Capítulo 3 — Seguridad de TO, IoT y sistemas ciberfísicos: evidencia especializada

Mapa de la lección

Lección 03 publicada. Mapa, ejemplo, EX011.

flowchart TD
  N0["Resultados de aprendizaje"]
  N1["3.1 Fuentes y sus puntos ciegos"]
  N2["3.2 Los conflictos son información"]
  N3["3.3 Valorar afirmaciones externas"]
  N4["3.4 Declaraciones de confianza"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX011"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje"]
  N1["3.1 Fuentes y sus puntos ciegos"]
  N2["3.2 Los conflictos son información"]
  N3["3.3 Valorar afirmaciones externas"]
  N4["3.4 Declaraciones de confianza"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX011"]

[Resultados de aprendizaje]
    |
    v
[3.1 Fuentes y sus puntos ciegos]
    |
    v
[3.2 Los conflictos son información]
    |
    v
[3.3 Valorar afirmaciones externas]
    |
    v
[3.4 Declaraciones de confianza]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX011]

Resultados de aprendizaje

Usted será capaz de (1) valorar la calidad de las fuentes de evidencia de seguridad de TO; (2) conciliar evidencia contradictoria procedente de datos de red, de equipos y de proceso; (3) evaluar con sentido crítico las afirmaciones de proveedores y avisos; y (4) redactar una valoración de la evidencia que indique niveles de confianza.

3.1 Fuentes y sus puntos ciegos

Las capturas pasivas de red muestran quién habló con quién, pero no ven los enlaces serie ni el significado de las cargas útiles cifradas. Los registros de eventos del controlador, cuando existen, muestran los cambios de programa, pero a menudo se sobrescriben tras unos cientos de entradas. Los datos de proceso del historiador muestran el efecto físico, pero no la causa. Los registros de auditoría de la HMI muestran las acciones del operador, pero no las sesiones de la herramienta de ingeniería. El trabajo con evidencia especializada las combina porque a cada una se le escapa algo.

Antes de confiar en cualquier fuente, escriba qué puede y qué no puede ver en BWRP. La captura cubre la red de la planta, pero no a un técnico ante el panel de dosificación. El registro de eventos de PLC-D puede haberse sobrescrito desde el evento. El historiador registra el punto de consigna, pero no quién lo cambió. Esa lista le dice a Daniel qué segunda fuente consultar para cada pregunta.

3.2 Los conflictos son información

Si el historiador muestra un cambio del punto de consigna de dosificación a las 14:02, pero ni el registro de auditoría de la HMI ni la captura de red muestran una escritura, las posibilidades son una captura incompleta, un desfase de reloj, un cambio local en el panel o una lógica que cambia el punto de consigna internamente. Cada hipótesis predice algo comprobable: los registros del interruptor de llave del panel, una comparación del programa del PLC, los contadores de pérdida de paquetes de la captura.

Escriba cada hipótesis con la comprobación que la descartaría y haga primero las comprobaciones más baratas. Un desfase de reloj puede probarse en minutos comparando las marcas de tiempo de un evento conocido en varios sistemas. Registre el resultado de cada comprobación, incluidas las que solo eliminan una posibilidad, porque son las que hacen creíble la conclusión final.

3.3 Valorar afirmaciones externas

Los avisos ICS de CISA describen los productos y versiones afectados, las puntuaciones CVSS y las mitigaciones coordinadas con los proveedores; son una evidencia sólida de la existencia de una vulnerabilidad y más débil de si es explotable en su configuración. Las declaraciones de un proveedor de que un producto «no está afectado» merecen que se le pida el razonamiento. Los estudios de medición revisados por pares, como el análisis de Mirai de Antonakakis et al. (USENIX Security 2017), incluyen secciones de método que usted puede evaluar.

Para BWRP, un aviso que afecte a un producto usado en PLC-D debería llevar a dos preguntas: si la versión afectada está instalada y si la función vulnerable es alcanzable desde donde podría estar un atacante. Registre las respuestas junto al aviso en el inventario. Cuando un proveedor diga que no está afectado, archive su razonamiento con la fecha, para poder comprobar la afirmación más adelante.

