Capítulo 5 — Alcance de seguridad y evidencia

Capítulo 5 — Alcance de seguridad y evidencia

Mapa de la lección

Lección 05 publicada. Mapa, ejemplo, EX017.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["5.1 El alcance es un control de seguridad"]
  N2["5.2 Primero lo pasivo"]
  N3["5.3 Qué hace utilizable la evidencia técnica"]
  N4["5.4 Cuatro etiquetas"]
  N5["5.6 Actividad práctica"]
  N6["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX017"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["5.1 El alcance es un control de seguridad"]
  N2["5.2 Primero lo pasivo"]
  N3["5.3 Qué hace utilizable la evidencia técnica"]
  N4["5.4 Cuatro etiquetas"]
  N5["5.6 Actividad práctica"]
  N6["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX017"]

[Resultados de aprendizaje y conexión]
    |
    v
[5.1 El alcance es un control de seguridad]
    |
    v
[5.2 Primero lo pasivo]
    |
    v
[5.3 Qué hace utilizable la evidencia técnica]
    |
    v
[5.4 Cuatro etiquetas]
    |
    v
[5.6 Actividad práctica]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX017]

Resultados de aprendizaje y conexión

Al terminar este capítulo debería ser capaz de:

• redactar un alcance técnico para una tarea en un entorno crítico: sistemas, acciones permitidas, ventana temporal, contactos y condiciones de parada;
• explicar por qué, en la tecnología operacional, se prefiere una observación pasiva y una activa requiere aprobación explícita;
• recoger evidencia técnica de modo que otra persona pueda verificarla: qué, desde dónde, cuándo (UTC), quién, cómo y su hash;
• separar lo observado, lo inferido, lo hecho y lo abierto en toda nota de trabajo.

Los capítulos 1–4 le dieron herramientas. Antes de apuntar cualquiera de ellas a un sistema real, este capítulo define lo que tiene permitido tocar y cómo demostrará lo que vio.

5.1 El alcance es un control de seguridad

En una red de oficina, un escaneo demasiado entusiasta hace perder el tiempo. En una red de control puede detener un proceso: algunos controladores y pilas de red antiguas se comportan mal cuando se les sondea, y una «lectura» puede desencadenar diagnósticos del fabricante o llenar una tabla de sesiones. La guía de TO del NIST recomienda prudencia con el escaneo activo en entornos operativos y prefiere los métodos pasivos siempre que sea posible (SP 800-82 Rev. 3); la guía de pruebas del NIST describe reglas de enfrentamiento para cualquier evaluación (SP 800-115).

Un alcance técnico responde, por escrito y antes de empezar el trabajo:

• Finalidad: qué pregunta responde el trabajo.
• Sistemas dentro del alcance: equipos y direcciones nombrados; todo lo demás queda fuera.
• Acciones permitidas: por ejemplo, «leer la configuración en ejecución», «captura pasiva en el puerto SPAN», «una prueba de conexión TCP al puerto 502 sin petición Modbus».
• Ventana: fecha y horas, con el acuerdo del operador.
• Personas: quién lo autorizó (el propietario del sistema), quién está en la instalación, a quién se informa en la sala de control.
• Condiciones de parada: cualquier comportamiento inesperado de un dispositivo, una alarma o una petición de operaciones.
• Tratamiento de la evidencia: dónde se guardan los resultados y quién puede leerlos.

5.2 Primero lo pasivo

Muchas preguntas pueden responderse sin enviar un solo paquete: exportaciones de configuración, registros del cortafuegos, tablas MAC de los conmutadores, una captura pasiva desde un puerto espejo (SPAN), los propios registros del historiador. Prefiera estas fuentes. Cuando una prueba activa sea realmente necesaria (por ejemplo, para verificar una regla de denegación en el capítulo 11), hágala la prueba más pequeña que responda a la pregunta, desde un origen nombrado y a una hora acordada. Prefiera una captura SPAN o una exportación de configuración antes de cualquier prueba de conexión. Cuando haga falta una prueba activa, use una dirección de origen señalada, la acción más pequeña que responda a la pregunta y una ventana acordada, con operaciones informada al principio y al final.

5.3 Qué hace utilizable la evidencia técnica

Una captura de pantalla de un terminal demuestra poco. La evidencia utilizable registra:

1. Qué: la salida o el archivo en bruto, no un resumen.
2. Fuente: equipo y herramienta, con su versión.
3. Hora: en UTC, con el desfase del reloj del equipo si se conoce (capítulo 7).
4. Recolector: quién lo ejecutó.
5. Método: la orden o consulta exacta.
6. Integridad: un hash SHA-256 registrado en el momento de la recogida, para poder comprobar las copias posteriores (FIPS 180-4); el capítulo 18 sella un paquete completo.

La guía del NIST para integrar técnicas forenses en la respuesta a incidentes trata el orden de recogida y de conservación (SP 800-86). En el nivel técnico, la regla es sencilla: conserve antes de cambiar. Si está a punto de corregir algo que puede ser evidencia de un uso indebido, recójalo primero.

5.4 Cuatro etiquetas

Toda nota que escriba en este curso usa cuatro etiquetas. Observado: lo que registró una herramienta o una persona, con fuente y hora. Inferido: lo que usted concluye y por qué. Hecho: lo que cambió y con qué registro de cambio. Abierto: lo que sigue sin saberse y quién es su responsable. Mezclarlas («la RTU estaba comprometida» cuando solo observó una sesión de configuración) es la forma en que se propagan las conclusiones erróneas. Una nota que solo dice «RTU comprometida» no supera la prueba: mezcla inferencia con observación. Escriba las cuatro etiquetas en toda nota de trabajo de este curso, incluida la comprobación de alcanzabilidad de KW-04, para que el lector vea qué se midió y qué sigue abierto.

