Capítulo 7 — Acceso remoto de contratistas y fabricantes

Mapa de la lección

Lección 07 publicada. Mapa, ejemplo, EX031.

flowchart TD
  N0["Resultados de aprendizaje"]
  N1["7.1 Muchas manos"]
  N2["7.2 Lecciones de AA21-042A"]
  N3["7.3 Un proceso controlado"]
  N4["7.4 Retirar las vías antiguas"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX031"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje"]
  N1["7.1 Muchas manos"]
  N2["7.2 Lecciones de AA21-042A"]
  N3["7.3 Un proceso controlado"]
  N4["7.4 Retirar las vías antiguas"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX031"]

[Resultados de aprendizaje]
    |
    v
[7.1 Muchas manos]
    |
    v
[7.2 Lecciones de AA21-042A]
    |
    v
[7.3 Un proceso controlado]
    |
    v
[7.4 Retirar las vías antiguas]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX031]

Resultados de aprendizaje

Usted podrá (1) inventariar todas las vías remotas hacia los sistemas del edificio; (2) aplicar las lecciones de CISA AA21-042A; y (3) diseñar un proceso de acceso remoto controlado para los contratistas.

7.1 Muchas manos

Un hospital puede tener contratistas distintos para el BMS, las enfriadoras, los ascensores, las alarmas de incendio y el control de accesos, y cada uno quiere soporte remoto. Sin una política, cada uno instala su propia vía: una herramienta de escritorio remoto en la estación de trabajo, un enrutador, un módem celular. En Millbrook Aisha encontró cuatro vías distintas, tres de ellas instaladas por contratistas para su propia comodidad. Ninguna era maliciosa, pero cada una era una entrada que el hospital no controlaba. La primera tarea es enumerar todas las vías, con quién las instaló, qué alcanzan y si alguien las sigue usando.

7.2 Lecciones de AA21-042A

El aviso de CISA sobre el compromiso en 2021 de una instalación de tratamiento de agua de EE. UU. describe cómo se usó software de acceso remoto para alcanzar un sistema de control. Entre sus recomendaciones están la autenticación multifactor, contraseñas robustas para el escritorio remoto, el cierre de los puertos de escritorio remoto sin uso y la auditoría de las conexiones remotas. MITRE ATT&CK for ICS describe el uso indebido de estas vías como T0886 Remote Services. En Millbrook las lecciones se aplican directamente a las vías que encontró Aisha. Una herramienta de escritorio remoto en BMS-WS es el mismo tipo de vía que describe el aviso. Exigir autenticación multifactor, auditar las conexiones y cerrar el acceso por escritorio remoto sin uso son pasos prácticos que mantenimiento y los contratistas pueden acordar sin esperar a un proyecto mayor.

7.3 Un proceso controlado

Una única pasarela de acceso remoto propiedad del hospital; una cuenta nominativa y con autenticación multifactor para cada ingeniero del contratista; cuentas desactivadas por defecto y activadas por ticket; acceso limitado al sistema concreto que mantiene el contratista; sesiones grabadas cuando sea posible; la cuenta desactivada al terminar la sesión. Escriba el proceso en un documento breve que firmen los contratistas, para que sepan cómo obtener acceso tanto en una emergencia como para el trabajo planificado. Pruébelo una vez con cada contratista antes de retirar las vías antiguas. Revise las cuentas de la pasarela cada semana, porque las cuentas que quedan activadas tras una sesión son en sí mismas un hallazgo, como muestra después el informe de riesgos de Millbrook.

7.4 Retirar las vías antiguas

Una vez que la pasarela esté en servicio, retire las herramientas de escritorio remoto instaladas directamente en las estaciones de trabajo del edificio y desconecte los módems no gestionados, de acuerdo con el contratista y con mantenimiento, en un momento planificado, para que no se pierda el soporte durante una emergencia. En Millbrook el orden se acordó con mantenimiento: la herramienta de escritorio remoto se retiró solo después de que funcionara la cuenta del contratista del BMS en la pasarela, el enrutador de la enfriadora una semana después, y el enlace del ascensor se restringió en lugar de retirarse. Registre cada retirada con la fecha y quién la confirmó, y vuelva a comprobar después el inventario de vías para asegurarse de que nada ha reaparecido.

Ejemplo resuelto (Millbrook sintético)

El inventario de vías de Aisha encuentra cuatro entradas: la pasarela, una herramienta de escritorio remoto en BMS-WS instalada por el contratista del BMS, el enlace celular del ascensor y el enrutador de un fabricante de enfriadoras. Mantenimiento acuerda un plan: la herramienta de escritorio remoto se retira en la semana 1, después de que funcione la cuenta del contratista en la pasarela; el enrutador de la enfriadora, en la semana 2; el enlace del ascensor se restringe al centro de servicio del contratista del ascensor y exige un ticket.

Caso sintético — Millbrook. Las vías y los plazos son inventados.

Errores y límites

Algunos enlaces de ascensores y de alarmas de incendio son necesarios para la supervisión de la seguridad; restrínjalos y regístrelos en lugar de retirarlos a ciegas.

Ejercicios — capítulo 7

• EX031 — Contar las vías. Enumere las cuatro vías remotas que encontró Aisha.
  Mostrar criterios de evaluación

  Rúbrica: 3 = pasarela, escritorio remoto en BMS-WS, enlace celular del ascensor, enrutador de la enfriadora; 2 = tres; 1 = una; 0 = nada.
• EX032 — Aplicar el aviso. Aplique dos recomendaciones de AA21-042A al acceso del contratista del BMS.
  Mostrar criterios de evaluación

  Rúbrica: 3 = MFA en la cuenta de la pasarela y auditoría de las sesiones (o cerrar el puerto RDP o contraseña robusta); 2 = una; 1 = vago; 0 = nada.
• EX033 — Límites por sistema. ¿Por qué la cuenta del contratista de la enfriadora no debe alcanzar el servidor de control de accesos?
  Mostrar criterios de evaluación

  Rúbrica: 3 = mínimo privilegio; el compromiso de un contratista queda limitado a su sistema; 2 = parcial; 1 = sin motivo; 0 = nada.
• EX034 — Momento de la retirada. ¿Por qué la herramienta de escritorio remoto se retira solo después de que funcione la cuenta de la pasarela?
  Mostrar criterios de evaluación

  Rúbrica: 3 = evitar perder el soporte durante una emergencia; probar antes el sustituto; 2 = parcial; 1 = sin motivo; 0 = nada.
• EX035 — Enlace de seguridad. El enlace de supervisión de la alarma de incendios usa un módem celular. ¿Debe desconectarse?
  Mostrar criterios de evaluación

  Rúbrica: 3 = no; supervisión de la seguridad; restringir, documentar y revisar con el responsable; 2 = solo «no»; 1 = sí; 0 = nada.

Síntesis del capítulo

Toda ayuda remota pasa por una única pasarela con cuentas nominativas, con autenticación multifactor y asociadas a un ticket; las vías heredadas se retiran con cuidado.

Siga estudiando — capítulo 07 de 12

← Capítulo 06 (borrador) · Índice de capítulos del curso · Capítulo 08 (borrador) →