3.4 Declaraciones de confianza

Declare la confianza de forma explícita: alta (varias fuentes independientes coinciden), moderada (una fuente sólida, sin contradicción), baja (inferencia a partir de datos indirectos). Los líderes actúan de manera distinta en cada caso. Asigne el nivel a cada conclusión, no al informe en su conjunto, y diga qué fuentes la respaldan. El hallazgo de las 14:02 de Daniel tiene confianza alta porque la captura, la comparación del programa y el registro del interruptor de llave coinciden. Una conclusión basada solo en el registro del interruptor de llave sería moderada, y una conjetura sobre quién estaba en la planta, antes de comprobar los cuadrantes de turnos, sería baja.

Ejemplo resuelto (BWRP sintética)

A las 14:02, el historiador muestra que el punto de consigna de dosificación de hipoclorito en PLC-D pasa de 4,0 a 6,5 mg/L. No hay entrada de auditoría en la HMI ni escritura Modbus en la captura. Daniel comprueba: los contadores de pérdida de la captura muestran 0 paquetes descartados; la comparación del programa del PLC muestra un programa sin cambios; el registro del interruptor de llave del panel local muestra «modo local 14:01–14:05». Valoración: confianza alta en que el cambio se hizo localmente en el panel; siguiente paso, identificar quién estaba en la planta.

Caso sintético — Bayside Water Reclamation Plant. Las horas, etiquetas y valores son inventados.

Errores y límites

La ausencia de evidencia en una captura solo tiene significado si se conocen la cobertura y la pérdida de la captura. Un intruso capaz puede alterar los registros.

Ejercicios — capítulo 3

• EX011 — Predicciones a partir de hipótesis. Para la hipótesis «desfase de reloj», indique qué evidencia la confirmaría.
  Mostrar criterios de evaluación

  Rúbrica: 3 = escritura correspondiente encontrada en la captura o en el registro de la HMI en la hora desplazada, con el desfase medido; 2 = parcial; 1 = vago; 0 = nada.
• EX012 — Confianza con evidencia de una sola fuente. La única evidencia de un inicio de sesión remoto es una línea del registro de la VPN. ¿Qué confianza y por qué?
  Mostrar criterios de evaluación

  Rúbrica: 3 = moderada como mucho, una sola fuente, podría estar alterada o mal atribuida; 2 = solo el nivel; 1 = alta; 0 = nada.
• EX013 — Interpretar una afirmación de «no afectado». Un proveedor dice que su RTU no está afectada por el fallo de biblioteca de un aviso. ¿Qué pregunta usted?
  Mostrar criterios de evaluación

  Rúbrica: 3 = qué versión/componente, por qué no es alcanzable, evidencia (SBOM, análisis); 2 = una; 1 = aceptarlo; 0 = nada.
• EX014 — Qué demuestran los contadores de pérdida de la captura. ¿Por qué comprobó Daniel los contadores de pérdida de paquetes antes de confiar en «no se ve ninguna escritura»?
  Mostrar criterios de evaluación

  Rúbrica: 3 = la ausencia solo tiene significado si la captura está completa; 2 = parcial; 1 = vago; 0 = nada.
• EX015 — Punto ciego de los datos de proceso. Nombre una cosa que el historiador nunca puede decirle sobre el cambio de las 14:02.
  Mostrar criterios de evaluación

  Rúbrica: 3 = quién o qué lo inició (causa/identidad); 2 = vago; 1 = incorrecto; 0 = nada.

Síntesis del capítulo

El trabajo con evidencia especializada triangula fuentes con puntos ciegos conocidos, trata los conflictos como hipótesis que hay que probar y asigna una confianza a cada conclusión.

Siga estudiando — capítulo 03 de 12

← Capítulo 02 (borrador) · Índice de capítulos del curso · Capítulo 04 (borrador) →