Capítulo 8 — Segmentación de las redes del edificio | Profesional Seguridad de OT, IoT y sistemas ciberfísicos

Aprendizaje gratuito y abierto para quienes desean proteger a las personas y la tecnología. No se necesita una cuenta para estudiar ni consultar las respuestas.

Mapa de la lección

Lección 08 publicada. Mapa, ejemplo, EX036.

flowchart TD
  N0["Resultados de aprendizaje"]
  N1["8.1 Zonas"]
  N2["8.2 Conductos y reglas"]
  N3["8.3 Corregir la estación de trabajo conectada a dos"]
  N4["8.4 Migrar con seguridad"]
  N5["8.5 Documentación"]
  N6["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX036"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje"]
  N1["8.1 Zonas"]
  N2["8.2 Conductos y reglas"]
  N3["8.3 Corregir la estación de trabajo conectada a dos"]
  N4["8.4 Migrar con seguridad"]
  N5["8.5 Documentación"]
  N6["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX036"]

[Resultados de aprendizaje]
    |
    v
[8.1 Zonas]
    |
    v
[8.2 Conductos y reglas]
    |
    v
[8.3 Corregir la estación de trabajo conectada a dos]
    |
    v
[8.4 Migrar con seguridad]
    |
    v
[8.5 Documentación]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX036]

Resultados de aprendizaje

Usted podrá (1) definir zonas y conductos para los sistemas del edificio de Millbrook con la terminología de IEC 62443; (2) redactar un conjunto mínimo de reglas; y (3) planificar la migración sin perturbar las áreas clínicas.

8.1 Zonas

IEC 62443-3-2 describe cómo agrupar los activos en zonas con requisitos de seguridad similares y conectarlas mediante conductos. En Millbrook un comienzo sensato es: una zona del BMS (controladores y servidor del BMS), una zona relevante para la seguridad (alarma de gases medicinales y ascensor, cada uno por separado), una zona de control de accesos, una DMZ para la pasarela y las exportaciones de datos, y la zona corporativa. Anote cada zona con sus miembros, su responsable y la consecuencia si se compromete. Las alarmas de gases medicinales y los ascensores se mantienen en zonas separadas porque sus fallos importan para la seguridad de los pacientes y sus contratistas son distintos. Un diagrama de zonas que acepten tanto mantenimiento como el equipo de redes es el punto de partida de cualquier tabla de reglas.

8.2 Conductos y reglas

Escriba cada conducto como un pequeño conjunto de reglas: de BMS-WS (trasladada a la zona del BMS) a los controladores por BACnet/IP; de la pasarela a BMS-WS para las sesiones de los contratistas; del servidor del BMS a un servidor de datos en la DMZ para los informes de energía. Todo lo demás se deniega. Los PC corporativos nunca se conectan directamente a los controladores. Escriba cada regla con su origen, destino, protocolo y puerto, un motivo y un responsable, para que pueda revisarse más adelante. Contraste las reglas con el inventario de vías, para que no se bloquee nada aprobado ni quede nada sin aprobar. Una regla sin responsable debe tratarse como candidata a retirarse.

8.3 Corregir la estación de trabajo conectada a dos redes

Retirar la tarjeta de red corporativa de BMS-WS cierra el puente del capítulo 3. El personal de mantenimiento que necesite ver el BMS desde las oficinas usa un panel de solo lectura en el servidor de la DMZ, o un servidor de salto al que se llega a través de la pasarela. Antes de retirar la tarjeta, acuerde con mantenimiento qué tareas de oficina la usaban y pruebe la vía sustituta con el personal que la usará. Haga el cambio en una franja reservada y confirme después que BMS-WS sigue alcanzando sus controladores. Registre el cambio en la entrada de la lista de riesgos que Aisha creó al encontrar el puente.

