Capítulo 22 — Seguridad de TO, IoT y sistemas ciberfísicos: modelos de sistemas y de datos
Mapa de la lección
Lección 22 publicada. Mapa, ejemplo, EX064.
flowchart TD
N0["Resultados de aprendizaje"]
N1["22.1 Entidades"]
N2["22.2 Claves"]
N3["22.3 Atributos prohibidos"]
N4["Nota práctica"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX064"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["22.1 Entidades"]
N2["22.2 Claves"]
N3["22.3 Atributos prohibidos"]
N4["Nota práctica"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX064"]
[Resultados de aprendizaje]
|
v
[22.1 Entidades]
|
v
[22.2 Claves]
|
v
[22.3 Atributos prohibidos]
|
v
[Nota práctica]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX064]
Resultados de aprendizaje
Usted podrá (1) dibujar un modelo de entidades para activos, zonas, conductos y hallazgos; (2) elegir claves y cardinalidades; (3) mantener el contenido de explotación fuera del modelo.
22.1 Entidades
Plant 1—* Unit; Unit 1—* Asset; Zone 1—* Asset; Conduit — Zone (origen/destino); Finding — EvidenceObject (por hash); TechniqueTag — Finding. Los errores de cardinalidad (muchos conjuntos de conductos activos sin un puntero de versión) llevan a los auditores a preguntar qué reglas estaban vigentes. El modelo de Lena da a cada ConduitSet una versión y registra qué versión estaba vigente en cada momento, de modo que un auditor puede ver las reglas que se aplicaban un día determinado. Cada Finding se vincula a su evidencia por hash, y las etiquetas de técnica se vinculan a los hallazgos solo después de la revisión.
22.2 Claves
Los identificadores de los hallazgos son UUID. La evidencia se direcciona por contenido mediante SHA-256. ConduitSet tiene (plant_id, version_int). Nunca use el título como clave de los hallazgos: los títulos cambian. El esquema de Lena usa estas claves en todo el CNHP. Un hallazgo sobre FW-12 conservó su identificador cuando se reformuló su título tras la revisión, y su historial siguió intacto. La evidencia indexada por su hash no puede sustituirse en silencio, ya que un archivo distinto tendría una clave distinta. El número de versión de ConduitSet aumenta con cada cambio publicado y nunca reutiliza un valor antiguo.
22.3 Atributos prohibidos
Ningún atributo para cargas útiles, shellcode ni ataques paso a paso. Para una captura del monitor de L2, EvidenceObject conserva los bytes en un repositorio sellado; el modelo solo guarda el hash, el tipo de medio y la clase de conservación.
Caso sintético — Ashford Batch Plant. Un esquema inicial tenía notas como texto libre; la gente pegaba contraseñas de ingeniería. Lena lo sustituyó por campos estructurados más un hash de evidencia, y un linter rechaza las cadenas con aspecto de contraseña en los títulos.
El linter de Lena aplica la lista. Se ejecuta con cada registro creado o importado, incluidas las importaciones masivas desde escáneres, y rechaza las cadenas con aspecto de contraseña en los títulos. Los registros rechazados devuelven un error que explica qué campo se rechazó.
22.4 Errores y límites
Los modelos que imponen cada técnica de ATT&CK for ICS como campo obligatorio generan etiquetas basura. Mantenga las etiquetas de técnica como opcionales y revisadas. En ABP, un analista añade las etiquetas de técnica después de redactar el hallazgo, y una segunda persona las revisa. Un hallazgo sin una técnica adecuada se deja sin etiqueta en lugar de forzarlo a la más cercana. Esto mantiene honestas las cifras de cobertura, porque una etiqueta basura contaría como cobertura observada de una técnica que nadie probó realmente. Las etiquetas se revisan cuando cambia la versión de ATT&CK for ICS.
Nota práctica
Haga borrados lógicos de los hallazgos con actor y motivo; purgue físicamente solo mediante trabajos de conservación que emitan eventos de auditoría. Un DELETE FROM findings silencioso es un regalo para el repudio.
22.1b Límites de los adjuntos y tiempo
Los objetos de evidencia necesitan límites de tamaño y listas de tipos de medio permitidos. Las subidas sin límite se convierten en ataques a la disponibilidad e invitan a volcar datos propietarios en masa. Toda entidad mutable del CNHP, desde un hallazgo hasta un registro de conducto, necesita created_at, created_by y, para los cambios de estado, updated_at/updated_by o un evento de solo anexado. En las exportaciones, prefiera UTC con desplazamientos explícitos. Las exportaciones indican su zona horaria una vez en la cabecera del archivo, además de en cada marca de tiempo. A los clientes de la API que emiten DELETE en bucle durante un reintento defectuoso se les revocan las credenciales tras superar un umbral.
22.5 Ejemplo resuelto: modelar un hallazgo sin filtrar la planta (ABP sintética)
El modelo de datos de Lena para los hallazgos del CNHP tiene las entidades Asset, Zone, Conduit, Finding y Evidence. Un Finding referencia un Asset por clave, nunca incrusta su dirección IP ni sus credenciales, y guarda la evidencia como un hash más un puntero al almacén de evidencia controlado. La lista de atributos prohibidos (contraseñas, cargas útiles completas de paquetes, valores de recetas) se aplica mediante una comprobación del esquema que rechaza cualquier registro que contenga esos campos. Cuando un hallazgo sobre el puerto Modbus abierto del PLC-A se exporta para la dirección, dice «Asset PLC-A, Conduit L2→L1, ATT&CK for ICS T0869 Standard Application Layer Protocol, severidad alta»: suficiente para actuar, no para atacar.
Ejercicios — capítulo 22
- EX064 — Cardinalidad. ¿Por qué ConduitSet tiene versiones en lugar de editarse en el sitio? Rúbrica: 3 = auditoría de lo que estaba autorizado y cuándo; 2 = versionado vago; 1 = «buena práctica»; 0 = nada.
- EX065 — Clave. ¿Por qué direccionar la evidencia por contenido? Rúbrica: 3 = integridad + deduplicación + evidencia de manipulación; 2 = una razón; 1 = vago; 0 = nada.
- EX066 — Prohibido. Validación que impida contraseñas en el título. Rúbrica: 3 = heurística/linter + proceso; 2 = uno; 1 = vago; 0 = nada.
Síntesis del capítulo
Modele activos, zonas, versiones, hallazgos y hashes, no ataques.
Siga estudiando — capítulo 22 de 50
← Capítulo 21 (borrador) · Índice de capítulos del curso · Capítulo 23 (borrador) →