Capítulo 26 — Seguridad de TO, IoT y sistemas ciberfísicos: métodos II
Mapa de la lección
Lección 26 publicada. Mapa, ejemplo, EX076.
flowchart TD
N0["Resultados de aprendizaje"]
N1["26.1 Diagramas de flujo de datos"]
N2["26.2 STRIDE por elemento"]
N3["26.3 Casos de abuso"]
N4["26.4 Relación con ATT&CK"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX076"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["26.1 Diagramas de flujo de datos"]
N2["26.2 STRIDE por elemento"]
N3["26.3 Casos de abuso"]
N4["26.4 Relación con ATT&CK"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX076"]
[Resultados de aprendizaje]
|
v
[26.1 Diagramas de flujo de datos]
|
v
[26.2 STRIDE por elemento]
|
v
[26.3 Casos de abuso]
|
v
[26.4 Relación con ATT&CK]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX076]
Resultados de aprendizaje
Usted podrá (1) aplicar un modelado de amenazas al estilo STRIDE a un diagrama de flujo de datos del sistema de contadores; (2) traducir las amenazas a técnicas de ATT&CK for ICS cuando proceda; (3) escribir casos de abuso con precondiciones; y (4) priorizar las mitigaciones frente a la clasificación por consecuencias del capítulo 23.
26.1 Diagramas de flujo de datos
Dibuje los procesos (círculos), los almacenes de datos (líneas paralelas), las entidades externas (cajas) y los flujos de datos (flechas), y después marque los límites de confianza donde los datos pasan de una zona a otra. El sistema de contadores de LDHP: contadores → pasarela (radio) → pasarela → nube de facturación (TLS) → nube → base de datos de facturación → réplica del historiador (exportación unidireccional para el equilibrado de la red). En LDHP, el enlace de radio de los contadores a la pasarela y el enlace ascendente TLS de la pasarela a la nube de facturación son límites de confianza, y también lo es la exportación unidireccional a la réplica del historiador. Cada límite es donde la tabla STRIDE de Maya hace sus preguntas; un diagrama sin ellos pondría las lecturas de los hogares y los datos de las calderas en la misma zona de confianza.
26.2 STRIDE por elemento
Suplantación (Spoofing), Manipulación (Tampering), Repudio (Repudiation), Divulgación de información (Information disclosure), Denegación de servicio (Denial of service) y Elevación de privilegios (Elevation of privilege) dan una lista de preguntas guía. En el enlace de radio contador–pasarela: suplantación (un contador falso), manipulación (lecturas alteradas), divulgación de información (consumo de los hogares). En la pasarela: elevación de privilegios a través de su interfaz web. STRIDE se diseñó para el software, así que añada una pregunta propia de TO: consecuencia física, ¿puede esta amenaza cambiar el suministro de calor?
La tabla de Maya produjo 14 amenazas en total. Las tres primeras por consecuencia fueron la toma de control de una pasarela que envía una configuración maliciosa a todos los contadores de su calle, la manipulación de las lecturas en tránsito y el compromiso de una cuenta en la nube que expone el historial de todos los hogares.
26.3 Casos de abuso
Un caso de abuso enuncia actor, precondición, acción y resultado. «Un inquilino con equipos de radio y conocimiento del protocolo de los contadores (precondición: no hay autenticación de mensajes en el enlace de radio) reproduce las lecturas más bajas del mes pasado (acción) para que se reduzca la factura (resultado)». Escribir las precondiciones hace evidente la mitigación: autenticar las lecturas y usar contadores, como en el capítulo 17. La reproducción del inquilino ocupa un lugar bajo en la tabla de Maya porque su resultado es una sola factura reducida; aun así, el caso de abuso importa porque el mismo contador ausente permitiría a un atacante con acceso a la pasarela reproducir las lecturas de toda una calle. El laboratorio de HMAC del capítulo 17 muestra la corrección: el mensaje reproducido se rechaza por su contador aunque su etiqueta sea correcta.
26.4 Relación con ATT&CK
No todas las amenazas de IoT tienen una técnica de ATT&CK for ICS, y no pasa nada. Cuando la tienen —pasarela alcanzada desde internet (T0883), servicios remotos abusados (T0886)—, registre el identificador para enlazarlo con la inteligencia de amenazas. Para el sistema de contadores de LDHP, T0883 corresponde a una interfaz de gestión de la pasarela alcanzable desde internet, y T0886, al abuso de un servicio remoto usado para gestionar las pasarelas. Las amenazas a nivel de hogar, como la de un inquilino que reproduce la lectura del mes pasado, no tienen técnica de ATT&CK for ICS, porque el marco describe ataques al control industrial y no fraudes de facturación. La tabla de Maya deja esas filas en blanco en la columna de técnica en lugar de forzar una correspondencia pobre, y anota en su lugar la disposición de ETSI EN 303 645 que se aplica.
Ejemplo resuelto (LDHP sintética)
La tabla de Maya da 14 amenazas. Clasificadas por consecuencia, las tres primeras son: la toma de control de una pasarela que envía una configuración maliciosa a todos los contadores de su calle; la manipulación de las lecturas en tránsito; el compromiso de la cuenta en la nube que expone el historial de todos los hogares. La reproducción por un inquilino queda más abajo: es real, pero se limita a una factura.
Caso sintético — Lakeside District Heating Plant. La lista de amenazas es el resultado de un ejercicio, no la evaluación de un producto real.
Errores y límites
Un modelo de amenazas solo es tan completo como su diagrama. STRIDE enumera amenazas, no probabilidades. Vuelva a ejecutar el modelo cuando cambie la arquitectura.
Ejercicios — capítulo 26
- EX076 — STRIDE en el límite de confianza. Nombre una amenaza para cada una de S, T y D en el flujo de la pasarela a la nube. Rúbrica: 3 = tres amenazas plausibles; 2 = dos; 1 = una; 0 = nada.
- EX077 — Escribir un caso de abuso. Escriba un caso de abuso para la interfaz web de la pasarela. Rúbrica: 3 = actor, precondición, acción, resultado; 2 = tres; 1 = vago; 0 = nada.
- EX078 — Situar la reproducción por debajo de la toma de la pasarela. Justifique la clasificación. Rúbrica: 3 = alcance del impacto (una factura frente a una calle entera/la configuración) y consecuencia; 2 = parcial; 1 = solo «menos probable»; 0 = nada.
Síntesis del capítulo
El modelado de amenazas convierte un diagrama en una lista clasificada de casos de abuso cuyas precondiciones apuntan directamente a las mitigaciones.
Siga estudiando — capítulo 26 de 40
← Capítulo 25 (borrador) · Índice de capítulos del curso · Capítulo 27 (borrador) →