Capítulo 9 — Leer registros y alarmas
Mapa de la lección
Lección 09 publicada. Mapa, ejemplo, EX033.
flowchart TD
N0["Resultados de aprendizaje"]
N1["9.1 Dos tipos de mensajes"]
N2["9.2 Patrones que importan"]
N3["9.3 Leer la salida"]
N4["9.4 Escale, no investigue solo"]
N5["9.5 La hora importa"]
N6["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX033"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["9.1 Dos tipos de mensajes"]
N2["9.2 Patrones que importan"]
N3["9.3 Leer la salida"]
N4["9.4 Escale, no investigue solo"]
N5["9.5 La hora importa"]
N6["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX033"]
[Resultados de aprendizaje]
|
v
[9.1 Dos tipos de mensajes]
|
v
[9.2 Patrones que importan]
|
v
[9.3 Leer la salida]
|
v
[9.4 Escale, no investigue solo]
|
v
[9.5 La hora importa]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX033]
Resultados de aprendizaje
Usted podrá (1) distinguir las alarmas de proceso de los eventos relevantes para la seguridad; (2) filtrar un registro con un script breve; y (3) decidir cuándo un patrón exige escalarlo.
9.1 Dos tipos de mensajes
Las HMI y los PLC notifican alarmas de proceso, como falta de película o un atasco. También registran inicios de sesión, cambios de configuración y descargas de programas. Las alarmas de proceso las gestionan los operadores; el segundo tipo le dice quién hizo qué al sistema, y ahí es donde suelen aparecer las pistas de seguridad. Los inicios de sesión, los cambios de puntos de consigna y las descargas de programas son los registros que hay que exportar y conservar. Separar ambos tipos mantiene la revisión de seguridad lo bastante breve como para hacerla todos los días. Los operadores siguen avisando al supervisor de un patrón extraño de alarmas de proceso, porque puede ser la primera señal visible de un problema de seguridad.
9.2 Patrones que importan
Varios inicios de sesión fallidos seguidos de uno correcto pueden significar que alguien adivinó una contraseña. Un punto de consigna cambiado fuera de un trabajo planificado, una descarga de programa que nadie esperaba o un inicio de sesión de administrador a una hora extraña merecen una revisión. Un evento aislado suele ser inocente; lo que importa es la secuencia.
"""Lab 9: filter a synthetic HMI event log for security-relevant entries."""
log = """06:02 HMI-1 login operator1 ok
06:15 PLC-FILL alarm low-film
07:40 HMI-1 login admin fail
07:41 HMI-1 login admin fail
07:41 HMI-1 login admin fail
07:43 HMI-1 login admin ok
07:45 PLC-WRAP setpoint speed 120->180 by admin
08:10 PLC-FILL alarm jam-cleared"""
fails = 0
for line in log.splitlines():
t, dev, kind, *rest = line.split()
if kind == "login" and rest[-1] == "fail":
fails += 1
if kind == "setpoint" or (kind == "login" and rest[0] == "admin" and rest[-1] == "ok"):
print("REVIEW", line)
print("failed logins:", fails)
Ejecútelo con python3 lab_logs.py. Salida verificada:
REVIEW 07:43 HMI-1 login admin ok
REVIEW 07:45 PLC-WRAP setpoint speed 120->180 by admin
failed logins: 3
En HPFL el laboratorio muestra exactamente este tipo de secuencia: tres inicios de sesión de administrador fallidos, uno correcto y, dos minutos después, un cambio de velocidad. Cada evento por separado podría pasarse por alto. Juntos plantean una pregunta que necesita respuesta del supervisor.
