Capítulo 25 — Laboratorio I | Grado Seguridad de infraestructuras críticas y sectores

Aprendizaje gratuito y abierto para quienes desean proteger a las personas y la tecnología. No se necesita una cuenta para estudiar ni consultar las respuestas.

Mapa de la lección

Lección 25 publicada. Mapa, ejemplo, EX049.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["25.1 Propósito y reglas"]
  N2["25.2 La tarea"]
  N3["25.3 Método y reproducibilidad"]
  N4["25.4 Estructura de la nota"]
  N5["25.6 Rúbrica de evaluación"]
  N6["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX049"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["25.1 Propósito y reglas"]
  N2["25.2 La tarea"]
  N3["25.3 Método y reproducibilidad"]
  N4["25.4 Estructura de la nota"]
  N5["25.6 Rúbrica de evaluación"]
  N6["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX049"]

[Resultados de aprendizaje y conexión]
    |
    v
[25.1 Propósito y reglas]
    |
    v
[25.2 La tarea]
    |
    v
[25.3 Método y reproducibilidad]
    |
    v
[25.4 Estructura de la nota]
    |
    v
[25.6 Rúbrica de evaluación]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX049]

Resultados de aprendizaje y conexión

Después de este laboratorio usted podrá (1) combinar evidencias de inventario, flujos de red, vulnerabilidades y accesos en una única evaluación de un operador sintético; (2) registrar métodos, versiones y salidas para que otra persona pueda reproducir sus resultados; (3) separar hallazgos, interpretaciones y recomendaciones; y (4) evaluar su propio trabajo con una rúbrica. Integra los laboratorios 2, 4, 5 y 7 (capítulos 3, 7, 9 y 13) y los métodos de los capítulos 15, 23 y 24. Es el primer punto de control del proyecto del curso.

25.1 Propósito y reglas

Este laboratorio es una evaluación acotada de los operadores sintéticos de Calder que usa únicamente los laboratorios sin conexión del libro. Se aplican sus reglas de enfrentamiento (capítulo 10, actividad práctica): su propia computadora, sin acceso de red a sistemas reales, sin datos reales. La habilidad que se evalúa no es ejecutar código (esa es la parte fácil), sino reunir la evidencia en un juicio defendible y documentarlo para que otro estudiante pueda reproducirlo. Sus condiciones de parada también se aplican aquí: si algún script de laboratorio de Calder intenta acceder a la red, deténgase, registre el hash del script e infórmele a su tutor.

25.2 La tarea

Usted es becario de la County Resilience Partnership. Elabore una nota de evaluación de 1500 palabras que responda: «Considerando la evidencia disponible, ¿cuáles son las tres mejoras de seguridad de mayor prioridad para los operadores de Calder y qué confianza tenemos?». Use:

Lab 2 (inventario del CVH): dispositivos sin soporte y mal ubicados.
Lab 4 (flujos de CW): infracciones de la política de conductos.
Lab 5 (avisos de CPN): activos vulnerables, ordenados por explotación y exposición.
Lab 7 (revisión de accesos): cuentas huérfanas, inactivas, compartidas y tóxicas.

La pregunta pide tres prioridades para cuatro operadores, lo que obliga a comparar: una infracción de conducto en CW y una vulnerabilidad de la pasarela de CPN deben clasificarse una frente a otra por su consecuencia, no presentarse en listas separadas.

25.3 Método y reproducibilidad

Registre para cada laboratorio: el nombre del archivo y un hash SHA-256 del script que ejecutó (python3 -c "import hashlib,sys;print(hashlib.sha256(open(sys.argv[1],'rb').read()).hexdigest())" lab05.py), la versión de Python, la salida exacta y cualquier cambio que haya hecho. La reproducibilidad es evidencia: un lector que vuelve a ejecutar su script y obtiene la misma salida puede confiar en su sección de hallazgos sin tener que confiar en usted (Sandve et al., 2013). Si cambió la lista de versiones del Lab 5 para probar VPN-01 frente a otra versión con la corrección, el hash de su apéndice debe ser el de ese archivo editado, con el cambio indicado a su lado.

25.4 Estructura de la nota

Resumen: tres prioridades, una frase cada una, con el nivel de confianza (alto/medio/bajo) y su motivo.
Alcance y método: qué se examinó, cómo y qué no.
Hallazgos: solo hechos procedentes de las salidas (p. ej., «VPN-01 ejecuta la 9.1; la corrección es la 9.3; el aviso indica explotación»).
Análisis: razonamiento centrado primero en las consecuencias (capítulo 23): qué hallazgos podrían conducir a los peores resultados y para qué servicio.
Recomendaciones: cada una relacionada con hallazgos, con el tipo de control (capítulo 24) y un responsable.
Límites: tamaño de la muestra, datos sintéticos, afirmaciones no verificadas.
Apéndice: hashes, versiones, salidas.

