Capítulo 11 — Sistemas operativos
Mapa de la lección
Lección 11 publicada. Mapa, ejemplo, EX031.
flowchart TD
N0["Resultados de aprendizaje"]
N1["11.1 Windows y Linux dentro de la planta"]
N2["11.2 Matrices de soporte"]
N3["11.3 Listas de permitidos y control de soportes"]
N4["11.4 Evidencia con el mínimo privilegio"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX031"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["11.1 Windows y Linux dentro de la planta"]
N2["11.2 Matrices de soporte"]
N3["11.3 Listas de permitidos y control de soportes"]
N4["11.4 Evidencia con el mínimo privilegio"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX031"]
[Resultados de aprendizaje]
|
v
[11.1 Windows y Linux dentro de la planta]
|
v
[11.2 Matrices de soporte]
|
v
[11.3 Listas de permitidos y control de soportes]
|
v
[11.4 Evidencia con el mínimo privilegio]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX031]
Resultados de aprendizaje
Usted podrá (1) identificar dónde aparecen sistemas operativos de propósito general en una arquitectura de TO; (2) explicar por qué las matrices de soporte de los fabricantes limitan el bastionado; (3) aplicar listas de aplicaciones permitidas y control de soportes extraíbles; y (4) recoger evidencia de los equipos con el mínimo privilegio.
11.1 Windows y Linux dentro de la planta
Los PLC ejecutan firmware de tiempo real, pero los HMI, las estaciones de ingeniería, los historiadores y los servidores OPC ejecutan Windows o Linux. Estos equipos son donde aterrizan las cargas de phishing, las memorias USB infectadas y las herramientas de acceso remoto. NIST SP 800-82r3 los trata como activos de TO con restricciones de TO: puede que no se parcheen mensualmente, que ejecuten software certificado solo para una compilación antigua del sistema operativo y que se necesiten las veinticuatro horas. En LDHP son HMI-1, EWS-1 y HIST-1. EWS-1 es el que más importa, porque puede descargar lógica en PLC-H, y por eso la herramienta de AA22-103A que explota controladores de software es relevante incluso para una planta sin productos nombrados.
11.2 Matrices de soporte
El fabricante del HMI certifica una versión concreta del sistema operativo, un paquete de servicio y un producto antivirus. Aplicar un ajuste de bastionado no soportado —por ejemplo, desactivar un servicio que usa el entorno de ejecución del HMI— puede dejar a los operadores ante una pantalla en blanco durante una ola de frío. Por eso el bastionado sigue la secuencia de probar en banco, pasar por el comité de cambios y desplegar en una ventana, y las excepciones se documentan con controles compensatorios.
Para HMI-1, Maya propuso usar la lista de permitidos en modo de auditoría durante dos semanas antes de aplicarla, y el fabricante lo confirmó; eliminar la cuenta de administrador local compartida requería una cuenta de servicio para el entorno de ejecución, que ella documentó como excepción en lugar de imponer el cambio. Esa secuencia es la matriz de soporte en la práctica.
11.3 Listas de permitidos y control de soportes
La lista de aplicaciones permitidas solo autoriza ejecutables conocidos, lo que encaja con los HMI porque su conjunto de software rara vez cambia. El control de soportes extraíbles —quioscos de análisis, bloqueo del almacenamiento USB, soportes de transferencia firmados— aborda la forma más común en que el malware cruza un espacio de aire. Ambos son controles de equipo que figuran entre los requisitos de sistema de IEC 62443-3-3 para la protección frente a código malicioso (SR 3.2). La propuesta de Maya para HMI-1 aplicaba ambos: lista de permitidos en modo de auditoría durante dos semanas y luego en aplicación, y el almacenamiento masivo USB bloqueado salvo a través del quiosco de análisis. El periodo de auditoría importa porque enumera cada ejecutable que el entorno de ejecución del HMI arranca realmente, incluidos los que la documentación del fabricante olvidó, antes de bloquear nada.
11.4 Evidencia con el mínimo privilegio
Para una investigación, prefiera exportar el registro de eventos, la lista de software instalado y la lista de procesos en ejecución con una cuenta de solo lectura antes que obtener una imagen del disco de un HMI en funcionamiento. La imagen puede requerir tiempo de inactividad y copia recetas propietarias. En LDHP, un inicio de sesión sospechoso en HMI-1 durante una noche de invierno se investigaría primero a partir de exportaciones: el registro de eventos de Windows para el inicio de sesión, la lista de procesos que muestra si se ejecutaba el entorno del HMI u otra cosa, y la lista de software instalado comparada con la compilación certificada por el fabricante. Una imagen completa de HMI-1 supondría quitar a los operadores su pantalla, lo que requiere el acuerdo del jefe de turno y un plan para operar la caldera desde los controles locales.
Ejemplo resuelto (LDHP sintética)
HMI-1 de LDHP ejecuta una compilación de Windows certificada por su fabricante. Maya propone tres cambios: activar la lista de permitidos en modo de auditoría durante dos semanas y luego aplicarla; bloquear el almacenamiento masivo USB salvo a través del quiosco de análisis; y eliminar la cuenta de administrador local que usan todos los turnos y emitir cuentas nominativas. El fabricante confirma los dos primeros; el tercero requiere una cuenta de servicio para el entorno de ejecución, que ella documenta como excepción.
Caso sintético — Lakeside District Heating Plant. La respuesta del fabricante es inventada; los fabricantes reales publican sus propias guías de bastionado.
Errores y límites
Un modo de auditoría que nunca pasa a aplicación es puro teatro. Los análisis antivirus durante la carga máxima pueden ralentizar un HMI; prográmelos.
Ejercicios — capítulo 11
- EX031 — ¿Por qué primero el modo de auditoría? Explique el propósito de ejecutar la lista de permitidos en modo de auditoría antes de aplicarla en HMI-1. Rúbrica: 3 = descubrir los ejecutables legítimos sin bloquear las operaciones y después aplicar una lista revisada; 2 = parcial; 1 = «para probar»; 0 = nada.
- EX032 — Elegir un método de evidencia. Ante una sospecha de infección en HMI-1, elija entre la exportación en vivo y la imagen de disco y justifíquelo. Rúbrica: 3 = primero exportación en vivo de solo lectura; imagen solo si está justificada, permitida y programada; 2 = solo la elección; 1 = imagen de inmediato; 0 = nada.
- EX033 — Documentar una excepción de bastionado. Escriba el registro de excepción para la cuenta de servicio del entorno de ejecución. Rúbrica: 3 = motivo, control compensatorio, responsable, fecha de revisión; 2 = tres; 1 = solo el motivo; 0 = nada.
Síntesis del capítulo
Los equipos de propósito general son la capa más blanda de una planta: bastiónelos dentro del soporte del fabricante, controle qué se ejecuta y qué se conecta, e investíguelos con delicadeza.
Siga estudiando — capítulo 11 de 40
← Capítulo 10 (borrador) · Índice de capítulos del curso · Capítulo 12 (borrador) →