9.3 Leer la salida
El script cuenta tres inicios de sesión de administrador fallidos y después muestra un inicio de sesión de administrador correcto a las 07:43 y un cambio de velocidad de la envolvedora de 120 a 180 dos minutos después. En conjunto es una historia que merece comprobarse: ¿había un cambio planificado a las 07:45 y quién tenía la sesión iniciada? El script no explica lo que ocurrió; solo selecciona las líneas sobre las que conviene preguntar. El paso siguiente es comprobar si había un cambio planificado y quién estaba de turno. En HPFL la respuesta resultó ser inocente, pero aun así la secuencia merecía comprobarse.
9.4 Escale, no investigue solo
El trabajo de Tomás es advertir y notificar con evidencia: las líneas del registro, la hora y lo que hizo la línea. El ingeniero de control y el responsable de seguridad deciden lo que ocurre después. Notifique adjuntando las líneas del registro, la hora en que las advirtió y lo que estaba haciendo la línea en ese momento. No inicie sesión en los dispositivos para indagar más ni cambie contraseñas por su cuenta. Si el ingeniero de control pide más evidencia, le dirá qué recoger y cómo. Guarde una copia de lo que notificó y de cuándo lo envió.
9.5 La hora importa
Los registros solo son comparables si los relojes de los dispositivos coinciden. Indique en su informe cualquier diferencia de reloj que conozca. Si HMI-1 y PLC-WRAP difieren en varios minutos, un cambio de punto de consigna podría parecer anterior al inicio de sesión que lo causó. Pregunte al ingeniero de control cómo se ajustan los relojes en la línea y anote en el registro de activos cualquier desfase conocido. Al exportar registros, anote la hora de su reloj y la hora que muestra cada dispositivo, para poder corregir la diferencia más tarde. Un reloj que deriva varios minutos puede hacer que una secuencia inocente parezca sospechosa, u ocultar una sospechosa.
Ejemplo resuelto (HPFL sintética)
Tomás pregunta al supervisor; no había ningún cambio planificado. El operador del turno de noche explica que olvidó la contraseña de administrador, lo intentó tres veces, luego la recordó y subió la velocidad para recuperar un retraso en la producción. El cambio se revierte, se deja constancia de él y se retira a los operadores el uso de la cuenta de administrador para cambiar la velocidad.
Caso sintético — HPFL. El registro y la explicación son inventados.
Errores y límites
Los registros de los dispositivos pequeños son cortos y pueden sobrescribirse en pocos días, así que expórtelos con regularidad. Una explicación inocente también debe quedar registrada.
Ejercicios — capítulo 9
- EX033 — Clasificar las entradas. ¿Qué líneas del registro del laboratorio son alarmas de proceso y cuáles son relevantes para la seguridad? Rúbrica: 3 =
low-filmyjam-clearedson de proceso; los inicios de sesión y el punto de consigna, de seguridad; 2 = la mayoría; 1 = una; 0 = nada. - EX034 — Cinco fallos. Si se añaden dos líneas más de administrador fallidas antes de las 07:43, ¿qué imprime la última línea? Rúbrica: 3 =
failed logins: 5; 2 = 5; 1 = 3; 0 = nada. - EX035 — Por qué importa la secuencia. Explique por qué el inicio de sesión de las 07:43 importa más tras los fallos que por sí solo. Rúbrica: 3 = un acierto tras varios fallos sugiere que se adivinó la contraseña; ligado al cambio de punto de consigna; 2 = un punto; 1 = «es administrador»; 0 = nada.
- EX036 — Contenido del informe. Escriba los cuatro hechos que incluye Tomás al notificar el cambio de las 07:45. Rúbrica: 3 = hora, dispositivo, valores del cambio, cuenta y secuencia de inicios de sesión (más el efecto en la línea); 2 = tres; 1 = uno; 0 = nada.
Síntesis del capítulo
Las pistas de seguridad están en los registros de inicios de sesión y de cambios; son las secuencias, no las líneas sueltas, las que justifican escalar.
Siga estudiando — capítulo 09 de 18
← Capítulo 08 (borrador) · Índice de capítulos del curso · Capítulo 10 (borrador) →