«VPN-01 ejecuta la 9.1; la corrección es la 9.3» pertenece a los hallazgos; «por tanto, el acceso remoto de CPN es la prioridad 1» pertenece al análisis, donde el razonamiento sobre las consecuencias puede cuestionarse por separado.

25.5 Ejemplo resuelto: una prioridad, argumentada por completo (sintético)

Prioridad 1: actualizar y rediseñar el acceso remoto de CPN (confianza: alta). Hallazgo: VPN-01 (expuesto a internet) ejecuta una versión anterior a la corrección de una vulnerabilidad crítica explotada (Lab 5). Hallazgo: el diseño original sitúa a los usuarios remotos directamente en la red de control (capítulo 16). Análisis: esta es la ruta más corta desde internet hasta el control de los alimentadores; la consecuencia es la pérdida de control de la distribución, el resultado más grave del modelo de servicio de CPN (capítulo 21). Recomendación: actualización de emergencia a la 9.3 (correctivo/técnico; responsable: jefe de infraestructura de CPN, esta semana) y, después, terminar el acceso remoto en un servidor de salto de la DMZ con aprobación del proveedor por sesión (preventivo/técnico y procedimental; responsable: seguridad de TO de CPN, el próximo trimestre). Confianza: alta, porque el hallazgo procede directamente de los datos de versión y del aviso, y la consecuencia se deriva de la arquitectura. Límite: el laboratorio no puede mostrar si la vulnerabilidad ya ha sido explotada; se recomienda una evaluación de compromiso de VPN-01.

25.6 Rúbrica de evaluación

Tabla de la lección; desplázate para ver todas las columnas →

Criterio	3 (sólido)	2	1	0
Uso de la evidencia	Todo hallazgo es trazable hasta una salida de laboratorio	Mayoritariamente trazable	Algunas afirmaciones sin respaldo	Sin evidencia
Priorización	Primero las consecuencias, comparadas entre operadores	Razonada dentro de cada operador	Ordenada solo por etiquetas de gravedad	Ninguna
Recomendaciones	Relacionadas con hallazgos, tipificadas, con responsable y fecha	Relacionadas, sin responsables	Genéricas	Ninguna
Límites y confianza	Específicos y honestos	Genéricos	Simbólicos	Ausentes
Reproducibilidad	Hashes, versiones, salidas	Solo salidas	Parcial	Ninguna

La rúbrica premia los mismos hábitos que la prioridad resuelta: cada hallazgo trazado hasta una salida, consecuencias comparadas entre operadores, responsables y fechas en las recomendaciones, límites honestos y un apéndice reproducible. Una nota que obtiene un 3 en evidencia pero un 1 en priorización ha enumerado hallazgos sin juzgarlos.

25.7 Errores comunes y límites

Enumerar todos los hallazgos en lugar de priorizar.
Recomendaciones que no se derivan de ningún hallazgo.
Mezclar hechos e interpretaciones en la sección de hallazgos.
Afirmar una certeza que los datos sintéticos no pueden proporcionar.

Una nota que enumera los seis flujos del Lab 4, los cinco dispositivos sin soporte y todas las cuentas del Lab 7 ha cometido el primer error. Recomendar MFA para CW sin un hallazgo sobre las cuentas de CW es el segundo. Escribir «la conexión RDP es un intruso» en los hallazgos es el tercero. Afirmar una confianza alta sobre la explotación en el mundo real a partir de datos sintéticos es el cuarto.

Ejercicios — capítulo 25

EX049 — Prioridades 2 y 3. Objetivo: completar la evaluación. Entradas: laboratorios 2, 4 y 7. Pasos: escriba las prioridades 2 y 3 con el formato de la prioridad resuelta anterior. Evidencia esperada: dos prioridades argumentadas. Rúbrica: use la rúbrica de evaluación del laboratorio; 3 = p. ej., los flujos RDP corporativo→control y control→internet de CW investigados y cerrados (Lab 4), y las cuentas de bajas, tóxicas y de proveedores (Lab 7) o el aislamiento de los dispositivos clínicos sin soporte (Lab 2), cada una con razonamiento sobre las consecuencias, responsable y confianza; puntuaciones inferiores según la rúbrica.

EX050 — Comprobación de reproducibilidad. Objetivo: verificar el trabajo de un compañero. Entradas: el apéndice de un compañero (o el suyo, intercambiado). Pasos: vuelva a ejecutar cada script, compare hashes y salidas, y escriba una declaración de verificación de 100 palabras. Evidencia esperada: la declaración. Rúbrica: 3 = hashes y salidas comparados, cualquier discrepancia explicada (p. ej., script editado, versión de Python); 2 = solo salidas; 1 = declaración sin volver a ejecutar; 0 = nada.

Síntesis del capítulo

El Laboratorio I convierte ejercicios separados en un único juicio. Trace cada hallazgo hasta una salida reproducible, razone a partir de las consecuencias entre operadores, relacione las recomendaciones con los hallazgos y los responsables, y declare explícitamente la confianza y los límites.