Capítulo 18 — Arquitectura de seguridad
Mapa de la lección
Lección 18 publicada. Mapa, ejemplo, EX052.
flowchart TD
N0["Resultados de aprendizaje"]
N1["18.1 Zonas que coinciden con la seguridad funcional"]
N2["18.2 Acceso de ingeniería"]
N3["18.3 Entornos sintéticos"]
N4["Nota práctica"]
N5["18.1b Servidores de salto y tráfico de salida"]
N6["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX052"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["18.1 Zonas que coinciden con la seguridad funcional"]
N2["18.2 Acceso de ingeniería"]
N3["18.3 Entornos sintéticos"]
N4["Nota práctica"]
N5["18.1b Servidores de salto y tráfico de salida"]
N6["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX052"]
[Resultados de aprendizaje]
|
v
[18.1 Zonas que coinciden con la seguridad funcional]
|
v
[18.2 Acceso de ingeniería]
|
v
[18.3 Entornos sintéticos]
|
v
[Nota práctica]
|
v
[18.1b Servidores de salto y tráfico de salida]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX052]
Resultados de aprendizaje
Usted podrá (1) aplicar la zonificación Purdue/62443 en ABP; (2) definir los límites de confianza para el acceso de ingeniería; (3) elegir cuándo un entorno sintético es el lugar adecuado para probar.
18.1 Zonas que coinciden con la seguridad funcional
L0/L1 contienen el proceso y el control básico; L2, la supervisión; L3, las operaciones del sitio; L3.5, la DMZ; L4/L5, la empresa. El SIS se ubica con conductos cuidadosamente controlados. Los diagramas de arquitectura deben coincidir con el grafo de alcanzabilidad, no con un póster comercial de Purdue. Lena contrasta el diagrama de ABP con los resultados de alcanzabilidad de la exportación del cortafuegos en cada revisión. En ABP, los puertos de ingeniería del SIS-B solo son alcanzables a través del camino del conmutador con llave durante las pruebas programadas, y la oficina solo alcanza los datos de SCADA a través de la réplica del historiador en la DMZ. Cuando el diagrama y los resultados de alcanzabilidad no coinciden, ganan los resultados y se corrige el diagrama. Lena marca el diagrama con el hash de la exportación con la que se contrastó.
18.2 Acceso de ingeniería
Las estaciones de ingeniería y los portátiles de los proveedores cruzan límites de confianza. Prefiera: servidor de salto en la DMZ, cuentas de duración limitada, sesiones monitorizadas, ninguna VPN permanente desde internet hasta L2. Los USB y los módems celulares también son arquitectura: inventaríelos. En ABP, las sesiones de los proveedores pasan por un servidor de salto en la DMZ con cuentas de duración limitada y sesiones grabadas. El inventario de Lena enumera cada portátil de ingeniería autorizado a conectarse, y cualquier VPN permanente encontrada en una revisión se notifica como hallazgo. El uso de USB en las estaciones de ingeniería se registra y se revisa cada mes.
18.3 Entornos sintéticos
Cuando los métodos son ruidosos o la planta es frágil, use un entorno sintético o un gemelo digital que refleje la configuración. Los resultados respaldan entonces afirmaciones sobre la configuración reflejada, no sobre el comportamiento del proceso en servicio. Dígalo en el informe.
