◇ OpenCyber Academy
Curso rápido · Capítulo 3 · Español

Capítulo 3 — Reconocer y notificar problemas

Aprendizaje gratuito y abierto para quienes desean proteger a las personas y la tecnología. No se necesita una cuenta para estudiar ni consultar las respuestas.

Capítulo 3 — Reconocer y notificar problemas

Mapa de la lección

Lección 03 publicada. Mapa, ejemplo, EX027.

flowchart TD
  N0["Resultados de aprendizaje"]
  N1["3.1 Primero, lo normal"]
  N2["3.2 Lectura del laboratorio"]
  N3["3.3 Poner nombre a lo que vio"]
  N4["3.4 Otras señales de alerta"]
  N5["3.5 Notificar"]
  N6["3.6 La seguridad física va primero"]
  N7["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX027"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje"]
  N1["3.1 Primero, lo normal"]
  N2["3.2 Lectura del laboratorio"]
  N3["3.3 Poner nombre a lo que vio"]
  N4["3.4 Otras señales de alerta"]
  N5["3.5 Notificar"]
  N6["3.6 La seguridad física va primero"]
  N7["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX027"]

[Resultados de aprendizaje]
    |
    v
[3.1 Primero, lo normal]
    |
    v
[3.2 Lectura del laboratorio]
    |
    v
[3.3 Poner nombre a lo que vio]
    |
    v
[3.4 Otras señales de alerta]
    |
    v
[3.5 Notificar]
    |
    v
[3.6 La seguridad física va primero]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX027]

Resultados de aprendizaje

Usted podrá (1) describir el comportamiento normal de Elmstead; (2) detectar una orden que no encaja con el calendario; (3) describir lo que vio con los nombres de ATT&CK for ICS; y (4) redactar un informe breve y basado en hechos.

3.1 Primero, lo normal

El controlador de planta sigue un calendario diario: descarga en el pico de la mañana, carga a mediodía, cuando la producción solar es alta, y vuelve a descargar por la tarde. Las órdenes proceden de SC-1. Los inicios de sesión ocurren durante los trabajos planificados. Ponerlo por escrito es lo que permite a cualquiera reconocer lo anómalo.

"""Lab 3: compare synthetic battery charge commands with the agreed daily schedule."""
schedule = {"06": "discharge", "12": "charge", "18": "discharge"}
commands = [("06", "discharge", "site-controller"), ("12", "charge", "site-controller"),
            ("14", "discharge", "remote-portal"), ("18", "discharge", "site-controller")]
for hour, cmd, src in commands:
    ok = schedule.get(hour) == cmd and src == "site-controller"
    print(f"{hour}:00 {cmd:9} from {src:15} {'expected' if ok else 'UNEXPECTED - report'}")

Ejecútelo con python3 lab_soc.py. Salida verificada:

06:00 discharge from site-controller expected
12:00 charge    from site-controller expected
14:00 discharge from remote-portal   UNEXPECTED - report
18:00 discharge from site-controller expected

Una descripción escrita de lo normal no necesita ser detallada para ser útil. El Lab 3 trabaja con tres horas programadas y un único origen esperado, y eso ya basta para que una orden extraña destaque. Cuando la planta cambie, por ejemplo cuando el operador de la red pida un patrón distinto por la tarde, el calendario escrito debe actualizarse, o el laboratorio señalará órdenes legítimas.

3.2 Lectura del laboratorio

Tres órdenes coinciden con el calendario y proceden de SC-1. A las 14:00 llegó una orden de descarga desde el portal remoto del fabricante: hora equivocada y origen equivocado. Puede ser una prueba del fabricante, un error o el uso indebido de credenciales robadas; no se puede saber solo con esta línea, y no hace falta. Usted lo notifica. El laboratorio tiene además un punto ciego: cualquier orden a una hora que no figure en el calendario se señala, aunque proceda de SC-1. Eso es aceptable para una lista corta, porque una falsa alarma cuesta poco, pero una planta real necesitaría un calendario más completo. Lo que importa aquí es que Jonah notifique hechos sin adivinar qué explicación es la verdadera.