5.5 Ejemplo resuelto: el alcance de la comprobación de KW-04 (sintético)

Después de que el Lab 2 mostrara escrituras desde un puesto corporativo, L. Ferreira (responsable de seguridad del KVROC) le pide que confirme si la zona corporativa puede alcanzar el puerto 502 de las estaciones. Un alcance sólido:

La nota de trabajo tras la prueba dice: Observado: la conexión de 10.30.99.9 a 10.10.4.2:502 no se completó a las 08:04:11Z; fw-01 la registró como bloqueada por la denegación por defecto. Inferido: fw-01 no permite que los puestos corporativos alcancen el Modbus de las estaciones, así que las escrituras desde 10.30.3.7 capturadas en el capítulo 2 tuvieron que usar otra ruta (capítulos 10 y 13). Hecho: no se cambió nada. Abierto: qué ruta llevó esas escrituras (responsable: L. Ferreira).

5.6 Actividad práctica

Redacte un alcance para una captura pasiva de 24 horas en el puerto SPAN del conmutador del centro de control. Incluya límites de almacenamiento y quién puede leer la captura, ya que contendrá valores del proceso y posiblemente credenciales enviadas en texto claro. Indique un tamaño máximo de archivo y un periodo de conservación, porque un día de valores del proceso y de credenciales en texto claro es a la vez voluminoso y sensible. Nombre quién puede leer la captura y dónde se guarda, y diga que la captura se detiene si el puerto espejo del conmutador afecta al reenvío. Señale la actividad como pasiva y enumere condiciones de parada que incluyan cualquier petición del operador.

5.7 Errores comunes y límites

• Recoger evidencia sin horas UTC ni hashes.

• Tratar el alcance como papeleo: es lo que impide que una prueba se convierta en un incidente.

• Partir de un visto bueno verbal y redactar el alcance después.

• Escanear una subred de una red de control para descubrir dispositivos.
• Corregir un hallazgo antes de recoger la evidencia que lo mostró. Un alcance redactado después del trabajo no puede proteger el proceso mientras se realiza.
• Seguir trabajando después de la hora de fin del alcance porque la última comprobación «solo lleva un minuto», en lugar de parar y pedir una prórroga.

Ejercicios — capítulo 5

EX017 — Repare un alcance. Objetivo: encontrar los elementos que faltan. Entradas: «Ejecutar un escaneo de 10.10.0.0/16 el martes para encontrar puertos abiertos. Aprobado por TI». Pasos: enumere cada defecto y reescríbalo. Evidencia esperada: lista de defectos y alcance reescrito. Rúbrica: 3 = identifica el autorizador equivocado (hace falta el propietario del sistema), el rango sin límites, el escaneo activo en TO, la falta de ventana, de condiciones de parada y de tratamiento de la evidencia; la reescritura prefiere fuentes de inventario pasivas; 2 = la mayoría de los defectos; 1 = cosmético; 0 = nada.

EX018 — Etiquete la nota. Objetivo: separar observación e inferencia. Entradas: «El proveedor hackeó KW-09 anoche: la configuración de la RTU cambió y los datos se interrumpieron, así que la reinicié». Pasos: reescríbala con las cuatro etiquetas. Evidencia esperada: nota etiquetada. Rúbrica: 3 = observado (hora de la sesión de configuración, laguna de datos), inferido (posible cambio no aprobado; autoría desconocida), hecho (el reinicio, y la pérdida de evidencia que causó), abierto (quién, por qué; responsable); 2 = etiquetas sin advertir la pérdida de evidencia; 1 = parcial; 0 = nada.

EX019 — Registro de evidencia. Objetivo: producir evidencia verificable. Entradas: usted exporta el conjunto de reglas de fw-01 a fw-01-rules-20261013.txt. Pasos: escriba los campos del registro de evidencia y la orden que produce su hash en Linux. Evidencia esperada: el registro y sha256sum fw-01-rules-20261013.txt. Rúbrica: 3 = los seis elementos, hora UTC con la fuente del reloj, hash guardado por separado del archivo; 2 = falta uno; 1 = solo el hash; 0 = nada.

EX020 — Alternativas pasivas. Objetivo: evitar pruebas activas innecesarias. Entradas: tres preguntas: qué equipos hablan con KW-07; qué firmware ejecuta KW-07; si KW-07 acepta telnet. Pasos: proponga un método pasivo o de solo lectura para cada una e indique cuándo seguiría estando justificada una prueba activa. Evidencia esperada: tres filas. Rúbrica: 3 = registros de flujos o captura SPAN; registros de activos o la herramienta del fabricante durante una sesión de ingeniería aprobada; exportación de la configuración o documentación del fabricante, con una comprobación activa solo en una ventana delimitada y con operaciones presente; 2 = una débil; 1 = todas activas; 0 = nada.

Síntesis del capítulo

En los entornos críticos, el alcance protege al proceso tanto como a quien hace la prueba. Redáctelo antes de empezar, prefiera los métodos pasivos y haga que cada elemento de evidencia sea verificable por otra persona: en bruto, con fuente, con hora UTC, atribuido y con hash. Conserve antes de cambiar, y mantenga separados lo observado, lo inferido, lo hecho y lo abierto.

Siga estudiando — capítulo 05 de 18

← Capítulo 04 · Índice de capítulos del curso · Capítulo 06 →

Continúe con la siguiente lección escrita.