Capítulo 31 — Seguridad de TO, IoT y sistemas ciberfísicos: casos avanzados
Mapa de la lección
Lección 31 publicada. Mapa, ejemplo, EX091.
flowchart TD
N0["Resultados de aprendizaje"]
N1["31.1 Herramientas dirigidas a dispositivos ICS/SCADA"]
N2["31.2 Capacidad no es incidente"]
N3["31.3 Del comportamiento a la detección"]
N4["31.4 Comparar tipos de casos"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX091"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["31.1 Herramientas dirigidas a dispositivos ICS/SCADA"]
N2["31.2 Capacidad no es incidente"]
N3["31.3 Del comportamiento a la detección"]
N4["31.4 Comparar tipos de casos"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX091"]
[Resultados de aprendizaje]
|
v
[31.1 Herramientas dirigidas a dispositivos ICS/SCADA]
|
v
[31.2 Capacidad no es incidente]
|
v
[31.3 Del comportamiento a la detección]
|
v
[31.4 Comparar tipos de casos]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX091]
Resultados de aprendizaje
Usted podrá (1) analizar un marco modular de ataque a ICS a partir de un aviso de CISA; (2) distinguir la capacidad del uso observado; (3) derivar oportunidades de detección del comportamiento documentado; y (4) comparar un aviso centrado en capacidades con un informe de incidente.
31.1 Herramientas dirigidas a dispositivos ICS/SCADA
CISA, junto con agencias asociadas, publicó en abril de 2022 el aviso AA22-103A, que advertía de que actores de amenazas persistentes avanzadas habían desarrollado herramientas a medida capaces de buscar, comprometer y controlar determinados PLC de Schneider Electric, PLC OMRON Sysmac NEX y servidores OPC UA una vez que tenían acceso a la red de TO. El mismo aviso describe una herramienta que explotaba un controlador de software vulnerable de placas base ASRock para comprometer estaciones de ingeniería basadas en Windows. El aviso nombra familias de productos y herramientas, no víctimas, y eso condiciona cómo debe leerlo LDHP.
31.2 Capacidad no es incidente
A diferencia de la alerta de Ucrania de 2015, AA22-103A no describe una interrupción en una víctima con nombre. Describe una capacidad. La respuesta adecuada es la preparación: inventariar las familias de productos afectadas, restringir los protocolos de ingeniería a las estaciones de ingeniería, supervisar las conexiones inesperadas y proteger los controladores de software de las estaciones de trabajo. Entre las mitigaciones del aviso figuran aislar las redes de ICS, exigir autenticación multifactor para el acceso remoto y vigilar la presencia de controladores de software inusuales.
La lectura de Maya para LDHP: no se usa ninguna de las familias de productos nombradas, pero el servidor OPC UA de HIST-1 y los controladores de software de EWS-1 son las exposiciones genéricas que describe el aviso.
31.3 Del comportamiento a la detección
El comportamiento documentado sugiere detecciones concretas: un equipo nuevo que habla el protocolo de ingeniería de un fabricante de PLC; la carga o descarga de programas fuera de una ventana de cambios (ATT&CK for ICS T0843 Program Download); sesiones OPC UA desde equipos distintos de los clientes conocidos; la carga en una estación de trabajo de un controlador de software firmado del que se sabe que es vulnerable. Maya añadió dos de ellas a la supervisión de LDHP: las sesiones OPC UA con HIST-1 desde clientes no aprobados y los eventos de carga de controladores de software en EWS-1, que ahora figuran en la lista de reenvío de registros de la estación. La tercera, la descarga de programas en PLC-H fuera de una ventana de cambios, encaja en el monitor pasivo existente en el conmutador de control, que ya alerta de las descargas de firmware; ampliarlo a las descargas de lógica solo necesita como entrada el calendario de ventanas de cambios.
31.4 Comparar tipos de casos
Los informes de incidentes enseñan lo que ocurrió con restricciones reales; los avisos de capacidad enseñan lo que podría ocurrir a continuación. Ambos son necesarios, y ninguno sustituye a su propio inventario. La tabla de casos de Maya del capítulo 20 usaba informes de incidentes: la planta de agua de 2021 y Mirai, cada uno con un equivalente en LDHP. AA22-103A añade una entrada de otro tipo, porque LDHP no usa ninguno de sus productos nombrados. Su respuesta, dos detecciones nuevas para HIST-1 y EWS-1, surgió del inventario y no de la lista de productos del aviso. Una planta que solo hubiera comprobado la lista de productos habría concluido que no había nada que hacer.
Ejemplo resuelto (LDHP sintética)
LDHP no usa ninguna de las familias de productos nombradas en AA22-103A. Maya no se detiene ahí: señala que el servidor OPC UA de HIST-1 es una exposición genérica, añade a la supervisión «sesiones OPC UA desde clientes no aprobados» y añade «eventos de carga de controladores de software en EWS-1» a la lista de reenvío de registros de la estación de trabajo.
Caso sintético — Lakeside District Heating Plant. La combinación de productos de LDHP es inventada; AA22-103A es un aviso real.
Errores y límites
Los avisos son instantáneas; compruebe si hay actualizaciones. No descargue ni ejecute las herramientas nombradas en los avisos fuera de un entorno de investigación autorizado y aislado.
Ejercicios — capítulo 31
- EX091 — Alcance del aviso. Nombre las dos familias de fabricantes de PLC y el tipo de servidor enumerados en AA22-103A. Rúbrica: 3 = Schneider Electric, OMRON (Sysmac NEX), servidores OPC UA; 2 = dos; 1 = uno; 0 = nada.
- EX092 — Una detección a partir de T0843. Escriba una idea de regla de detección basada en el comportamiento de descarga de programas. Rúbrica: 3 = alertar de una descarga de programa en un PLC fuera de una ventana de cambios aprobada o desde un equipo que no sea de ingeniería; 2 = parcial; 1 = «supervisar los PLC»; 0 = nada.
- EX093 — No afectados, pero actuando. ¿Por qué actuar ante un aviso que nombra productos que usted no tiene? Rúbrica: 3 = las técnicas se transfieren (OPC UA, controladores de software de las estaciones, protocolos de ingeniería); el inventario puede estar incompleto; 2 = uno; 1 = «por si acaso»; 0 = nada.
Síntesis del capítulo
El análisis de casos avanzados significa leer los avisos buscando comportamientos, traducir los comportamientos en detecciones y negarse a concluir «no nos afecta» solo a partir de una lista de productos.
Siga estudiando — capítulo 31 de 40
← Capítulo 30 (borrador) · Índice de capítulos del curso · Capítulo 32 (borrador) →