◇ OpenCyber Academy
Investigación doctoral · Capítulo 1 · Español

Capítulo 1 — Integridad y métodos avanzados de investigación

Aprendizaje gratuito y abierto para quienes desean proteger a las personas y la tecnología. No se necesita una cuenta para estudiar ni consultar las respuestas.

Capítulo 1 — Integridad y métodos avanzados de investigación

Mapa de la lección

Lección 01 publicada. Mapa, ejemplo, EX001.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["1.1 El objeto de estudio: un lazo de control con con"]
  N2["1.2 Una escalera de afirmaciones"]
  N3["1.3 La seguridad física antes que la integridad de l"]
  N4["1.4 Ética y doble uso"]
  N5["1.5 Los datos que describen una planta son sensibles"]
  N6["1.6 Métricas que resisten la manipulación"]
  N7["1.8 Actividad práctica — Laboratorio 1: el ajuste po"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX001"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["1.1 El objeto de estudio: un lazo de control con con"]
  N2["1.2 Una escalera de afirmaciones"]
  N3["1.3 La seguridad física antes que la integridad de l"]
  N4["1.4 Ética y doble uso"]
  N5["1.5 Los datos que describen una planta son sensibles"]
  N6["1.6 Métricas que resisten la manipulación"]
  N7["1.8 Actividad práctica — Laboratorio 1: el ajuste po"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX001"]

[Resultados de aprendizaje y conexión]
    |
    v
[1.1 El objeto de estudio: un lazo de control con con]
    |
    v
[1.2 Una escalera de afirmaciones]
    |
    v
[1.3 La seguridad física antes que la integridad de l]
    |
    v
[1.4 Ética y doble uso]
    |
    v
[1.5 Los datos que describen una planta son sensibles]
    |
    v
[1.6 Métricas que resisten la manipulación]
    |
    v
[1.8 Actividad práctica — Laboratorio 1: el ajuste po]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX001]

Resultados de aprendizaje y conexión

Después de este capítulo usted podrá: (1) explicar por qué el proceso físico, y no el paquete, es el objeto de la investigación en seguridad de TO; (2) situar una afirmación de investigación en una escalera que va de la observación de red a la consecuencia física; (3) diseñar un experimento cuyo peor resultado creíble esté acotado por una capa de seguridad independiente; (4) aplicar los principios del Menlo Report a la investigación industrial; y (5) elegir métricas de detección que no puedan manipularse mediante convenciones de puntuación. El capítulo se apoya en sus conocimientos de entrada sobre diseño de investigación y prepara el mapeo de la frontera del capítulo 2.

1.1 El objeto de estudio: un lazo de control con consecuencias

Un sistema de información falla al revelar, corromper o retener datos. Un sistema de control industrial puede fallar de todas esas maneras, pero su falla definitoria es distinta: un proceso físico sale de su envolvente segura. Una bomba funciona en seco, un tanque se desborda, una dosis de cloro supera su límite, una turbina se embala. NIST SP 800-82 Rev. 3 describe la TO como sistemas que "interactúan con el entorno físico" y subraya que la seguridad física y la disponibilidad suelen dominar el orden de prioridades que en TI encabeza la confidencialidad. Esa diferencia transforma la investigación. Un método de detección que señala toda escritura Modbus maliciosa pero no puede decir si el proceso estuvo en peligro ha respondido una pregunta de TI en un entorno de TO.

Por eso el investigador doctoral modela el lazo de forma explícita. Un sensor mide una variable de proceso (nivel, presión, caudal). Un controlador, normalmente un controlador lógico programable (PLC), la compara con un punto de consigna y calcula una orden. Un actuador (bomba, válvula, interruptor) modifica el proceso. Una capa de supervisión (SCADA, HMI, historiador) observa y ajusta los puntos de consigna. Por debajo de todos ellos se encuentra un sistema instrumentado de seguridad (SIS) o un enclavamiento cableado diseñado para llevar el proceso a un estado seguro con independencia del sistema de control. Cada elemento es un posible punto de manipulación, y la honestidad de cada elemento es algo que su detector o bien supone o bien pone a prueba.

1.2 Una escalera de afirmaciones

Escriba cada afirmación en una escalera de cinco peldaños y niéguese a subir un peldaño sin evidencia que lo respalde:

  1. Observación de protocolo: una trama con el código de función 6 (escribir un único registro) llegó a la unidad 1 (la especificación Modbus define los códigos de función).
  2. Inferencia de control: el registro del punto de consigna cambió de 50 a 80.
  3. Inferencia de proceso: la trayectoria del nivel del tanque fue coherente con el nuevo punto de consigna.
  4. Inferencia de seguridad: la trayectoria cruzaría (o no) el disparo por nivel muy alto dentro del horizonte modelado.
  5. Afirmación de consecuencia: se habrían producido (o no) daños a los equipos, una liberación o lesiones, dadas las capas de protección independientes.

