Capítulo 12 — Segmentación y reglas del cortafuegos
Mapa de la lección
Lección 12 publicada. Mapa, ejemplo, EX045.
flowchart TD
N0["Resultados de aprendizaje"]
N1["12.1 Zonas y conductos"]
N2["12.2 La DMZ"]
N3["12.3 Leer las reglas"]
N4["12.4 Reglas débiles"]
N5["12.5 No edite por su cuenta"]
N6["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX045"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["12.1 Zonas y conductos"]
N2["12.2 La DMZ"]
N3["12.3 Leer las reglas"]
N4["12.4 Reglas débiles"]
N5["12.5 No edite por su cuenta"]
N6["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX045"]
[Resultados de aprendizaje]
|
v
[12.1 Zonas y conductos]
|
v
[12.2 La DMZ]
|
v
[12.3 Leer las reglas]
|
v
[12.4 Reglas débiles]
|
v
[12.5 No edite por su cuenta]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX045]
Resultados de aprendizaje
Usted podrá (1) explicar con palabras sencillas las zonas y conductos de IEC 62443; (2) leer una tabla de reglas de cortafuegos; y (3) detectar reglas que debilitan la segmentación.
12.1 Zonas y conductos
IEC 62443 agrupa en zonas los activos con necesidades de seguridad similares y llama conductos a las conexiones controladas entre ellas. En HPFL: la zona de la línea (PLC, HMI, cámara), una DMZ (copia del historiador, pasarela de acceso remoto, servidor de transferencia de archivos) y la zona de oficinas. El tráfico solo cruza por conductos protegidos por cortafuegos y documentados. Describa cada conducto con su finalidad, el tráfico que permite y su responsable. En HPFL los conductos son la línea enviando datos al historiador de la DMZ, ENG-LT accediendo a los PLC y el acceso de proveedores a través de la pasarela de la DMZ. Cualquier otra cosa que cruce el límite de una zona es un hallazgo.
12.2 La DMZ
Los usuarios de oficina quieren datos de producción; la línea no debe aceptar conexiones desde la oficina. Por eso la línea envía los datos a un servidor de la DMZ y la oficina los lee allí. Así ninguna conexión necesita ir directamente de la oficina a la línea. En HPFL la línea envía los datos a la copia del historiador en la DMZ y los usuarios de oficina los leen allí. El acceso de proveedores y la transferencia de archivos también terminan en la DMZ. De este modo FW-1 no necesita ninguna regla que deje entrar a los equipos de oficina directamente en la línea, que es justo el tipo de regla que elimina el ejemplo resuelto siguiente.
12.3 Leer las reglas
Cada regla tiene origen, destino, puerto y acción, y se lee de arriba abajo; gana la primera coincidencia. Una última regla de «denegar todo» hace que quede bloqueado todo lo que no esté en la lista. Leer de arriba abajo importa porque una regla amplia de permitir situada por encima de una denegación estrecha deja inútil la denegación. Al revisar una tabla, pregunte por cada regla quién es su responsable, por qué existe y si una regla superior ya decide sobre ese mismo tráfico. La tabla de FW-1 en HPFL tiene cuatro reglas, lo que facilita practicarlo.
12.4 Reglas débiles
Busque orígenes «cualquiera», rangos de puertos amplios, reglas sin comentario ni responsable y reglas temporales que nunca se eliminaron. Cada una debe cuestionarse y justificarse o eliminarse mediante el control de cambios. En HPFL la regla 3, de cualquier equipo de oficina a cualquier equipo de la línea y marcada «temp 2025», mostraba a la vez todas estas señales de alerta. Se eliminó mediante el control de cambios y se probó en la siguiente parada. Anote cada pregunta planteada y su respuesta, para que una regla eliminada no vuelva a añadirse más tarde sin revisión.
12.5 No edite por su cuenta
Los cambios en el cortafuegos los hace el responsable de la red con un ticket de cambio y un plan de vuelta atrás; una regla equivocada puede detener la línea. Si encuentra una regla débil, notifíquela con el número de la regla y su motivo. El responsable de la red decide cómo cambiarla, prepara una vuelta atrás y prueba en una parada planificada. Su papel es advertir y explicar el riesgo. En HPFL el responsable de la red eliminó la regla 3 solo después de abrir un cambio y acordar una prueba en la siguiente parada. Una regla modificada por otra persona, por buena que sea su intención, no deja constancia ni vuelta atrás, y podría detener la línea.
Ejemplo resuelto (HPFL sintética)
Tomás revisa la tabla de FW-1 con el responsable de la red. La regla 1 permite a ENG-LT acceder al puerto de programación de los PLC; la regla 2 deja que la línea envíe datos al historiador de la DMZ; la regla 3, «office any → line any allow — temp 2025», no tiene responsable. La regla 4 lo deniega todo. Abren un cambio para eliminar la regla 3, prueban en la siguiente parada y después la línea funciona con normalidad.
Caso sintético — HPFL. La tabla de reglas es inventada.
Errores y límites
Una buena tabla de reglas puede quedar anulada por un conmutador no gestionado o un módem que eluda el cortafuegos; los recorridos por la planta y los diagramas complementan la revisión de las reglas.
Ejercicios — capítulo 12
- EX045 — Zonas de HPFL. Nombre las tres zonas de HPFL y un activo de cada una. Rúbrica: 3 = línea, DMZ y oficinas con activos correctos; 2 = dos; 1 = una; 0 = nada.
- EX046 — Primera coincidencia. Con la regla 3 por encima de la regla 4, ¿qué ocurre con el tráfico de oficina hacia HMI-1? Rúbrica: 3 = lo permite la regla 3 antes de que se aplique la denegación; 2 = se permite; 1 = se deniega; 0 = nada.
- EX047 — Por qué una DMZ. Explique cómo la DMZ permite al personal de oficina ver datos de producción sin conectarse a la línea. Rúbrica: 3 = la línea envía a un servidor de la DMZ, la oficina lee allí, sin regla de oficina a línea; 2 = parcial; 1 = «es más seguro»; 0 = nada.
- EX048 — Eliminar una regla. Describa los pasos seguros para eliminar la regla 3. Rúbrica: 3 = ticket de cambio, confirmación del responsable, ventana planificada, vuelta atrás, prueba, registro; 2 = parte; 1 = borrarla ya; 0 = nada.
Síntesis del capítulo
Las zonas se separan mediante conductos documentados y con responsable; las reglas amplias o sin responsable se eliminan mediante el control de cambios.
Siga estudiando — capítulo 12 de 18
← Capítulo 11 (borrador) · Índice de capítulos del curso · Capítulo 13 (borrador) →