Capítulo 5 — Seguridad de TO, IoT y sistemas ciberfísicos: alternativas de diseño

Mapa de la lección

Lección 05 publicada. Mapa, ejemplo, EX021.

flowchart TD
  N0["Resultados de aprendizaje"]
  N1["5.1 El problema"]
  N2["5.2 Tres alternativas"]
  N3["5.3 Evaluarlas"]
  N4["5.4 Registrar los rechazos"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX021"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje"]
  N1["5.1 El problema"]
  N2["5.2 Tres alternativas"]
  N3["5.3 Evaluarlas"]
  N4["5.4 Registrar los rechazos"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX021"]

[Resultados de aprendizaje]
    |
    v
[5.1 El problema]
    |
    v
[5.2 Tres alternativas]
    |
    v
[5.3 Evaluarlas]
    |
    v
[5.4 Registrar los rechazos]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX021]

Resultados de aprendizaje

Usted será capaz de (1) generar alternativas de diseño realmente distintas para proteger estaciones de bombeo remotas; (2) evaluarlas con criterios operativos, de seguridad y de ciclo de vida; (3) usar los conceptos de zona y conducto de IEC 62443 para describir cada una; y (4) documentar por qué se rechazaron las alternativas rechazadas.

5.1 El problema

Las 23 estaciones de bombeo de BWRP impulsan las aguas residuales hasta la planta. Cada una tiene una RTU con un módem celular que informa de los niveles y del estado de las bombas al SCADA y acepta órdenes de arranque y parada. Algunos módems tienen direcciones IP públicas, lo que los sitúa en la categoría de exposición que ATT&CK for ICS denomina T0883 Internet Accessible Device. Lo que más importa son las órdenes. Una lectura de nivel falsa podría ocultar un desbordamiento, pero una parada remota enviada a una bomba durante una tormenta podría provocarlo. Por eso cualquier diseño tiene que responder a dos preguntas: quién puede llegar a las RTU y si las órdenes remotas son necesarias en absoluto. Las respuestas difieren según la estación, y por eso las alternativas se comparan estación por estación.

5.2 Tres alternativas

Alternativa 1, APN privado: el operador de telecomunicaciones proporciona un nombre de punto de acceso privado para que los módems no tengan direcciones públicas; el tráfico llega a BWRP a través de un túnel gestionado por el operador. Alternativa 2, VPN en el lado de la RTU: cada RTU (o un pequeño router junto a ella) establece un túnel IPsec con un concentrador de BWRP en la DMZ. Alternativa 3, enlace de solo supervisión con control local: se eliminan las órdenes remotas; las RTU ejecutan el control local de nivel y solo informan, y los operadores envían cuadrillas ante las excepciones.

Cada alternativa cambia una cosa distinta. La primera elimina las direcciones públicas, pero mantiene la confianza en el operador. La segunda añade el cifrado y la autenticación propios de BWRP a costa de más equipos. La tercera elimina la capacidad más arriesgada, las órdenes remotas, y acepta una respuesta más lenta. Son realmente distintas, y eso es lo que hace útil compararlas.

5.3 Evaluarlas

La alternativa 1 es rápida y barata, pero confía en el aislamiento del operador. La alternativa 2 da a BWRP su propia frontera criptográfica, pero añade 23 dispositivos que parchear y certificados que gestionar. La alternativa 3 es la que más reduce la superficie de ataque (sin órdenes remotas no hay manipulación remota de las bombas), pero alarga la respuesta a algunas averías, algo que operación debe aceptar. En términos de 62443, cada alternativa define un conducto distinto entre las zonas de las estaciones de bombeo y la zona SCADA, con capacidades de seguridad distintas.

Ponga la evaluación en una tabla con los mismos criterios para cada alternativa, como el plazo de despliegue, el coste a cinco años, el efecto en la respuesta a los desbordamientos y la exposición que queda. Puntúe cada clase de estación por separado, porque una estación junto a la playa con una consecuencia de desbordamiento alta justifica más que una estación de interior cuyo desbordamiento queda contenido.

5.4 Registrar los rechazos

Un registro de diseño enumera las alternativas rechazadas y el motivo. De lo contrario, los revisores futuros las vuelven a proponer sin conocer la historia. Para BWRP, el registro anota que la alternativa 3 se rechazó porque los arranques remotos de bombas evitaron tres desbordamientos el año pasado. Si la operación cambia más adelante, por ejemplo al añadir almacenamiento local o control automático en las estaciones de consecuencia alta, el motivo puede dejar de ser válido, y el registro le dice al siguiente revisor exactamente qué condición comprobar. Feche el registro y nombre a quién aceptó el rechazo.

Ejemplo resuelto (BWRP sintética)

Daniel recomienda la alternativa 1 de inmediato (elimina la exposición pública en un mes) y la alternativa 2 para las seis estaciones con mayor consecuencia de desbordamiento (cerca de las playas), y rechaza la alternativa 3 porque operación demostró que los arranques remotos de bombas evitaron tres desbordamientos el año pasado.

Caso sintético — Bayside Water Reclamation Plant. Los recuentos de estaciones y el historial de desbordamientos son inventados.

Errores y límites

Un APN privado no es cifrado; las redes internas del operador quedan fuera del control de BWRP. Hay que probar el efecto de latencia de las alternativas sobre la telemetría.

Ejercicios — capítulo 5

• EX021 — El registro de la opción rechazada. Escriba la entrada de rechazo de la alternativa 3.
  Mostrar criterios de evaluación

  Rúbrica: 3 = motivo con evidencia y condiciones para reconsiderarla; 2 = solo el motivo; 1 = «no elegida»; 0 = nada.
• EX022 — Hipótesis de confianza de un APN privado. Indique la hipótesis de confianza de la que depende la alternativa 1.
  Mostrar criterios de evaluación

  Rúbrica: 3 = el operador aísla el tráfico del APN y gestiona el acceso correctamente; 2 = vago; 1 = intento mínimo; 0 = nada.
• EX023 — Coste de ciclo de vida de las VPN en las RTU. Enumere dos tareas recurrentes que añade la alternativa 2.
  Mostrar criterios de evaluación

  Rúbrica: 3 = renovación/rotación de certificados, parches del firmware de los routers (o mantenimiento del concentrador); 2 = una; 1 = tareas puntuales; 0 = nada.
• EX024 — Justificar un híbrido. Justifique aplicar la alternativa 2 solo a seis estaciones.
  Mostrar criterios de evaluación

  Rúbrica: 3 = niveles según la consecuencia, coste proporcional al riesgo; 2 = parcial; 1 = solo el coste; 0 = nada.
• EX025 — Descripción del conducto. Describa el conducto de la alternativa 2 con el lenguaje de zonas y conductos.
  Mostrar criterios de evaluación

  Rúbrica: 3 = conducto desde cada zona de estación de bombeo por un túnel IPsec hasta el concentrador de la DMZ y de ahí a la zona SCADA, con los controles indicados; 2 = parcial; 1 = «VPN»; 0 = nada.

Síntesis del capítulo

Un buen trabajo de diseño produce alternativas reales, las evalúa a lo largo de su ciclo de vida, escalona la protección según la consecuencia y recuerda por qué se rechazaron las opciones.

Siga estudiando — capítulo 05 de 12

← Capítulo 04 (borrador) · Índice de capítulos del curso · Capítulo 06 (borrador) →