Capítulo 2 — Seguridad de TO, IoT y sistemas ciberfísicos: seminario avanzado | Máster Seguridad de OT, IoT y sistemas ciberfísicos

Aprendizaje gratuito y abierto para quienes desean proteger a las personas y la tecnología. No se necesita una cuenta para estudiar ni consultar las respuestas.

Mapa de la lección

Lección 02 publicada. Mapa, ejemplo, EX008.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["2.1 Arquitectura: Purdue y zonas"]
  N2["2.2 Protocolos"]
  N3["2.3 Familias de detección"]
  N4["2.4 Evidencia de amenazas"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX008"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["2.1 Arquitectura: Purdue y zonas"]
  N2["2.2 Protocolos"]
  N3["2.3 Familias de detección"]
  N4["2.4 Evidencia de amenazas"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX008"]

[Resultados de aprendizaje y conexión]
    |
    v
[2.1 Arquitectura: Purdue y zonas]
    |
    v
[2.2 Protocolos]
    |
    v
[2.3 Familias de detección]
    |
    v
[2.4 Evidencia de amenazas]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX008]

Resultados de aprendizaje y conexión

Después de este capítulo usted podrá (1) explicar los niveles Purdue y las zonas de ISA/IEC 62443, (2) describir por qué los protocolos industriales clásicos carecen de autenticación, (3) contrastar la detección en red con la detección basada en la física, (4) leer ATT&CK for ICS como evidencia de capacidad y no como evidencia de frecuencia, y (5) extraer una laguna falsable de un mapa de la literatura.

2.1 Arquitectura: Purdue y zonas

NIST SP 800-82 Rev. 3 presenta el modelo Purdue: niveles 0–1 (proceso y control básico), 2 (supervisión), 3 (operaciones), 4–5 (empresa), con una DMZ industrial. ISA/IEC 62443-3-2 le pide particionar en zonas con un nivel de seguridad objetivo y controlar los conductos entre ellas. Un trabajo de fin de máster puede tratar un diseño de zonas como una hipótesis: ¿reduce un conducto que solo permite lecturas Modbus del nivel 2 al nivel 1 la alcanzabilidad de escritura en una fracción medida dentro de una topología sintética? En Harbor Loop la frontera pertinente se sitúa entre el nivel de supervisión y el PLC, donde Modbus/TCP transporta tanto lecturas como escrituras. Dibuje esa frontera en el trabajo aunque el estudio mida la detección y no la segmentación, porque el lector necesita saber qué posiciones del atacante supone la repetición. Un conducto que bloquea las escrituras no detiene las lecturas repetidas, y por eso la detección sigue importando.

2.2 Protocolos

El Modbus Application Protocol define códigos de función (entre ellos los de escritura de uno o varios registros) y un modelo de datos, pero ningún campo de autenticación ni de integridad. DNP3 Secure Authentication y los modelos de seguridad de OPC UA muestran que la industria ha añadido opciones; su adopción y la calidad de su implementación siguen siendo cuestiones empíricas. Nunca presente "Modbus es inseguro" como un hallazgo: es una propiedad de diseño de la especificación. Para el Harbor Loop Study la propiedad pertinente es que una respuesta que transporta un valor de nivel no tiene ningún campo que demuestre que procede del transmisor. Por eso la repetición es posible y por eso el trabajo mide la detección y no la prevención. Nombre los códigos de función que usa su modelo de atacante, para que el lector vea de qué partes de la especificación dependen los resultados.

2.3 Familias de detección

Los detectores de red observan paquetes; los detectores basados en la física observan si los valores de sensores y actuadores obedecen las leyes del proceso. Giraldo et al. revisaron estos últimos; Urbina et al. defendieron medir el impacto frente a un adversario sigiloso. Sommer y Paxson advirtieron que la detección de anomalías falla cuando lo "normal" es abierto; Arp et al. enumeraron errores de evaluación, entre ellos la puntuación con ajuste por puntos. Harbor Loop pertenece a la segunda familia: su CUSUM sobre el residuo compara la lectura de nivel con una estimación impulsada por el caudalímetro. Las advertencias de ambos artículos se aplican directamente. La operación normal de un lazo de agua es bastante cerrada, lo que ayuda, pero la puntuación debe usar episodios de ataque y no puntos, y la evaluación debe preguntar qué podría seguir haciendo un adversario sigiloso. La clase B es esa pregunta.

2.4 Evidencia de amenazas

MITRE ATT&CK for ICS enumera técnicas como Modify Parameter y Spoof Reporting Message. Los informes públicos sobre Stuxnet, los apagones de Ucrania de 2015 y TRITON/TRISIS muestran que la manipulación de la vista y el ataque a los sistemas de seguridad funcional son objetivos documentados de los adversarios. Úselos al nivel de los análisis públicos citados; no invente detalles operativos. Para el trabajo de fin de máster esta evidencia respalda una sola frase: manipular lo que ven los operadores es un objetivo documentado de los adversarios, de modo que probar la detección de una lectura de nivel repetida es pertinente. No respalda afirmaciones sobre la frecuencia con que las empresas de agua sufren repeticiones. Limite la cita a la técnica y al análisis público, y deje fuera del capítulo de antecedentes las afirmaciones de frecuencia.