# Lab 23 - reachability count on a synthetic Purdue-layered OT network
# Nodes: L5-ERP, L4-Office, L3.5-DMZ, L3-Hist, L2-SCADA, L1-PLC, L1-SIS, L0-IO
edges_flat=[("L5","L4"),("L4","L3"),("L3","L2"),("L2","L1-PLC"),("L2","L1-SIS"),("L1-PLC","L0"),("L1-SIS","L0"),("L4","L2")]
edges_zoned=[("L5","L4"),("L4","L3.5"),("L3.5","L3"),("L3","L2"),("L2","L1-PLC"),("L1-SIS","L0"),("L1-PLC","L0")] # SIS not reachable from SCADA
def reach(edges, start):
g={};
for a,b in edges: g.setdefault(a,[]).append(b)
seen=set(); stack=[start]
while stack:
n=stack.pop()
if n in seen: continue
seen.add(n); stack.extend(g.get(n,[]))
return seen
for name,e in (("flat",edges_flat),("zoned",edges_zoned)):
r=reach(e,"L4")
print(f"{name}: L4 reaches {sorted(r)} count={len(r)} writes_to_SIS={'L1-SIS' in r}")
Salida esperada:
flat: L4 reaches ['L0', 'L1-PLC', 'L1-SIS', 'L2', 'L3', 'L4'] count=6 writes_to_SIS=True
zoned: L4 reaches ['L0', 'L1-PLC', 'L2', 'L3', 'L3.5', 'L4'] count=6 writes_to_SIS=False
Caso sintético — Ashford Batch Plant. La arquitectura objetivo del CNHP es el grafo por zonas: L4 visualiza a través de L3.5; la ingeniería del SIS solo mediante el conmutador con llave; ningún conducto de L2 a L1-SIS.
La copia de banco de Lena del cortafuegos y del monitor de ABP es un entorno de este tipo; sus informes indican que los resultados se aplican solo a la configuración reflejada.
18.4 Errores y límites
Los diagramas envejecen. Vuelva a validar las zonas frente a la exportación del cortafuegos en servicio en cada ventana. Lena compara el diagrama con la exportación del cortafuegos en servicio al comienzo de cada ventana y registra cualquier diferencia como hallazgo. Un diagrama que no se ha contrastado con la exportación se marca como no verificado, para que nadie se apoye en él por error durante un incidente. La nueva prueba a los seis meses encontró más adelante exactamente este tipo de deriva. La comprobación lleva minutos con el script de alcanzabilidad. Su resultado se archiva con el registro de la ventana.
Nota práctica
Cuelgue el diagrama de zonas junto al mapa de privilegios del capítulo 8. Cuando un proveedor pida una regla temporal, señale la pared y pregúntele qué arista quiere añadir y qué requisito rompe.
18.1b Servidores de salto y tráfico de salida
Los servidores de salto de ingeniería tienen un gran valor: bastiónelos, registre el inicio y el final de las sesiones, prohíba los agentes personales de sincronización de archivos y reconstrúyalos a partir de imágenes de referencia entre ventanas cuando sea posible. Las zonas de evaluación y de ingeniería necesitan listas de salida permitida: solo los CIDR de planta dentro del alcance y el almacén de evidencia. Una salida abierta convierte un portátil comprometido en un punto de pivote que el permiso de trabajo nunca autorizó.
Lena exporta los diagramas de L2 y de la DMZ de cada ventana al expediente del CNHP y calcula su hash como el de cualquier archivo de evidencia. Cuando un auditor pregunta cómo llegó el tráfico a L2, se muestra la versión del diagrama que estaba vigente, no un boceto más reciente y limpio.
Ejercicios — capítulo 18
- EX052 — Esquema de zonas. Sitúe el HMI, el PLC-A, el SIS-B, el historiador y un PC de oficina en zonas y nombre dos controles en las flechas. Rúbrica: 3 = zonas claras + dos controles; 2 = solo zonas; 1 = confuso; 0 = nada.
- EX053 — Límite. ¿Por qué «enviar por correo un CSV de recetas a mi Gmail» es una violación de límites? Rúbrica: 3 = los datos salen de las zonas controladas/la autorización; 2 = vaguedad sobre privacidad; 1 = vago; 0 = lo da por bueno.
- EX054 — Afirmación sobre el gemelo. Frase de limitación para pruebas realizadas solo en un entorno sintético. Rúbrica: 3 = afirma sobre la configuración, no sobre el proceso en servicio; 2 = vaga; 1 = afirma de más; 0 = nada.
Síntesis del capítulo
Zonas, límites del acceso de ingeniería y límites honestos de lo que un gemelo puede demostrar.
Siga estudiando — capítulo 18 de 50
← Capítulo 17 (borrador) · Índice de capítulos del curso · Capítulo 19 (borrador) →