La mayoría de los artículos publicados sobre detección en TO se detienen en el peldaño 1 o 2 y reportan exactitud; la mayor parte del valor práctico está en los peldaños 3–5. Una tesis no necesita llegar al peldaño 5, pero debe decir dónde se detiene.

1.3 La seguridad física antes que la integridad de los resultados

Un experimento de TI mal ejecutado pierde datos; un experimento de TO mal ejecutado puede herir a alguien. Las reglas de integridad de la investigación ordinaria (informar con honestidad, prerregistrar los análisis, conservar los datos brutos) se mantienen, pero una regla nueva tiene prioridad: nunca pruebe en producción. Los experimentos se ejecutan en simulaciones, en instalaciones de laboratorio aisladas cuyo peor caso es inofensivo o, de forma excepcional, en el sistema de un operador con su autorización escrita, su propia revisión de seguridad y una persona con nombre que tenga autoridad para detenerlo. Incluso en un laboratorio, el investigador debe enumerar el peor resultado físico creíble de cada experimento (por ejemplo, "el agua se derrama en el suelo del recinto de la instalación") y la capa independiente que lo acota (un interruptor de flotador mecánico, no el PLC sometido a prueba). Si la única protección es el sistema que usted está atacando, el experimento no está acotado.

1.4 Ética y doble uso

El Menlo Report adapta los principios del Informe Belmont a la investigación en TIC: respeto por las personas, beneficencia, justicia, y respeto por la ley y el interés público. En la investigación en TO domina la beneficencia: una técnica de evasión que derrota a todos los detectores publicados es una contribución real y también una receta. La respuesta ética no es el silencio, sino la proporción. Publique la clase de debilidad, la medición defensiva y la mitigación; retenga los detalles de explotación específicos de un fabricante hasta que se haya completado la divulgación coordinada (capítulo 8). El respeto por las personas se aplica a los operadores que usted entreviste u observe: pueden revelar prácticas inseguras que podrían costarles el empleo, por lo que los formularios de consentimiento deben indicar quién ve las notas brutas. El respeto por la ley abarca el control de exportaciones de algunas tecnologías industriales y los límites contractuales sobre los datos de los bancos de pruebas.

1.5 Los datos que describen una planta son sensibles

Las capturas de red, los programas de PLC, los diagramas de tuberías e instrumentación y los registros de alarmas forman en conjunto un mapa de cómo dañar una instalación. Trátelos como sensibles incluso cuando la instalación sea una instalación universitaria, porque estas reutilizan controladores comerciales y sus configuraciones revelan el comportamiento de los productos. Defina los niveles desde el principio: T0 público, T1 compartible con licencia, T2 compartible con investigadores verificados, T3 nunca sale del propietario. El capítulo 7 convierte estos niveles en un manifiesto de publicación.

Asigne un nivel a cada artefacto cuando se crea, no cuando se escribe la tesis, y registre qué propietario puede cambiarlo. Una captura tomada en el Testbed T2 empieza en T2 aunque parezca inofensiva. Bajar un nivel exige una razón escrita, como la eliminación de direcciones e identificadores de controladores, y una segunda persona que compruebe el resultado.

1.6 Métricas que resisten la manipulación

La investigación sobre detección en TO tiene un problema de medición. Los ataques en los conjuntos de datos de series temporales son segmentos largos y contiguos; una convención de puntuación muy usada, el ajuste por puntos, marca todo un segmento de ataque como detectado si cualquier punto dentro de él se señala. Como muestra el Laboratorio 1, puede convertir un detector que encuentra el 10 % de los puntos de ataque en uno que informa un F1 casi perfecto. Arp et al. enumeran esta familia de errores (medidas de rendimiento inadecuadas, desatención a la tasa de base, evaluación solo en laboratorio) para el aprendizaje automático en seguridad en general. Para la TO, el conjunto de métricas defendible es: exhaustividad a nivel de evento (fracción de episodios de ataque detectados), tiempo hasta la detección medido desde el inicio del ataque, falsas alarmas por turno de operador (porque las avalanchas de alarmas son en sí mismas un peligro para la seguridad) e impacto físico en el momento de la detección (cuánto se había desplazado el proceso cuando se disparó la alarma). Esta última métrica es específica de la TO y es la que se omite con más frecuencia.

