Capítulo 32 — Seguridad de TO, IoT y sistemas ciberfísicos: fiabilidad
Mapa de la lección
Lección 32 publicada. Mapa, ejemplo, EX094.
flowchart TD
N0["Resultados de aprendizaje"]
N1["32.2 Reintentos"]
N2["32.3 Degradación segura"]
N3["Nota práctica"]
N4["32.1b Presupuestos de error y comprobaciones de salu"]
N5["Nota de campo: contrapresión de la cola"]
N6["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX094"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["32.2 Reintentos"]
N2["32.3 Degradación segura"]
N3["Nota práctica"]
N4["32.1b Presupuestos de error y comprobaciones de salu"]
N5["Nota de campo: contrapresión de la cola"]
N6["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX094"]
[Resultados de aprendizaje]
|
v
[32.2 Reintentos]
|
v
[32.3 Degradación segura]
|
v
[Nota práctica]
|
v
[32.1b Presupuestos de error y comprobaciones de salu]
|
v
[Nota de campo: contrapresión de la cola]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX094]
Resultados de aprendizaje
Usted podrá (1) fijar objetivos de disponibilidad para las herramientas de seguridad de TO; (2) usar reintentos con presupuestos que respeten el tiempo de ciclo; (3) degradarse de forma segura cuando falla una dependencia.
32.1 Objetivos
Camino de permitir/denegar durante las ventanas: alta disponibilidad. Tableros de cobertura: mejor esfuerzo. Enuncie el objetivo; no insinúe cinco nueves sin un presupuesto. En ABP, el camino de denegación del monitor serie debe funcionar durante toda la ventana, mientras que el tablero de cobertura puede estar caído una hora sin daño. Lena pone por escrito ambos objetivos con el presupuesto que respalda cada uno, para que nadie suponga que el tablero necesita el mismo cuidado que la aplicación de las decisiones, ni que la aplicación puede tolerar las caídas del tablero. Los objetivos se revisan cada año.
32.2 Reintentos
Los reintentos ayudan con las subidas inestables de evidencia, pero necesitan un plazo para que se mantenga el presupuesto de la línea troncal. Limite el total de intentos. El cargador de evidencia de Lena en ABP reintenta con retardos crecientes y se rinde tras un número fijo de intentos o un plazo, lo que ocurra primero. Las subidas fallidas quedan en cola en el disco y se notifican, de modo que no se pierde nada. Los reintentos nunca se ejecutan en la línea troncal hacia el PLC-A, donde podrían desplazar el tráfico de control y romper el presupuesto de ciclo. Los límites están escritos en el permiso.
32.3 Degradación segura
Si el almacén de hallazgos está caído, siga denegando/permitiendo localmente y encole los borradores en el disco; nunca falle de forma abierta en las comprobaciones de política.
Caso sintético — Ashford Batch Plant. Durante una caída del almacén de hallazgos, la cola del portátil de Lena retuvo los borradores; el monitor serie siguió denegando las escrituras fuera de rango.
Lena prueba este modo degradado en el laboratorio II, en el banco. Durante una caída real del almacén de hallazgos, los borradores se encolaron en el portátil de Lena y el monitor serie siguió denegando las escrituras fuera de rango. Tras cada caída, Lena confirma que todos los borradores encolados llegaron al almacén comparando los conteos con el registro de la cola.
32.4 Errores y límites
Los reintentos contra una línea troncal con límite de tasa pueden parecer inundaciones; coordine los presupuestos con el permiso de trabajo. El permiso de trabajo de Lena en ABP indica la tasa máxima de solicitudes de cualquier tráfico de evaluación en cada línea troncal, incluidos los reintentos. Si los reintentos la superaran, la herramienta espera. Antes de una ventana se coordina con el equipo de monitorización del sitio, para que una ráfaga de reintentos no se confunda con un ataque ni desencadene una respuesta a incidentes innecesaria. Las tasas se fijan con los ingenieros de control. Se revisan cada año.
Nota práctica
Cuando la cola de borradores de hallazgos del monitor supere un umbral, el responsable de la ventana deja de iniciar nuevos métodos de descubrimiento y recibe un aviso. Los escaneos sin seguimiento mientras no se pueden registrar hallazgos crean riesgo.
32.1b Presupuestos de error y comprobaciones de salud
El camino de denegación del monitor tiene su propio presupuesto de error, separado del presupuesto de mejor esfuerzo del tablero del CNHP. Compruebe la salud del almacenamiento de políticas y del receptor de eventos al inicio de la ventana. Empezar una ventana a ciegas y descubrir un receptor roto a mitad de un escaneo es un fallo de operaciones que este capítulo pretende evitar. Una comprobación de salud fallida retrasa el inicio de la ventana; las comprobaciones nunca se acortan para ganar tiempo. Los experimentos de caos se ejecutan solo en entornos sintéticos, nunca durante la ventana firmada de un cliente. Registre los identificadores de los experimentos por separado de los de las ventanas para que las métricas no se mezclen. Ambos presupuestos se publican.
Nota de campo: contrapresión de la cola
Cuando la cola de borradores llegó a 50 durante una caída del almacén, el descubrimiento de estilo Track se detuvo automáticamente y avisó a Lena. Permitir/denegar siguió funcionando. El umbral de 50 se eligió para que la cola retenga una noche completa de borradores con margen de sobra.
32.5 Ejemplo resuelto: degradarse de forma segura cuando falla el recolector (ABP sintética)
El recolector de monitorización del CNHP está en un puerto espejo. Si falla, nada en el proceso debería cambiar: el diseño mantiene el recolector fuera de todo camino de control. Los objetivos de fiabilidad de Lena se refieren a la evidencia, no a la producción: 99,5 % de disponibilidad de captura al mes y alertas ante pérdidas superiores al 0,1 %. Los reintentos hacia el almacén central usan un retroceso exponencial con tope, para que una caída del almacén no inunde el enlace de la DMZ compartido con la réplica del historiador. Cuando la cola se llena, el recolector descarta los paquetes en bruto más antiguos pero conserva los registros resumidos, y genera una alerta de «visibilidad degradada» para que los analistas sepan que la ausencia de alertas significa menos.
Ejercicios — capítulo 32
- EX094 — Objetivo. Frase de disponibilidad para el camino de denegación. Rúbrica: 3 = objetivo por ventana + medida; 2 = «alta» vaga; 1 = broma de los cinco nueves; 0 = nada.
- EX095 — Degradación. ¿Qué nunca debe degradarse a ALLOW? Rúbrica: 3 = las decisiones de política/lista de permitidos; 2 = parcial; 1 = la interfaz; 0 = incorrecto.
- EX096 — Cola. Regla de contrapresión cuando la cola de borradores es larga. Rúbrica: 3 = detener el nuevo descubrimiento + avisar; 2 = parcial; 1 = ignorar; 0 = nada.
Síntesis del capítulo
Denegaciones fiables, reintentos con presupuesto, degradación hacia el cierre.
Siga estudiando — capítulo 32 de 50
← Capítulo 31 (borrador) · Índice de capítulos del curso · Capítulo 33 (borrador) →