Capítulo 14 — Reconocer el comportamiento anómalo
Mapa de la lección
Lección 14 publicada. Mapa, ejemplo, EX053.
flowchart TD
N0["Resultados de aprendizaje"]
N1["14.1 Conocer lo normal"]
N2["14.2 Señales que hay que notificar"]
N3["14.3 Poner nombre a lo que vio"]
N4["14.4 ¿Avería o ataque?"]
N5["14.5 Qué no hacer"]
N6["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX053"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["14.1 Conocer lo normal"]
N2["14.2 Señales que hay que notificar"]
N3["14.3 Poner nombre a lo que vio"]
N4["14.4 ¿Avería o ataque?"]
N5["14.5 Qué no hacer"]
N6["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX053"]
[Resultados de aprendizaje]
|
v
[14.1 Conocer lo normal]
|
v
[14.2 Señales que hay que notificar]
|
v
[14.3 Poner nombre a lo que vio]
|
v
[14.4 ¿Avería o ataque?]
|
v
[14.5 Qué no hacer]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX053]
Resultados de aprendizaje
Usted podrá (1) describir cómo es lo normal en la línea HPFL; (2) reconocer señales que pueden indicar un ataque o una avería; y (3) usar los nombres de ATT&CK for ICS para describir lo que vio.
14.1 Conocer lo normal
Los operadores conocen el sonido, el ritmo y las pantallas de la línea. Los técnicos añaden lo normal de la red y de los sistemas: qué dispositivos se comunican, qué cuentas inician sesión, con qué frecuencia cambian los programas. Déjelo por escrito; lo «normal» que solo está en la cabeza de las personas desaparece con los cambios de turno. En HPFL, Tomás ya anotó que las escrituras solo llegan desde HMI-1 y ENG-LT. Notas similares pueden cubrir las horas habituales de inicio de sesión, la frecuencia con que cambian los programas de los PLC y qué dispositivos aparecen en la red. Guárdelas en el registro o en un documento compartido, fechadas y actualizadas tras los cambios.
14.2 Señales que hay que notificar
Un punto de consigna cambia sin que nadie pulse un botón. Las pantallas de la HMI se congelan o muestran valores que no coinciden con los indicadores locales. Aparece en el registro una descarga de programa sin trabajo asociado. Aparece un dispositivo nuevo en la red. Se producen sesiones remotas fuera de un ticket. La línea se detiene sin causa mecánica. Notifique cualquiera de estas señales con la hora, el dispositivo y lo que vio, y adjunte fotografías o líneas del registro cuando pueda. En HPFL, una discrepancia entre HMI-1 y un termómetro portátil resultó ser un sensor averiado, pero aun así la notificación permitió un diagnóstico rápido.
14.3 Poner nombre a lo que vio
MITRE ATT&CK for ICS ofrece nombres compartidos: T0836 Modify Parameter para puntos de consigna alterados, T0886 Remote Services para el uso indebido del acceso remoto, T0843 Program Download para cambios de lógica inesperados. Usar estos nombres en un informe ayuda al equipo de seguridad, pero notifique lo que observó, no una suposición sobre el atacante. Los nombres ayudan cuando se comparan informes de distintos turnos o emplazamientos. Escriba primero la observación y después el nombre de la técnica si encaja: por ejemplo, la cuenta de administrador cambió la velocidad de la envolvedora de 120 a 180 a las 07:45, lo que encaja con Modify Parameter. Deje la intención y la atribución al equipo de seguridad.
14.4 ¿Avería o ataque?
La mayoría de los eventos anómalos son averías o errores. Al principio eso no importa: la respuesta es la misma (mantener a las personas a salvo, preservar la evidencia, notificar). La causa se decide después. En HPFL la discrepancia de temperatura era un sensor averiado, y el cambio de velocidad era un ajuste bienintencionado de un operador. Ambos se gestionaron con los mismos pasos: poner en condiciones seguras, registrar, notificar. La causa se encontró después, gracias a la evidencia que se había conservado. Tratar todos los eventos de la misma manera también evita situaciones incómodas: no se acusa a nadie y no se descarta nada demasiado pronto.
14.5 Qué no hacer
No reinicie dispositivos, borre registros, desconecte cables ni «arregle» valores antes de que el supervisor y el ingeniero estén de acuerdo; podría destruir la evidencia de lo ocurrido o crear un peligro nuevo. El supervisor decide si la línea sigue funcionando; el ingeniero decide cómo examinar los dispositivos. Su parte es fotografiar, anotar la hora y llamar. Si un peligro exige una acción inmediata, siga los procedimientos de seguridad habituales y anote lo que hizo. En HPFL, Tomás no restableció el sensor. Esa contención conservó la evidencia que después mostró la causa.
Ejemplo resuelto (HPFL sintética)
HMI-1 muestra la llenadora a temperatura normal, pero el termómetro portátil del operador marca 12 °C más. Tomás fotografía ambas lecturas, anota la hora y llama al supervisor, que detiene la llenadora de forma segura. Más tarde el ingeniero encuentra un sensor averiado (una avería, no un ataque), pero la evidencia agilizó el diagnóstico.
Caso sintético — HPFL. Las lecturas son inventadas.
Errores y límites
Una lista de señales nunca es completa; confíe en los operadores con experiencia que dicen «esto no está bien». ATT&CK describe técnicas, no certezas sobre la intención.
Ejercicios — capítulo 14
- EX053 — La HMI no coincide con el indicador. ¿Qué sugiere una diferencia entre la HMI y un indicador local, y cuál es la primera acción? Rúbrica: 3 = avería del sensor o pantalla manipulada; mantener seguro o detener a través del supervisor, registrar la evidencia; 2 = una parte; 1 = confiar en la HMI; 0 = nada.
- EX054 — Asociar técnicas. Asocie con ATT&CK for ICS: (a) descarga de programa no planificada; (b) sesión de proveedor fuera de ticket; (c) valor de velocidad cambiado. Rúbrica: 3 = T0843, T0886, T0836; 2 = dos; 1 = una; 0 = nada.
- EX055 — La misma respuesta. ¿Por qué la respuesta inicial es la misma ante una avería y ante un ataque? Rúbrica: 3 = primero la seguridad y la evidencia; al principio se desconoce la causa; 2 = parcial; 1 = «no lo es»; 0 = nada.
- EX056 — Dejar por escrito lo normal. Dé tres elementos para una hoja de «lo normal» de HPFL. Rúbrica: 3 = tres elementos concretos (quién se comunica, patrón de inicios de sesión, frecuencia de cambios, etc.); 2 = dos; 1 = vago; 0 = nada.
Síntesis del capítulo
Conocer lo normal permite advertir lo anómalo; responda por la seguridad y la evidencia antes de decidir la causa.
Siga estudiando — capítulo 14 de 18
← Capítulo 13 (borrador) · Índice de capítulos del curso · Capítulo 15 (borrador) →