Capítulo 16 — Arquitectura de seguridad
Mapa de la lección
Lección 16 publicada. Mapa, ejemplo, EX046.
flowchart TD
N0["Resultados de aprendizaje"]
N1["16.1 Los niveles de Purdue como mapa inicial"]
N2["16.2 La DMZ industrial"]
N3["16.3 Niveles de seguridad"]
N4["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX046"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["16.1 Los niveles de Purdue como mapa inicial"]
N2["16.2 La DMZ industrial"]
N3["16.3 Niveles de seguridad"]
N4["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX046"]
[Resultados de aprendizaje]
|
v
[16.1 Los niveles de Purdue como mapa inicial]
|
v
[16.2 La DMZ industrial]
|
v
[16.3 Niveles de seguridad]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX046]
Resultados de aprendizaje
Usted podrá (1) situar los activos de LDHP en los niveles de referencia de Purdue; (2) diseñar una DMZ entre las zonas corporativa y de control; (3) asignar niveles de seguridad objetivo a las zonas con los conceptos de IEC 62443-3-2; y (4) explicar la defensa en profundidad sin afirmar que una sola capa sea suficiente.
16.1 Los niveles de Purdue como mapa inicial
El modelo de Purdue numera los niveles desde el proceso físico (0), pasando por sensores y actuadores (1), control de supervisión (2) y operaciones del emplazamiento (3), hasta la empresa (4–5). Es antiguo e imperfecto —los servicios en la nube y las pasarelas de IIoT difuminan los niveles—, pero ofrece un vocabulario compartido. En LDHP, los transmisores y la caldera están en los niveles 0–1, PLC-H y SIS-H en el nivel 1, el SCADA y el HMI en el nivel 2, HIST-1 en el nivel 3, y facturación y correo electrónico en el nivel 4.
El valor del mapa está en los dispositivos de LDHP que no encajan: las pasarelas de contadores y la nube de facturación quedan fuera de los niveles, y SIS-H comparte el nivel 1 con PLC-H aunque necesita permanecer independiente de él.
16.2 La DMZ industrial
Entre los niveles 3 y 4 se sitúa una zona desmilitarizada que alberga los sistemas que necesitan ambos lados: una réplica del historiador, un servidor de parches, un servidor de salto para el acceso remoto. La regla es que ninguna sesión atraviesa la DMZ de extremo a extremo; los usuarios corporativos se conectan a servicios de la DMZ, y los sistemas de la zona de control envían datos a los servicios de la DMZ o estos los recogen. NIST SP 800-82r3 describe este patrón en su análisis de la arquitectura de defensa en profundidad.
En LDHP, la DMZ albergaría la réplica del historiador que leen facturación y analítica, el servidor de parches para HMI-1 y el servidor de salto al que llegan las sesiones de los proveedores antes de cualquier sistema de la zona de control.
16.3 Niveles de seguridad
IEC 62443 define los niveles de seguridad SL 1–4 según el atacante al que debe resistir una zona, desde la vulneración casual o fortuita (SL 1) hasta medios sofisticados con recursos amplios (SL 4). La evaluación de riesgos fija un nivel objetivo (SL-T) por zona; los componentes necesitan entonces capacidades (SL-C) que, junto con medidas compensatorias, lo alcancen (SL-A). La propuesta de Maya fija SL-T 3 para la zona de control de calderas, porque su compromiso puede cortar el calor a miles de hogares, SL-T 2 para la zona de contadores y ningún conducto enrutable para SIS-H. El SL-C propio de PLC-H es bajo, ya que no puede autenticar a los clientes Modbus, así que alcanzar SL-A 3 depende de los controles compensatorios que lo rodean.
Ejemplo resuelto (LDHP sintética)
Maya propone SL-T 3 para la zona de control de calderas (PLC-H, HMI-1), SL-T 2 para la zona de contadores IoT, y mantiene SIS-H como zona propia sin ningún conducto enrutable. Justificación: el compromiso de la zona de control puede provocar la pérdida de calefacción en miles de hogares; el compromiso de los contadores afecta sobre todo a la facturación y a la privacidad; el SIS debe seguir siendo independiente de ambas.
Caso sintético — Lakeside District Heating Plant. Las elecciones de nivel de seguridad ilustran el razonamiento; una evaluación real sigue el proceso documentado de IEC 62443-3-2.
Errores y límites
Una DMZ con una regla de cortafuegos «any → any» entre sus dos mitades es un dibujo, no un control. Los niveles de Purdue no dictan la confianza; un sensor de IIoT puede hablar directamente con un servicio en la nube y debe zonificarse según sus propias características.
Ejercicios — capítulo 16
- EX046 — Situar la pasarela de contadores. ¿Dónde situaría la pasarela de contadores IoT de LDHP en el modelo de Purdue o a su alrededor, y por qué no encaja limpiamente? Rúbrica: 3 = zona propia (a menudo junto al nivel 3/DMZ) porque une dispositivos de campo y un servicio en la nube; 2 = nivel sin motivo; 1 = nivel 1 dentro de la zona de control; 0 = nada.
- EX047 — Un conjunto de reglas para la DMZ. Escriba dos reglas de cortafuegos que permitan a los usuarios corporativos ver los datos del historiador sin alcanzar HIST-1. Rúbrica: 3 = HIST-1 → réplica en la DMZ (envío) y Enterprise → réplica (lectura), sin Enterprise → HIST-1; 2 = una; 1 = regla directa; 0 = nada.
- EX048 — Justificar SL-T 3. Justifique en dos frases SL-T 3 para la zona de control de calderas. Rúbrica: 3 = gravedad de la consecuencia y atacante cualificado plausible; 2 = uno de los dos; 1 = «es importante»; 0 = nada.
Síntesis del capítulo
La arquitectura es el arte de decidir qué sesiones pueden existir; las zonas, los conductos, una DMZ real y los niveles de seguridad hacen esas decisiones explícitas y comprobables.
Siga estudiando — capítulo 16 de 40
← Capítulo 15 (borrador) · Índice de capítulos del curso · Capítulo 17 (borrador) →