitectura de seguridad (Saltzer and Schroeder): economía de mecanismos (mantenerlo lo bastante simple como para poder verificarlo); valores predeterminados a prueba de fallos (denegar salvo que se permita); mediación completa (comprobar cada acceso); diseño abierto (la seguridad no debe depender del secreto del diseño); separación de privilegios (exigir más de una condición: dos personas, dos llaves); mínimo privilegio; mínimo mecanismo común (minimizar los componentes compartidos); y aceptabilidad psicológica (si es demasiado difícil de usar, la gente lo esquiva). Cada uno es una lente para revisar un diseño: «¿qué no está mediado aquí?, ¿qué se comparte?, ¿qué esquivarán los operadores a las 03:00?».

16.2 Una arquitectura de referencia por capas

Los operadores de servicios críticos suelen separar: la zona corporativa (correo electrónico, ofimática, sistemas de negocio); una DMZ para el intercambio de datos (réplicas del historiador, servidores de parches, servidores de salto para el acceso remoto); operaciones/control (servidores SCADA, HMI, estaciones de trabajo de ingeniería); campo (controladores, RTU, relés de protección); y los sistemas de seguridad funcional, que actúan de forma independiente para evitar daños. El tráfico entre capas pasa por conductos con reglas explícitas (capítulo 7). La guía de TO del NIST y la serie ISA/IEC 62443 describen estas arquitecturas (SP 800-82 Rev. 3; ISA/IEC 62443). Lo importante no es el dibujo, sino la propiedad que debe garantizar: ninguna vía directa desde internet o el correo electrónico hasta nada que controle un proceso físico.

16.3 Defensa en profundidad y confianza cero

La defensa en profundidad superpone controles independientes para que una sola falla no sea catastrófica: segmentación, bastionado, autenticación, supervisión, copias de seguridad, respaldo manual. Su debilidad es el modo común: las capas que comparten una cuenta de administrador o un servidor de gestión caen juntas. La confianza cero elimina la confianza implícita basada en la ubicación en la red; cada solicitud se autentica y autoriza por recurso (NIST SP 800-207). En la TI corporativa es una dirección sólida. En la TO, muchos dispositivos no pueden autenticar solicitudes individuales, por lo que las ideas de confianza cero se aplican sobre todo en los límites (usuarios, estaciones de trabajo de ingeniería, acceso remoto), mientras la segmentación protege a los dispositivos que no pueden protegerse por sí mismos.

16.4 Acceso remoto

Los fabricantes y los ingenieros necesitan acceso remoto; el acceso remoto sin control es una de las vías de entrada más comunes a la TO. Un patrón defendible: el acceso termina en un servidor de salto en la DMZ, nunca directamente en la zona de control; autenticación multifactor resistente al phishing; aprobación por sesión de los fabricantes por parte del operador de turno; cuentas de tiempo limitado; grabación de sesiones; y un interruptor de corte que la sala de control pueda usar. Cada elemento responde a una falla concreta.

El rediseño de CPN usa todos los elementos: un servidor de salto en la DMZ, cuentas de fabricantes activadas por ticket durante un máximo de cuatro horas, MFA resistente al phishing, sesiones grabadas y un interruptor en la sala de control. Lo que no puede impedir es el mal uso dentro de una sesión de fabricante aprobada de cuatro horas.

16.5 Ejemplo resuelto: el acceso remoto de CPN (sintético)

Este caso es sintético. El diseño actual de CPN: la pasarela VPN-G expuesta a internet (capítulo 5) coloca a los usuarios directamente en la red de control; tres fabricantes tienen cuentas permanentes; solo contraseñas. Rediseño: VPN-G actualizada y trasladada para terminar en un servidor de salto en la DMZ; cuentas de fabricantes desactivadas por defecto y activadas por ticket por el supervisor de la sala de control durante un máximo de cuatro horas; MFA resistente al phishing para el personal; sesiones grabadas en un servidor que los fabricantes no pueden alcanzar; un interruptor físico en la sala de control que desactiva el conducto de acceso remoto. Riesgo residual, declarado: una sesión de fabricante aprobada sigue gozando de confianza durante su ventana; la grabación facilita la detección y la rendición de cuentas, pero no impide el mal uso en tiempo real.

16.6 Actividad práctica

Dibuje la arquitectura de Calder Water del capítulo 7 con sus zonas y los tres conductos permitidos. Anote en cada conducto el principio al que sirve y el control que lo aplica. Marque el componente cuyo compromiso haría más daño y explique por qué. En la arquitectura de CW, cada conducto sirve a un principio: la vista HTTPS de la red corporativa a la DMZ aplica el mínimo privilegio, la lectura OPC UA del recolector de la DMZ aplica la mediación completa en el conducto, y el sondeo Modbus del SCADA al campo se apoya en los valores predeterminados a prueba de fallos al denegar todo lo demás. El servidor SCADA es un firme candidato a ser el componente cuyo compromiso más daño haría, porque puede ver y dar órdenes a todos los controladores de campo.

16.7 Errores comunes y límites

Diagramas de arquitectura que muestran las conexiones previstas, no las reales.
Máquinas con «doble conexión» que unen zonas y esquivan el conducto.
Capas que comparten administradores, credenciales o herramientas de gestión.
Aplicar eslóganes de confianza cero a dispositivos que no pueden autenticarse.

En el caso de CW, la conexión RDP del Lab 4 desde la red corporativa directamente al control es el primer error: una vía que el diagrama no muestra. Un portátil de ingeniería con doble conexión es la causa habitual. El servidor de gestión del CVH que administra cortafuegos, protección de endpoints y copias de seguridad con una sola cuenta (EX032) es el tercero. El cuarto se aplica a las RTU y los PLC.

Ejercicios — capítulo 16

EX031 — Revisión por principios. Objetivo: usar los principios como lentes de revisión. Entradas: el diseño original de acceso remoto de CPN del ejemplo resuelto de este capítulo. Pasos: nombre cuatro principios de Saltzer–Schroeder que infringe y cómo. Evidencia esperada: cuatro pares principio–infracción. Rúbrica: 3 = cuatro correctos (mínimo privilegio, valores predeterminados a prueba de fallos, mediación completa, separación de privilegios o mínimo mecanismo común) con una explicación específica; 2 = tres; 1 = uno o dos; 0 = nada.

EX032 — Modo común. Objetivo: encontrar dependencias compartidas ocultas. Entradas: el CVH tiene cortafuegos de segmentación, protección de endpoints y copias de seguridad, todo administrado desde un único servidor de gestión con una única cuenta de administrador del dominio. Pasos: explique el riesgo de modo común y proponga dos cambios. Evidencia esperada: explicación y cambios. Rúbrica: 3 = el compromiso de la cuenta o del servidor desactiva las tres capas; cambios como niveles y credenciales de administración separados y copias fuera de línea; 2 = un cambio; 1 = vago; 0 = nada.

Síntesis del capítulo

La arquitectura convierte los principios en propiedades aplicadas: ninguna vía directa desde internet hasta nada que mueva el mundo físico. Superponga controles independientes, vigile los modos comunes, aplique la confianza cero donde los dispositivos pueden participar y segmente donde no pueden, y trate el acceso remoto como el conducto más importante que hay que diseñar bien.