Capítulo 2 — Activos, redes y exposición | Curso rápido Seguridad de OT, IoT y sistemas ciberfísicos

Aprendizaje gratuito y abierto para quienes desean proteger a las personas y la tecnología. No se necesita una cuenta para estudiar ni consultar las respuestas.

Capítulo 2 — Activos, redes y exposición

Mapa de la lección

Lección 02 publicada. Mapa, ejemplo, EX014.

flowchart TD
  N0["Resultados de aprendizaje"]
  N1["2.1 Primero, el inventario"]
  N2["2.2 Lectura del laboratorio"]
  N3["2.3 Separar la red"]
  N4["2.4 Exposición y acceso remoto"]
  N5["2.5 Portales en la nube"]
  N6["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX014"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje"]
  N1["2.1 Primero, el inventario"]
  N2["2.2 Lectura del laboratorio"]
  N3["2.3 Separar la red"]
  N4["2.4 Exposición y acceso remoto"]
  N5["2.5 Portales en la nube"]
  N6["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX014"]

[Resultados de aprendizaje]
    |
    v
[2.1 Primero, el inventario]
    |
    v
[2.2 Lectura del laboratorio]
    |
    v
[2.3 Separar la red]
    |
    v
[2.4 Exposición y acceso remoto]
    |
    v
[2.5 Portales en la nube]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX014]

Resultados de aprendizaje

Usted podrá (1) explicar por qué el inventario va primero; (2) revisar una lista de dispositivos en busca de debilidades comunes; (3) describir cómo debe separarse la red de una planta; y (4) reconocer los riesgos de la exposición a internet y del acceso remoto.

2.1 Primero, el inventario

No se puede proteger lo que no se sabe que existe. NIST SP 800-82r3 sitúa el inventario de activos en la base. Para cada dispositivo, registre el nombre, la función, la ubicación, el responsable, la versión de firmware, la dirección de red y si se conecta a una nube.

"""Lab 2: review a synthetic Elmstead inverter list for default passwords, old firmware and cloud links."""
inv = [("INV-01", "5.1", False, True), ("INV-02", "5.1", True, True),
       ("INV-03", "4.7", False, True), ("INV-04", "5.1", False, False)]
LATEST = "5.1"
for name, fw, default_pw, cloud in inv:
    issues = []
    if default_pw: issues.append("default-password")
    if fw != LATEST: issues.append(f"old-fw {fw}")
    print(f"{name} cloud={'yes' if cloud else 'no '} {', '.join(issues) or 'ok'}")
print("needs action:", sum(1 for _, fw, d, _ in inv if d or fw != LATEST))

Ejecútelo con python3 lab_inverters.py. Salida verificada:

INV-01 cloud=yes ok
INV-02 cloud=yes default-password
INV-03 cloud=yes old-fw 4.7
INV-04 cloud=no  ok
needs action: 2

Un inventario útil registra también a quién llamar por cada dispositivo y cuándo se comprobó por última vez. Los registros se quedan desfasados a medida que los fabricantes cambian piezas y los ingenieros añaden equipos, así que Elmstead revisa la lista después de cada visita de mantenimiento. El Lab 2 trabaja con una versión breve de esta lista para los cuatro inversores, y muestra lo rápido que unas pocas columnas revelan lo que necesita atención.

2.2 Lectura del laboratorio

INV-02 todavía usa su contraseña por defecto: cualquiera que haya leído el manual podría iniciar sesión. INV-03 ejecuta el firmware 4.7, mientras que la versión vigente es la 5.1, así que puede carecer de correcciones de seguridad. INV-04 no tiene enlace con la nube ni problemas. Dos de los cuatro inversores necesitan intervención. Su corrección la hacen el propietario y el fabricante en momentos planificados, no personas en prácticas que experimentan. El laboratorio solo comprueba lo que dice la lista. Si la lista es errónea, por ejemplo porque un fabricante cambió una contraseña durante una visita y nadie actualizó el registro, el resultado también lo será. Trate la salida como una lista de preguntas para la ingeniera de la planta, y confirme cada elemento con los registros o con el fabricante antes de que nadie actúe.

2.3 Separar la red

IEC 62443 describe zonas (grupos de dispositivos con necesidades similares) unidas por conductos, que son conexiones controladas. En Elmstead la zona de control contiene SC-1, los inversores y el sistema de gestión de baterías; las cámaras están en su propia zona; la red de oficina está separada a su vez; una DMZ contiene el servidor que comparte datos hacia fuera. Los cortafuegos entre zonas solo permiten las conexiones necesarias. La finalidad de las zonas es que un problema en una no se extienda libremente a otra. Si una cámara se viera comprometida, el cortafuegos entre la zona de cámaras y la zona de control debería impedirle alcanzar SC-1 o los inversores. Cada conexión permitida entre zonas debe tener un motivo, un responsable y un registro, para que las reglas antiguas puedan encontrarse y retirarse.

2.4 Exposición y acceso remoto

Los dispositivos accesibles directamente desde internet son una debilidad habitual; MITRE ATT&CK for ICS la denomina T0883 Internet Accessible Device. El acceso remoto de los fabricantes debe pasar por una única pasarela con autenticación multifactor, activada solo cuando se necesite, recomendaciones que recoge el aviso AA21-042A de CISA tras el compromiso de una instalación de tratamiento de agua en 2021. Para Elmstead esto significa comprobar que ningún inversor, controlador o cámara responde directamente desde internet, y que la vía de soporte del fabricante termina en una pasarela propiedad de la planta. Las cuentas de esa pasarela deben pertenecer a personas con nombre, activarse para un trabajo concreto y desactivarse después. Los registros de sesión permiten a la ingeniera ver quién se conectó y qué hizo.

