Capítulo 38 — Seguridad de TO, IoT y sistemas ciberfísicos: validación

Mapa de la lección

Lección 38 publicada. Mapa, ejemplo, EX112.

flowchart TD
  N0["Resultados de aprendizaje"]
  N1["38.1 Diseño de la nueva prueba"]
  N2["38.2 Resultados negativos"]
  N3["38.3 Ningún método nuevo"]
  N4["Nota práctica"]
  N5["38.1b Evidencia de la validación y arbitraje"]
  N6["Nota de campo: nueva prueba por muestreo"]
  N7["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX112"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje"]
  N1["38.1 Diseño de la nueva prueba"]
  N2["38.2 Resultados negativos"]
  N3["38.3 Ningún método nuevo"]
  N4["Nota práctica"]
  N5["38.1b Evidencia de la validación y arbitraje"]
  N6["Nota de campo: nueva prueba por muestreo"]
  N7["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX112"]

[Resultados de aprendizaje]
    |
    v
[38.1 Diseño de la nueva prueba]
    |
    v
[38.2 Resultados negativos]
    |
    v
[38.3 Ningún método nuevo]
    |
    v
[Nota práctica]
    |
    v
[38.1b Evidencia de la validación y arbitraje]
    |
    v
[Nota de campo: nueva prueba por muestreo]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX112]

Resultados de aprendizaje

Usted podrá (1) validar las correcciones con nuevas pruebas; (2) evitar validaciones que reintroduzcan riesgo de proceso; (3) registrar los resultados negativos.

38.1 Diseño de la nueva prueba

Mismo punto de observación, mínimo privilegio, mismo estándar de evidencia. Para una corrección de la lista de permitidos: confirme en el banco que la escritura se deniega; no lance escrituras contra el PLC en servicio. Cuando se restringió la lista de permitidos de HIST-1 en ABP, Lena repitió la prueba desde el mismo servidor de salto y la misma cuenta que se usaron para el hallazgo original. Reprodujo una escritura con la función 16 hacia la copia de banco del PLC-A y confirmó que el monitor la denegaba con el código de motivo esperado. La comprobación en servicio fue de solo lectura: comparó la versión desplegada de la lista de permitidos con la versión del banco en lugar de enviar escrituras hacia los equipos de producción.

38.2 Resultados negativos

«Sigue abierto» es un resultado de validación válido. Los almacenes de hallazgos deben aceptarlo sin forzar el cierre. En ABP, la nueva prueba sobre las contraseñas de ingeniería compartidas descubrió que seguían en uso en dos estaciones de trabajo, así que el hallazgo siguió abierto con la nueva evidencia adjunta. El almacén de hallazgos de Lena permite que una nueva prueba registre «sigue abierto» con una fecha y un motivo, y el responsable recibe un nuevo plazo. Obligar a que cada nueva prueba cierre un hallazgo animaría a los revisores a dar por terminadas correcciones que solo se han aplicado en parte.

38.3 Ningún método nuevo

La validación dentro de una ventana del CNHP usa el método que encontró el problema, o una comprobación de solo lectura más débil, como una captura pasiva del monitor; no es una oportunidad para probar ataques nuevos.

Caso sintético — Ashford Batch Plant. Nueva prueba de la regla de L4 a L2: la alcanzabilidad ya excluye L1-SIS; ticket cerrado con el hash de la exportación. Un hallazgo aparte sobre las contraseñas de ingeniería compartidas siguió abierto.

El plan de validación de Lena nombra el método original en el ticket antes de que empiece la nueva prueba. Cuando un revisor sugirió probar una nueva herramienta de fuzzing durante la validación, ella lo registró como propuesta para la siguiente evaluación.

38.4 Errores y límites

Un entorno distinto (banco frente a planta) significa que validó el banco. En ABP, la corrección de la lista de permitidos de Lena se validó primero en la copia de banco del PLC-A, y el ticket lo decía. Una comprobación aparte de solo lectura confirmó que el monitor de producción ejecutaba la misma versión de la lista de permitidos, y solo entonces el hallazgo se marcó como corregido en producción. Los informes mantienen separados ambos resultados, porque un aprobado en el banco no puede demostrar que la configuración de la planta coincida con la del banco, y algunas diferencias, como las revisiones de firmware, cambiarían el resultado.

Nota práctica

Las nuevas pruebas automatizadas son comprobaciones de una lista de permitidos con tiempos de espera estrictos. Nunca incluyen relleno de credenciales ni reintentos de explotación.

38.1b Evidencia de la validación y arbitraje

Los tickets de validación del CNHP enlazan con el hallazgo original, el método usado, el número del permiso de trabajo, la marca de tiempo y el hash de la nueva evidencia. Un «me parece bien» del supervisor sin esos campos no cierra un hallazgo crítico. Las disputas se escalan a un árbitro nombrado que compara los hashes de la evidencia: no vuelve a atacar. Cuando muchos hallazgos similares comparten una causa raíz, repita la prueba en una muestra más los activos notificados originalmente, y dígalo. Las decisiones del árbitro son definitivas para la ventana y solo pueden recurrirse en la retrospectiva.

Los tickets de Lena llevan los cuatro campos.

Nota de campo: nueva prueba por muestreo

Veinte HMI compartían una entrada ausente en la lista de permitidos. La validación repitió la prueba en cinco más los dos notificados originalmente, documentó la muestra y dejó el hallazgo abierto hasta que terminó el trabajo en toda la flota. Afirmar que los veinte estaban cerrados tras dos comprobaciones habría sido una mentira de medición.

38.5 Ejemplo resuelto: nueva prueba de validación del diseño de zonas (ABP sintética)

Seis meses después del despliegue, Lena vuelve a ejecutar la comprobación de alcanzabilidad del capítulo 2 sobre la exportación del cortafuegos en servicio y la lista de conductos del descubrimiento pasivo. La exportación coincide con el diseño en 8 de 9 conductos; el noveno muestra una regla L4→L3 no documentada añadida durante una actualización del ERP. El informe de validación registra el hallazgo negativo con evidencia, lo asigna al responsable de la red y no introduce ningún método de prueba nuevo a mitad de la validación, para que los resultados sigan siendo comparables con la línea base de la puesta en marcha. La zona del SIS-B sigue siendo inalcanzable en ambos conjuntos de datos, lo que se notifica como confirmado y no como supuesto.

Ejercicios — capítulo 38

• EX112 — Nueva prueba. Pasos para validar con seguridad la eliminación de una regla de L4 a L2. Rúbrica: 3 = exportación + alcanzabilidad, sin camino esperado, evidencia, sin escrituras en servicio; 2 = parcial; 1 = ataque en servicio; 0 = nada.
• EX113 — Negativo. ¿Por qué «sigue abierto» debe poder guardarse? Rúbrica: 3 = honestidad/métricas; 2 = vago; 1 = cerrar siempre; 0 = nada.
• EX114 — Entorno. Limitación cuando la nueva prueba fue solo en el banco. Rúbrica: 3 = clara; 2 = vaga; 1 = afirma sobre la planta; 0 = nada.

Síntesis del capítulo

Valide de forma acotada; conserve los negativos; no amplíe los métodos.

Siga estudiando — capítulo 38 de 50

← Capítulo 37 (borrador) · Índice de capítulos del curso · Capítulo 39 (borrador) →