3.3 Poner nombre a lo que vio

MITRE ATT&CK for ICS ofrece nombres compartidos: T0836 Modify Parameter para los ajustes modificados, T0886 Remote Services para el uso indebido de las vías de acceso remoto, T0831 Manipulation of Control para las órdenes no autorizadas al proceso. Úselos para describir observaciones, no para acusar. Para el suceso de las 14:00 en Elmstead, la orden en sí encaja con Manipulation of Control, y su vía a través del portal del fabricante encaja con Remote Services. Ninguna de las dos etiquetas dice quién lo hizo ni por qué. Simplemente permiten que la ingeniera, el fabricante y cualquiera que lea el informe más tarde entiendan qué tipo de comportamiento se observó, con palabras que significan lo mismo para todos.

3.4 Otras señales de alerta

Temperaturas de las baterías que suben sin carga; ajustes de los inversores modificados sin ticket; dispositivos nuevos en la red; pantallas que no coinciden con los medidores locales; cuentas que inician sesión a horas extrañas; alarmas silenciadas. Ninguna de estas señales demuestra un ataque; muchas se deben a sensores averiados, a un mantenimiento apresurado o a un cambio olvidado. Su valor está en que cada una difiere de lo normal por escrito y puede comprobarse. Una persona en prácticas que advierta una debe anotar cuándo y dónde la vio, conservar cualquier captura de pantalla o línea de registro y trasladarla a la persona de guardia en lugar de investigar por su cuenta.

3.5 Notificar

Avise de inmediato a la ingeniera de la planta o a la persona de guardia. Indique qué, dónde, cuándo, el estado actual y lo que usted ha hecho. Conserve la evidencia: capturas de pantalla, líneas de registro, horas. No cambie ajustes, no reinicie dispositivos ni contacte usted mismo con el fabricante salvo que se lo pidan. Un mensaje breve enviado con rapidez es mejor que uno completo enviado tarde. El informe de Jonah sobre la orden de las 14:00 cabe en cinco frases y aun así da a la ingeniera lo que necesita para decidir. Las horas deben incluir la zona horaria o indicar que son la hora local de la planta, porque los registros del portal y los de la planta pueden no usar el mismo reloj.

3.6 La seguridad física va primero

Si una batería se está sobrecalentando, siga primero el procedimiento de incendios y seguridad de la planta; las cuestiones de ciberseguridad esperan. En Elmstead eso significa dar la alarma, mantenerse alejado del recinto de las baterías y seguir los pasos de evacuación y de incendio de la ficha de la planta. La persona de guardia puede decidir más tarde si el sobrecalentamiento tuvo una causa de seguridad. La evidencia que se pierde mientras se protege a las personas es un precio aceptable; una persona herida por salvar un archivo de registro no lo es. El personal de seguridad física nunca debe esperar una respuesta de ciberseguridad.

Ejemplo resuelto (Elmstead sintético)

Jonah notifica: «Hoy a las 14:00, el BESS recibió una orden de descarga desde el portal remoto del fabricante, fuera del calendario (el calendario indica carga de 12:00 a 18:00). La batería se está descargando ahora. No he cambiado nada. Exportación del registro guardada.» La ingeniera llama al fabricante, que no tiene constancia de ninguna sesión; la cuenta del portal se desactiva y su contraseña se restablece con MFA obligatoria.

Caso sintético — Elmstead. La orden y la respuesta son inventadas.

Errores y límites

La mayoría de los sucesos inesperados son errores o averías; notifíquelos igualmente. Los registros de las nubes pueden llegar tarde o con zonas horarias distintas.

Ejercicios — capítulo 3

Síntesis del capítulo

Ponga por escrito lo normal, advierta lo que no encaja, descríbalo con claridad usando nombres compartidos y notifíquelo sin tocar nada.

Siga estudiando — capítulo 03 de 04

← Capítulo 02 (borrador) · Índice de capítulos del curso · Capítulo 04 (borrador) →