1.7 Ejemplo resuelto: la primera revisión del protocolo del Setpoint Study

El primer protocolo del candidato proponía repetir ataques grabados en la red de historiador en producción de Kestrel Plant A en modo "solo lectura". El comité de revisión planteó tres problemas. Primero, solo lectura es una afirmación, no una propiedad: una herramienta de captura en un puerto espejo es pasiva, pero una herramienta que consulta al PLC es activa y añade carga a un controlador con un ciclo de escaneo fijo. Segundo, no se indicaba el peor resultado creíble. Tercero, la métrica era el F1 con ajuste por puntos. El protocolo revisado (a) traslada todos los experimentos de ataque a una simulación de Plant A y, más adelante, al Testbed T2 aislado; (b) establece como peor resultado en T2 "el tanque superior se desborda hacia la bandeja de goteo", acotado por una válvula de flotador mecánica independiente del PLC; (c) informa la exhaustividad por eventos, el retardo, las falsas alarmas por turno de 8 horas y el sobrellenado máximo; y (d) designa al responsable del laboratorio como autoridad de parada.

1.8 Actividad práctica — Laboratorio 1: el ajuste por puntos infla las puntuaciones

Ejecútelo sin conexión. Crea una secuencia sintética de etiquetas de 100 muestras con dos segmentos de ataque y un detector que señala cinco muestras.

# Lab 1 (synthetic): how "point-adjusted" scoring inflates an OT anomaly detector.
labels = [0]*20 + [1]*30 + [0]*30 + [1]*10 + [0]*10      # two attack segments (100 samples)
alarms = [0]*100
for i in (5, 40, 85, 86, 87):    # detector flagged five samples
    alarms[i] = 1
def scores(lab, pred):
    tp = sum(l and p for l, p in zip(lab, pred)); fp = sum((not l) and p for l, p in zip(lab, pred))
    fn = sum(l and not p for l, p in zip(lab, pred))
    prec = tp/(tp+fp) if tp+fp else 0.0; rec = tp/(tp+fn) if tp+fn else 0.0
    return round(prec, 3), round(rec, 3), round(2*prec*rec/(prec+rec), 3) if prec+rec else 0.0
def point_adjust(lab, pred):
    out = pred[:]; i = 0
    while i < len(lab):
        if lab[i]:
            j = i
            while j < len(lab) and lab[j]: j += 1
            if any(pred[i:j]): out[i:j] = [1]*(j-i)
            i = j
        else: i += 1
    return out
def events(lab, pred):
    segs, i = [], 0
    while i < len(lab):
        if lab[i]:
            j = i
            while j < len(lab) and lab[j]: j += 1
            segs.append((i, j)); i = j
        else: i += 1
    return sum(any(pred[a:b]) for a, b in segs), len(segs)
print("pointwise P/R/F1 :", scores(labels, alarms))
print("point-adjust     :", scores(labels, point_adjust(labels, alarms)))
print("events detected  :", events(labels, alarms))

Salida esperada:

pointwise P/R/F1 : (0.8, 0.1, 0.178)
point-adjust     : (0.976, 1.0, 0.988)
events detected  : (2, 2)

Interpretación: ambos episodios se detectaron (exhaustividad por eventos de 1,0), lo cual es realmente útil, pero el F1 con ajuste por puntos de 0,988 oculta que la primera alarma del segmento uno llegó 20 muestras después del inicio. Informe la exhaustividad por eventos junto con el retardo, nunca el F1 con ajuste por puntos por sí solo.

Las mismas cinco alarmas producen tres historias muy distintas. Punto a punto, el detector encontró cuatro de cuarenta muestras de ataque y generó una falsa alarma. Con ajuste por puntos, parece casi perfecto. Por eventos, encontró ambos episodios, uno de ellos tarde. Solo la tercera visión, acompañada del retardo, le dice a un operador lo que habría ocurrido en el tanque, y por eso es la que informa el Setpoint Study.

1.9 Errores comunes y límites

Cada error tiene una salvaguarda. Escriba el peldaño junto a cada afirmación en sus notas. Llame activa a cualquier herramienta que envíe solicitudes a un controlador, lea lo que lea. Nombre la capa independiente que acota cada ejecución de laboratorio, como la válvula de flotador de T2. Informe las falsas alarmas por turno de ocho horas junto a la exhaustividad. Clasifique los datos de una instalación universitaria como clasificaría los datos de una planta.

Ejercicios — capítulo 1

Rúbrica para todos los ejercicios de este libro: 3 = correcto, con alcance definido, con la evidencia etiquetada y honesto sobre los límites; 2 = correcto con una laguna menor de alcance o de evidencia; 1 = parcialmente correcto o con afirmaciones sin etiquetar; 0 = ausente, inseguro o con afirmaciones excesivas.

Síntesis del capítulo

La investigación en TO estudia lazos de control cuya falla es física. Suba por la escalera de afirmaciones solo con evidencia, acote cada experimento con una capa de seguridad independiente, trate los datos de planta como sensibles y elija métricas (exhaustividad por eventos, retardo, falsas alarmas por turno, impacto físico en el momento de la detección) que una convención de puntuación no pueda inflar.

Siga estudiando — capítulo 01 de 08

← Página del curso · Índice de capítulos del curso · Capítulo 02 (borrador) →