OpenCyber AcademyMapa de la lección
Lección 06 publicada. Mapa, ejemplo, EX026.
flowchart TD
N0["Resultados de aprendizaje"]
N1["6.1 Cómo ocurre"]
N2["6.2 Comprobar la exposición"]
N3["6.3 Lectura del resultado"]
N4["6.4 Respuesta"]
N5["6.5 Evitar que se repita"]
N6["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX026"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["6.1 Cómo ocurre"]
N2["6.2 Comprobar la exposición"]
N3["6.3 Lectura del resultado"]
N4["6.4 Respuesta"]
N5["6.5 Evitar que se repita"]
N6["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX026"]
[Resultados de aprendizaje]
|
v
[6.1 Cómo ocurre]
|
v
[6.2 Comprobar la exposición]
|
v
[6.3 Lectura del resultado]
|
v
[6.4 Respuesta]
|
v
[6.5 Evitar que se repita]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX026]
Resultados de aprendizaje
Usted podrá (1) explicar por qué las interfaces del edificio acaban en internet; (2) comparar una exportación de exposición con una lista aprobada; y (3) responder a una exposición no aprobada.
6.1 Cómo ocurre
Un contratista abre un puerto para alcanzar desde casa la página web del BMS; una empresa de ascensores añade un enrutador; una regla de cortafuegos de un proyecto nunca se retira. MITRE ATT&CK for ICS recoge la técnica T0883 Internet Accessible Device precisamente para esta situación, y los avisos de CISA instan una y otra vez a retirar las interfaces de los sistemas de control del acceso directo desde internet. En Millbrook, una regla añadida en 2023 para la puesta en marcha de la enfriadora expuso directamente a internet BACnet y el inicio de sesión web del BMS, y nadie la retiró tras el proyecto. Toda apertura de este tipo empieza con una petición razonable por comodidad. La tarea consiste en dar a los contratistas una vía con soporte para que no necesiten pedir puertos.
6.2 Comprobar la exposición
El equipo de redes del hospital, o un servicio autorizado, elabora una lista de las direcciones públicas del hospital y de los servicios abiertos. El analista la compara con la lista aprobada, que normalmente contiene solo la pasarela de acceso remoto.
"""Lab 6: compare a synthetic external-exposure export with approved internet-facing services."""
approved = {("203.0.113.10", 443)}
found = [("203.0.113.10", 443, "VPN gateway"), ("203.0.113.24", 47808, "BACnet/IP"),
("203.0.113.24", 80, "BMS web login")]
for ip, port, svc in found:
print(f"{ip}:{port:<6} {svc:14} {'approved' if (ip, port) in approved else 'NOT APPROVED - report'}")
print("unapproved:", sum((ip, port) not in approved for ip, port, _ in found))
Ejecútelo con python3 lab_exposure.py. Salida verificada:
203.0.113.10:443 VPN gateway approved
203.0.113.24:47808 BACnet/IP NOT APPROVED - report
203.0.113.24:80 BMS web login NOT APPROVED - report
unapproved: 2
Obtenga la exportación de quienes son dueños de las direcciones, y no sondee usted mismo las direcciones del hospital salvo que el equipo de redes lo haya autorizado. La lista aprobada debe ser corta y nombrar un responsable para cada entrada. El Lab 6 compara la exportación de Millbrook con una lista aprobada que solo contiene la pasarela VPN.
6.3 Lectura del resultado
La pasarela VPN en 203.0.113.10, puerto 443, está aprobada. La dirección 203.0.113.24 expone BACnet/IP en el 47808 y un inicio de sesión web del BMS en el 80. Ninguno de los dos está aprobado: cualquiera en internet podría intentar leer u ordenar a los controladores, o adivinar la contraseña web. La exposición importa más por lo que hay detrás. BACnet acepta órdenes de cualquiera que pueda alcanzarlo, así que no es solo una fuga de datos sino una vía hacia los ajustes del aire de los quirófanos y de la enfriadora. Esa combinación la sitúa en lo más alto del informe del analista al equipo de redes y a mantenimiento.
