Capítulo 20 — Seguridad de TO, IoT y sistemas ciberfísicos: casos fundamentales
Mapa de la lección
Lección 20 publicada. Mapa, ejemplo, EX058.
flowchart TD
N0["Resultados de aprendizaje"]
N1["20.1 Red eléctrica de Ucrania, diciembre de 2015"]
N2["20.2 Mirai, 2016"]
N3["20.3 Planta de tratamiento de agua, febrero de 2021"]
N4["20.4 Leer los casos con cuidado"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX058"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["20.1 Red eléctrica de Ucrania, diciembre de 2015"]
N2["20.2 Mirai, 2016"]
N3["20.3 Planta de tratamiento de agua, febrero de 2021"]
N4["20.4 Leer los casos con cuidado"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX058"]
[Resultados de aprendizaje]
|
v
[20.1 Red eléctrica de Ucrania, diciembre de 2015]
|
v
[20.2 Mirai, 2016]
|
v
[20.3 Planta de tratamiento de agua, febrero de 2021]
|
v
[20.4 Leer los casos con cuidado]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX058]
Resultados de aprendizaje
Usted podrá (1) resumir tres incidentes documentados a partir de fuentes primarias; (2) extraer de cada uno la ruta de ataque y la lección defensiva; (3) distinguir lo que está confirmado públicamente de la especulación; y (4) relacionar cada caso con LDHP.
20.1 Red eléctrica de Ucrania, diciembre de 2015
La alerta IR-ALERT-H-16-056-01 del ICS-CERT de EE. UU. informa de que tres empresas regionales ucranianas de distribución de electricidad sufrieron ciberataques coordinados que causaron cortes que afectaron a unos 225.000 clientes. La alerta indica que los actores probablemente usaron credenciales legítimas obtenidas de antemano para el acceso remoto, borraron sistemas con el malware KillDisk, sobrescribieron algunos HMI y corrompieron el firmware de dispositivos de serie a Ethernet en las subestaciones. Se restableció el suministro, pero las empresas siguieron operando con restricciones. Lección: las credenciales robadas y el acceso remoto fueron la ruta, y la recuperación dependió de poder funcionar sin la automatización dañada.
20.2 Mirai, 2016
Antonakakis et al. («Understanding the Mirai Botnet», USENIX Security 2017) midieron una botnet que infectó cientos de miles de dispositivos IoT, en gran parte iniciando sesión por Telnet con credenciales de fábrica, y que después lanzó grandes ataques de denegación de servicio. Lección: las contraseñas por defecto universales a escala son un riesgo para la infraestructura, que es exactamente lo que prohíbe la disposición 5.1 de ETSI EN 303 645. El equivalente en LDHP son sus pasarelas de contadores: si se hubieran entregado con una misma contraseña por defecto para toda la flota, un escaneo al estilo de Mirai encontraría cada una de ellas alcanzable desde internet. MTR-B, en el capítulo 30, que no cumple la disposición 5.1, es el modelo de contador en esa situación.
20.3 Planta de tratamiento de agua, febrero de 2021
El aviso de CISA AA21-042A describe un acceso no autorizado al sistema SCADA de una planta de tratamiento de agua potable de EE. UU. a través de software de acceso remoto, con un intento de elevar los niveles de hidróxido de sodio. El personal de la planta advirtió el cambio y lo corrigió antes de que saltara la alarma del software SCADA. El aviso señala como debilidades probables un software de escritorio compartido y un sistema operativo al final de su vida útil. Lección: la vigilancia de los operadores importa, y las herramientas de acceso remoto forman parte de la superficie de ataque.
El equivalente en LDHP es su propia herramienta de escritorio remoto del proveedor siempre activa, que Maya sustituyó por sesiones intermediadas de cuatro horas.
20.4 Leer los casos con cuidado
Cada fuente documenta algunos hechos y no otros. Escriba lo que dice la fuente, cítela y marque todo lo demás como inferencia. Las versiones divulgativas a menudo añaden una certeza que el informe primario no tiene. La tabla de casos de Maya sigue esta regla. Para la planta de agua de 2021 registra solo lo que afirma AA21-042A —software de acceso remoto, escritorio compartido y un sistema operativo al final de su vida útil— y marca su equivalente en LDHP, la herramienta de escritorio remoto del proveedor siempre activa, como inferencia propia. Para Mirai, el método de infección procede de la medición de Antonakakis et al., no de resúmenes de prensa. Para Ucrania, la lección que extrae, mantener procedimientos documentados de arranque manual de las calderas, está etiquetada como recomendación para LDHP y no como hallazgo de la fuente.
Ejemplo resuelto (LDHP sintética)
Maya construye una tabla: caso, acceso inicial, efecto, qué lo detuvo, equivalente en LDHP. Para el caso del agua de 2021, el equivalente es la herramienta de escritorio remoto del proveedor siempre activa de LDHP (capítulo 13); para Mirai, las contraseñas por defecto de las pasarelas de contadores; para Ucrania, la necesidad de operar después de que se dañe la automatización: LDHP mantiene procedimientos documentados de arranque manual de las calderas.
Caso sintético — Lakeside District Heating Plant. Solo los equivalentes en LDHP son sintéticos; los tres casos proceden de las fuentes públicas citadas.
Errores y límites
Las afirmaciones de atribución de las noticias no forman parte de la evidencia de este capítulo. Las lecciones de los casos solo se generalizan cuando las condiciones coinciden.
Ejercicios — capítulo 20
- EX058 — Detalles de la fuente primaria. A partir de la alerta del ICS-CERT de 2016, indique el número aproximado de clientes afectados y una acción de los actores contra los dispositivos de campo. Rúbrica: 3 = ~225.000 y firmware de serie a Ethernet corrompido (o KillDisk en los HMI); 2 = uno; 1 = cifra incorrecta; 0 = nada.
- EX059 — El método de entrada de Mirai. ¿Qué explotó principalmente Mirai para infectar dispositivos y qué disposición de ETSI lo aborda? Rúbrica: 3 = credenciales por defecto por Telnet; disposición 5.1; 2 = uno; 1 = «un día cero»; 0 = nada.
- EX060 — Hecho frente a inferencia. Marque como hecho de la fuente o inferencia: (a) «un operador revirtió el cambio de hidróxido de sodio» (b) «el intruso pretendía un envenenamiento masivo». Rúbrica: 3 = (a) hecho de AA21-042A, (b) inferencia; 2 = uno; 1 = ambos hechos; 0 = nada.
Síntesis del capítulo
Lea los incidentes en fuentes primarias, separe los hechos del relato y convierta cada uno en una pregunta concreta sobre su propia planta.
Siga estudiando — capítulo 20 de 40
← Capítulo 19 (borrador) · Índice de capítulos del curso · Capítulo 21 (borrador) →