2.5 Portales en la nube

Las nubes de los fabricantes son cómodas para la supervisión, pero un portal que además puede enviar órdenes es, en la práctica, acceso remoto. Pregunte si puede controlar equipos, quién tiene cuentas y si la autenticación multifactor está activada. En Elmstead la ingeniera descubrió que el portal de supervisión del fabricante podía enviar órdenes de carga, no solo mostrar datos. Eso lo convierte en parte del panorama del acceso remoto, con las mismas preguntas sobre cuentas nominativas y segundos factores. Las respuestas deben figurar en el inventario junto a cada dispositivo que el portal puede alcanzar, para que no se olviden cuando cambien el personal o los contratos.

Ejemplo resuelto (Elmstead sintético)

Jonah enseña la salida del laboratorio a la ingeniera de la planta. Ella reserva al fabricante de los inversores para la semana siguiente, para cambiar la contraseña de INV-02 y actualizar INV-03, y anota que el portal de supervisión puede enviar órdenes de carga, un hallazgo para el capítulo 3.

Caso sintético — Elmstead. Los dispositivos, las versiones y los ajustes son inventados.

Errores y límites

Una lista elaborada a partir de registros puede omitir dispositivos; los recorridos por la planta y los registros de red la completan. Nunca escanee una planta en funcionamiento para elaborar un inventario salvo que el propietario lo haya autorizado y planificado.

Ejercicios — capítulo 2

EX014 — Por qué el inventario. Explique en una frase por qué el inventario va antes que otros controles. Rúbrica: 3 = todo control depende de conocer los dispositivos; los dispositivos desconocidos quedan sin proteger; 2 = parcial; 1 = vago; 0 = nada.
EX015 — Campos del inventario. Nombre cinco campos del registro de un dispositivo de Elmstead. Rúbrica: 3 = cinco campos pertinentes; 2 = cuatro; 1 = dos; 0 = nada.
EX016 — Riesgo de la contraseña por defecto. ¿Por qué es peligrosa la contraseña por defecto de INV-02? Rúbrica: 3 = está publicada en los manuales; cualquiera con alcance inicia sesión; 2 = parcial; 1 = «débil»; 0 = nada.
EX017 — Firmware antiguo. ¿Qué sugiere old-fw 4.7 sobre INV-03? Rúbrica: 3 = puede carecer de las correcciones de seguridad de la 5.1; consultar los avisos; planificar la actualización; 2 = parcial; 1 = más lento; 0 = nada.
EX018 — Modificar el laboratorio. Si el firmware de INV-04 fuera "4.9", ¿qué imprimiría el laboratorio para ese inversor y para el total? Rúbrica: 3 = INV-04 cloud=no old-fw 4.9 y needs action: 3; 2 = uno; 1 = ok; 0 = nada.
EX019 — Quién lo corrige. ¿Quién cambia la contraseña de INV-02, y cuándo? Rúbrica: 3 = el propietario o el fabricante en un momento planificado; 2 = solo el propietario; 1 = Jonah, ahora; 0 = nada.
EX020 — Zonas. Nombre las cuatro zonas propuestas para Elmstead. Rúbrica: 3 = control, cámaras, oficina, DMZ; 2 = tres; 1 = una; 0 = nada.
EX021 — Qué es un conducto. ¿Qué es un conducto en la terminología de IEC 62443? Rúbrica: 3 = vía de comunicación controlada entre zonas; 2 = «conexión»; 1 = canalización de cables; 0 = nada.
EX022 — Ubicación de las cámaras. ¿Por qué las cámaras no deben compartir la zona de control? Rúbrica: 3 = las cámaras suelen ser débiles o estar enlazadas con internet; su compromiso alcanzaría los controladores; 2 = parcial; 1 = ancho de banda; 0 = nada.
EX023 — Dispositivo expuesto a internet. ¿Qué técnica de ATT&CK for ICS describe un controlador accesible desde internet? Rúbrica: 3 = T0883 Internet Accessible Device; 2 = solo el nombre; 1 = incorrecto; 0 = nada.
EX024 — Patrón de acceso del fabricante. Describa en dos frases un patrón seguro de acceso remoto para los fabricantes. Rúbrica: 3 = una pasarela, MFA, cuentas nominativas, activadas según necesidad, registradas; 2 = tres elementos; 1 = uno; 0 = nada.
EX025 — Preguntas sobre el portal. ¿Qué tres preguntas debe hacer Jonah sobre el portal de supervisión del fabricante? Rúbrica: 3 = si puede controlar, quién tiene cuentas, si hay MFA; 2 = dos; 1 = una; 0 = nada.
EX026 — Sin escaneos. ¿Por qué Jonah no escanea él mismo la red de Elmstead para completar la lista? Rúbrica: 3 = no está autorizado; los escaneos pueden perturbar los dispositivos; usar registros y recorridos; 2 = uno; 1 = se puede escanear; 0 = nada.

Síntesis del capítulo

Conozca todos los dispositivos, corrija las contraseñas por defecto y el firmware antiguo mediante trabajos planificados, separe las zonas y mantenga el acceso remoto acotado.

Siga estudiando — capítulo 02 de 04

← Capítulo 01 (borrador) · Índice de capítulos del curso · Capítulo 03 (borrador) →