8.4 Migrar con seguridad

Cambie un conducto cada vez, en momentos acordados con mantenimiento y con los supervisores del bloque quirúrgico; vigile si se pierden puntos en el BMS después de cada paso; tenga lista la configuración anterior para restaurarla. Acuerde de antemano qué puntos del BMS se comprobarán después de cada paso y quién los comprobará. En Millbrook, después del segundo paso dos controladores dejaron de informar porque se había olvidado un conducto hacia un servidor de hora; se detectó porque los puntos se comprobaron de inmediato. Anote estas sorpresas en la tabla de reglas para que el siguiente cambio las evite.

8.5 Documentación

Publique el diagrama de zonas y la tabla de reglas con números de revisión y responsables, para que los contratistas puedan solicitar cambios sobre ellos. Guarde el diagrama y la tabla en un lugar que puedan leer mantenimiento, el equipo de redes y los contratistas, y cítelos en cada solicitud de cambio. Cuando se haga un cambio, actualice el número de revisión y anote quién lo aprobó. Una documentación desactualizada lleva a los contratistas a pedir reglas que ya existen o que contradicen el diseño. Conserve las revisiones superadas para poder rastrear las decisiones pasadas.

Ejemplo resuelto (Millbrook sintético)

A lo largo de tres mañanas de sábado planificadas, el equipo de redes crea las zonas, traslada BMS-WS por completo a la zona del BMS y despliega las reglas. Después del paso 2, dos controladores dejan de informar; la causa es un conducto olvidado hacia un servidor de hora, que se añade dentro del mismo cambio. Los informes de energía salen ahora del servidor de la DMZ.

Caso sintético — Millbrook. Los pasos y los hallazgos son inventados.

Errores y límites

La segmentación no detiene a un atacante que ya tiene credenciales de la pasarela; limita adónde puede ir. Los diseños de zonas deben revisarse cuando se añaden sistemas.

Ejercicios — capítulo 8

EX036 — Lista de zonas. Proponga cinco zonas para Millbrook.
Mostrar criterios de evaluación
Rúbrica: 3 = BMS, relevante para la seguridad (gases y ascensor), control de accesos, DMZ, corporativa; 2 = cuatro; 1 = dos; 0 = nada.
EX037 — Redactar un conducto. Escriba la regla que permite al servidor del BMS enviar datos de energía al servidor de la DMZ.
Mostrar criterios de evaluación
Rúbrica: 3 = origen servidor del BMS, destino servidor de datos de la DMZ, puerto concreto, permitir; más denegación por defecto; 2 = sin denegación; 1 = cualquiera; 0 = nada.
EX038 — Visualización desde la oficina. ¿Cómo ve el BMS desde sus oficinas el personal de mantenimiento después de que BMS-WS pierda su tarjeta corporativa?
Mostrar criterios de evaluación
Rúbrica: 3 = panel de solo lectura en la DMZ o servidor de salto a través de la pasarela; 2 = parcial; 1 = volver a poner la tarjeta; 0 = nada.
EX039 — Puntos perdidos. Dos controladores dejan de informar tras un cambio de reglas. ¿Cuál es la respuesta segura?
Mostrar criterios de evaluación
Rúbrica: 3 = comprobar el impacto clínico, restaurar la configuración anterior si hace falta, encontrar el conducto que falta, corregirlo dentro del cambio; 2 = parcial; 1 = ignorarlo; 0 = nada.
EX040 — Límite de la segmentación. ¿Contra qué no protege la segmentación?
Mostrar criterios de evaluación
Rúbrica: 3 = uso indebido de credenciales legítimas de la pasarela o de un interno dentro de los conductos permitidos; 2 = vago; 1 = todo protegido; 0 = nada.

Síntesis del capítulo

Las zonas con conductos estrechos impiden que los compromisos de la oficina alcancen los controladores; migre un conducto cada vez.

Siga estudiando — capítulo 08 de 12

← Capítulo 07 (borrador) · Índice de capítulos del curso · Capítulo 09 (borrador) →