6.4 Respuesta
Informe de inmediato al equipo de redes y a mantenimiento; pida al responsable de la red que cierre la exposición mediante un cambio de emergencia; revise los registros en busca de conexiones desde el exterior; averigüe quién la abrió y por qué, y ofrézcale en su lugar una vía con soporte. Guarde la exportación, las horas y los extractos de registro con el informe, porque muestran cuánto duró la exposición y si alguien la usó. En Millbrook, los registros del cortafuegos mostraron muchos intentos externos de alcanzar el puerto 47808 en los últimos meses. Ese hallazgo se traslada a mantenimiento para que compruebe los ajustes de los controladores y los registros de tendencias en busca de cambios en el mismo periodo.
6.5 Evitar que se repita
Añada una comprobación mensual de exposición al calendario del equipo de redes, exija una fecha de fin en toda regla de cortafuegos abierta para un proyecto y haga que los contratistas soliciten el acceso remoto mediante el proceso de la pasarela en lugar de pedir puertos. Cada medida cierra una causa. La comprobación mensual detecta lo que se escapa; las fechas de fin hacen que las reglas de proyecto caduquen; el proceso de la pasarela da a los contratistas una vía que no necesita puertos abiertos. Lleve el seguimiento de la comprobación mensual en el registro con la fecha y el resultado, para que un mes omitido quede a la vista.
Ejemplo resuelto (Millbrook sintético)
El equipo de redes rastrea 203.0.113.24 hasta una regla de cortafuegos añadida en 2023 para un proyecto de puesta en marcha de la enfriadora. La retiran en menos de una hora; los registros del cortafuegos muestran muchos intentos de conexión externos al puerto 47808 en los últimos meses. Al contratista se le dan cuentas en la pasarela en su lugar.
Caso sintético — Millbrook. Las direcciones pertenecen al rango de documentación 203.0.113.0/24 y los hechos son inventados.
Errores y límites
Las listas de exposición son instantáneas; repítalas cada mes. Pruebe solo direcciones que pertenezcan a su organización, por medios autorizados.
Ejercicios — capítulo 6
- EX026 — Cómo se produce la exposición. Describa dos formas en que una interfaz del BMS llega a ser accesible desde internet.
Mostrar criterios de evaluación
Rúbrica: 3 = dos vías concretas (puerto del contratista, regla olvidada, enrutador del fabricante); 2 = una; 1 = vago; 0 = nada. - EX027 — Tercer hallazgo. Si la exportación encontrara también 203.0.113.10 en el puerto 22, ¿qué imprimiría el laboratorio para ese hallazgo y para el total?
Mostrar criterios de evaluación
Rúbrica: 3 = una línea NOT APPROVED yunapproved: 3; 2 = una de las dos; 1 = aprobado; 0 = nada. - EX028 — Nombre de la técnica. ¿Qué técnica de ATT&CK for ICS describe la situación de 203.0.113.24?
Mostrar criterios de evaluación
Rúbrica: 3 = T0883 Internet Accessible Device; 2 = solo el nombre; 1 = incorrecto; 0 = nada. - EX029 — Pasos de respuesta. Enumere los pasos de respuesta tras encontrar una exposición no aprobada.
Mostrar criterios de evaluación
Rúbrica: 3 = informar, cierre de emergencia por el responsable, revisar registros, averiguar la causa, ofrecer una alternativa segura; 2 = tres; 1 = uno; 0 = nada. - EX030 — Límite de las pruebas. ¿Por qué Aisha no prueba las direcciones de otros hospitales «para comparar»?
Mostrar criterios de evaluación
Rúbrica: 3 = no está autorizada, puede ser ilegal, podría causar interrupciones; 2 = uno; 1 = no pasa nada; 0 = nada.
Síntesis del capítulo
Solo la pasarela da a internet; cualquier otra cosa que se encuentre se notifica, se cierra y se sustituye por una vía con soporte.
Siga estudiando — capítulo 06 de 12
← Capítulo 05 (borrador) · Índice de capítulos del curso · Capítulo 07 (borrador) →