2.5 Ejemplo resuelto: codificar una laguna

De doce estudios sintéticos L1–L12, solo dos informan el impacto en el momento de la detección, solo uno congela los umbrales antes de un segundo contexto y ninguno combina adversario consciente del detector + umbrales congelados + impacto + segunda planta. Laguna: ninguna evaluación de la detección por residuos frente a la repetición de sensores informa la exhaustividad por eventos, el retardo y el sobrellenado en el momento de la alarma con umbrales congelados en dos contextos y una clase de atacante explícita de dos sensores.

Escriba la laguna como una sola frase que nombre lo que falta y luego contraste cada palabra con la tabla codificada. Si un estudio sí combinara umbrales congelados y una segunda planta, la laguna se reduce y la frase debe cambiar. Una laguna construida a partir de una tabla de codificación puede auditarse; una laguna construida a partir de impresiones sobre el campo, no.

2.6 Errores comunes y límites

Citar normas como evidencia de que funcionan; tratar ATT&CK como tasas de base; reivindicar novedad a partir del nombre de un conjunto de datos nuevo. Estos errores comparten un patrón: confunden la existencia de un documento con la evidencia de un efecto. Una norma dice lo que debería hacerse; no demuestra que hacerlo reduzca el daño. ATT&CK enumera lo que se ha visto hacer a los adversarios, no con qué frecuencia. Un conjunto de datos nuevo es útil, pero la novedad debe venir de la pregunta que permite responder.

Ejercicios — capítulo 2

EX008 — Mapa Purdue de Harbor Loop L1. Asigne los componentes de Harbor Loop L1 a los niveles Purdue 0–3 y nombre dos conductos.
Mostrar criterios de evaluación
Rúbrica: 3 = componentes L0–L3 + dos conductos (SCADA↔PLC, historiador↔SCADA); 2 = solo niveles; 1 = parcial; 0 = nada.
EX009 — Zona 62443 como hipótesis medible. Reescriba una recomendación de zonas de 62443 como una hipótesis medible.
Mostrar criterios de evaluación
Rúbrica: 3 = hipótesis medible de conducto de solo lectura con métrica de ≥90 %; 2 = hipótesis sin métrica; 1 = eslogan; 0 = nada.
EX010 — Autenticación en Modbus frente a DNP3-SA. Compare Modbus y DNP3 Secure Authentication en cuanto a la presencia de autenticación usando solo las especificaciones públicas.
Mostrar criterios de evaluación
Rúbrica: 3 = Modbus sin autenticación frente a los desafíos de DNP3-SA; presencia, no adopción; 2 = solo presencia; 1 = afirmación sobre adopción; 0 = nada.
EX011 — Techo para un estudio con F1 con ajuste por puntos. Valore un estudio ficticio que informa un F1 con ajuste por puntos = 0.99 en un banco de pruebas; indique qué puede respaldar.
Mostrar criterios de evaluación
Rúbrica: 3 = techo de respaldo solo para marcas de segmento; excluye retardo/impacto/generalización/adversario consciente; 2 = techo sin exclusiones; 1 = acepta el 0.99; 0 = nada.
EX012 — Dos técnicas de ATT&CK para Harbor Loop. Seleccione dos técnicas de ATT&CK for ICS para Harbor Loop; explique por qué no son evidencia de frecuencia.
Mostrar criterios de evaluación
Rúbrica: 3 = Spoof Reporting Message + Modify Parameter + no son frecuencia; 2 = técnicas sin salvedad; 1 = una; 0 = nada.
EX013 — Lagunas débil y fuerte de la detección por residuos. Redacte enunciados de laguna débil y fuerte para la detección por residuos de la repetición de sensores.
Mostrar criterios de evaluación
Rúbrica: 3 = laguna débil frente a fuerte que coincide en sustancia con §2.5; 2 = débil/fuerte sin detalle de TO; 1 = una; 0 = nada.
EX014 — Errores de Arp más un error de TO. Enumere tres errores de evaluación de Arp et al. que se aplican a los detectores de TO y un error específico de TO.
Mostrar criterios de evaluación
Rúbrica: 3 = tres errores de Arp + error de impacto en el momento de la detección de TO; 2 = solo Arp; 1 = un error; 0 = nada.

Síntesis del capítulo

El seminario le da arquitectura, protocolos, familias de detección y evidencia de amenazas, y la disciplina para convertirlos en hipótesis y lagunas en lugar de eslóganes.

Siga estudiando — capítulo 02 de 08

← Capítulo 01 (borrador) · Índice de capítulos del curso · Capítulo 03 (borrador) →