Capítulo 12 — Sistemas operativos
Mapa de la lección
Lección 12 publicada. Mapa, ejemplo, EX034.
flowchart TD
N0["Resultados de aprendizaje"]
N1["12.1 Las estaciones de trabajo forman parte del sist"]
N2["12.2 Mínimo privilegio para los ingenieros"]
N3["12.3 Ventanas de parches"]
N4["Nota práctica"]
N5["12.1b Imágenes y análisis fuera de línea"]
N6["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX034"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["12.1 Las estaciones de trabajo forman parte del sist"]
N2["12.2 Mínimo privilegio para los ingenieros"]
N3["12.3 Ventanas de parches"]
N4["Nota práctica"]
N5["12.1b Imágenes y análisis fuera de línea"]
N6["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX034"]
[Resultados de aprendizaje]
|
v
[12.1 Las estaciones de trabajo forman parte del sist]
|
v
[12.2 Mínimo privilegio para los ingenieros]
|
v
[12.3 Ventanas de parches]
|
v
[Nota práctica]
|
v
[12.1b Imágenes y análisis fuera de línea]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX034]
Resultados de aprendizaje
Usted podrá (1) bastionar los HMI y las estaciones de ingeniería sin romper el control; (2) recoger evidencia del sistema operativo con mínimo privilegio; (3) planificar la aplicación de parches dentro de las ventanas de mantenimiento.
12.1 Las estaciones de trabajo forman parte del sistema de control
Los HMI y las estaciones de ingeniería suelen ejecutar sistemas operativos de propósito general con décadas de software heredado. Tratarlos como simples PC es la forma en que el malware entra en L2. Las líneas base de bastionado (listas de aplicaciones permitidas, eliminación del administrador local, control de USB) deben probarse frente a la matriz de soporte del proveedor del HMI: un cambio de bastionado no soportado que deja en blanco una pantalla durante un lote es un incidente de disponibilidad. En ABP, Lena prueba cada cambio de bastionado en un HMI de banco con la misma versión del proveedor antes de que llegue a la sala de control, y registra qué elementos admite el proveedor.
12.2 Mínimo privilegio para los ingenieros
Cuentas nominales, derechos de administrador con duración limitada, elevaciones registradas. Las contraseñas compartidas de ingeniería siguen siendo comunes y siguen siendo un error: destruyen la atribución y perduran después de que los contratistas se marchan. Los hallazgos sobre contraseñas compartidas son hallazgos de configuración, no invitaciones a descifrar hashes. En ABP, la contraseña compartida de ingeniería de eng-WS-1 se sustituye por cuentas nominales, y cada elevación se registra con la persona y el motivo. Los contratistas reciben cuentas que caducan al final de su orden de trabajo. Lena informa de las contraseñas compartidas a partir de la configuración y de la lista de cuentas, nunca probándolas.
12.3 Ventanas de parches
Los parches de TO se aplican en ventanas de mantenimiento, no el martes de parches. Encaje los trabajos según su riesgo en las horas disponibles; aplace lo que no quepa en lugar de invadir la producción.
"""Lab: fit patch jobs into plant maintenance windows (synthetic, greedy by risk)."""
windows = [("W1 Sat 02-06", 4.0), ("W2 Sun 02-04", 2.0)]
jobs = [("HMI OS update", 1.5, 8), ("historian DB patch", 2.5, 5), ("PLC-A firmware", 3.0, 9),
("eng-WS AV update", 0.5, 3), ("switch firmware", 1.0, 6)] # name, hours, risk score
left = {w: h for w, h in windows}; plan = {w: [] for w, _ in windows}; deferred = []
for name, h, r in sorted(jobs, key=lambda j: -j[2]):
for w, _ in windows:
if left[w] >= h:
left[w] -= h; plan[w].append(name); break
else:
deferred.append(name)
for w, _ in windows:
print(w, plan[w], f"spare={left[w]:.1f}h")
print("deferred:", deferred)
Salida esperada:
W1 Sat 02-06 ['PLC-A firmware', 'switch firmware'] spare=0.0h
W2 Sun 02-04 ['HMI OS update', 'eng-WS AV update'] spare=0.0h
deferred: ['historian DB patch']
Caso sintético — Ashford Batch Plant. El laboratorio de parches aplazó el parche de la base de datos del historiador porque W1 y W2 estaban llenas con trabajos de mayor riesgo en el PLC y el HMI. Lena programó una ventana dedicada para el mes siguiente en lugar de meterlo con calzador el domingo por la mañana.
Cada trabajo aplazado conserva su ticket y su fecha. Los aplazamientos se revisan cada mes.
12.4 Errores y límites
No desactive el antivirus ni las listas de permitidos para contentar al proveedor sin una excepción escrita y una monitorización compensatoria. Las plantas desconectadas siguen necesitando control de soportes. Cuando el proveedor del HMI pide una excepción, Lena registra qué protección se relaja, en qué equipo, durante cuánto tiempo y qué monitorización la sustituye. La excepción tiene un responsable y una fecha de caducidad. Los equipos desconectados siguen recibiendo soportes a través de una estación de análisis y una transferencia registrada, ya que las memorias USB son la vía habitual de entrada a una red aislada.
Nota práctica
Cada parche aplazado recibe un ticket con su riesgo residual y una fecha. «Aplazado sin fecha» es la forma en que sobreviven imágenes de sistema operativo de HMI con una década de antigüedad. Revise la lista de aplazados en la misma reunión que planifica la siguiente ventana.
12.1b Imágenes y análisis fuera de línea
Las imágenes de disco completo de los HMI tienen un gran impacto: dejan los sistemas fuera de servicio, pueden contener recetas propietarias e invitan a explorar fuera del alcance. Prefiera las lecturas en vivo con mínimo privilegio y las exportaciones de configuración. Si una imagen es realmente necesaria, el permiso de trabajo debe nombrar la cadena de custodia, el cifrado en reposo, quién puede montarla y una fecha límite de destrucción; y los laboratorios del curso siguen sin practicar la obtención de imágenes de equipos reales. Las plantas desconectadas siguen necesitando control de soportes; un aislamiento físico que oculta USB y módems celulares no es un aislamiento físico.
Lena nunca ha necesitado una imagen completa en ABP.
Ejercicios — capítulo 12
- EX034 — Cuenta. Especifique un patrón de mínimo privilegio para el acceso de ingeniería al PLC. Rúbrica: 3 = nominal, de duración limitada, registrado, doble control para la descarga de lógica; 2 = tres de cuatro; 1 = administrador compartido; 0 = nada.
- EX035 — Laboratorio. ¿Qué trabajo se aplazó y por qué? Rúbrica: 3 = el parche de la base de datos del historiador; ventanas llenas tras los trabajos de mayor riesgo; 2 = solo el nombre; 1 = vago; 0 = incorrecto.
- EX036 — Excepción. Escriba en una línea una excepción de USB para la puesta en marcha de un proveedor, con control compensatorio. Rúbrica: 3 = duración limitada, soportes analizados, equipo monitorizado; 2 = parcial; 1 = USB abierto; 0 = nada.
Síntesis del capítulo
Bastione y parchee las estaciones de trabajo como si fueran controladores, porque para el malware son la puerta.
Siga estudiando — capítulo 12 de 50
← Capítulo 11 (borrador) · Índice de capítulos del curso · Capítulo 13 (borrador) →