Capítulo 23 — Infraestructura crítica y seguridad sectorial: evaluación
Mapa de la lección
Lección 23 publicada. Mapa, ejemplo, EX067.
flowchart TD
N0["Resultados de aprendizaje y conexión"]
N1["23.1 Qué probar"]
N2["23.2 Reglas de enfrentamiento"]
N3["23.3 Reglas de afirmación"]
N4["23.4 De los resultados al trabajo"]
N5["23.6 Actividad práctica: evalúe los controles"]
N6["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX067"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje y conexión"]
N1["23.1 Qué probar"]
N2["23.2 Reglas de enfrentamiento"]
N3["23.3 Reglas de afirmación"]
N4["23.4 De los resultados al trabajo"]
N5["23.6 Actividad práctica: evalúe los controles"]
N6["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX067"]
[Resultados de aprendizaje y conexión]
|
v
[23.1 Qué probar]
|
v
[23.2 Reglas de enfrentamiento]
|
v
[23.3 Reglas de afirmación]
|
v
[23.4 De los resultados al trabajo]
|
v
[23.6 Actividad práctica: evalúe los controles]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX067]
Resultados de aprendizaje y conexión
Al terminar este capítulo, usted debería ser capaz de:
- planificar pruebas seguras y autorizadas que muestren si los controles funcionan como se pretende;
- redactar reglas de enfrentamiento para las pruebas en un entorno operativo;
- informar de la eficacia de cada control con recuentos, intervalos y medidas de tiempo, usando una regla de afirmación declarada;
- convertir los resultados de la evaluación en trabajo de mejora y en nuevas pruebas.
Los capítulos 18 y 19 implementaron controles y reglas. Este capítulo pregunta si funcionan. La guía técnica del NIST sobre pruebas de seguridad describe la planificación, la ejecución y el informe de las pruebas, incluida la necesidad de autorización y de reglas de enfrentamiento (NIST SP 800-115). En los servicios críticos, el énfasis está en pruebas seguras para el proceso físico.
23.1 Qué probar
Pruebe cada control frente a la evidencia que promete su ficha (capítulo 18). Para los controles detectivos, inyecte un evento de prueba seguro que debería producir la alerta: una ráfaga deliberada de inicios de sesión fallidos desde una dirección de prueba; un flujo de prueba marcado desde una estación de trabajo de prueba hacia un puerto de prueba de un PLC de repuesto; un latido de prueba en pausa. Para los controles preventivos, intente la acción prevenida de forma controlada: un mensaje con un MAC erróneo; una conexión desde una zona no permitida. Para los controles de recuperación, ejecute una restauración cronometrada (capítulo 16).
23.2 Reglas de enfrentamiento
Antes de cualquier prueba, redacte y consiga la firma de unas reglas de enfrentamiento: propósito; sistemas dentro del alcance (por identificador) y explícitamente fuera de él; acciones permitidas; ventana temporal; quién está en la instalación o de guardia; plan de comunicación (a quién se informa antes, durante y después); condiciones de detención (cualquier comportamiento inesperado del proceso detiene la prueba de inmediato); cómo se marcan los eventos de prueba para que quienes responden y los operadores los reconozcan; y cómo se guardan los resultados. En la zona de estaciones, prefiera las pruebas en equipos de repuesto o de laboratorio, o en el lado del retransmisor del conducto, y no envíe nunca tráfico de prueba a un controlador en servicio sin el acuerdo explícito de operaciones para ese controlador y ese momento.
23.3 Reglas de afirmación
Decida antes de probar qué resultado contará como «eficaz». Una regla de afirmación podría ser: el límite inferior de Wilson al 95 % de la tasa de detección es al menos 0,70 y la mediana del tiempo hasta la alerta cumple el objetivo. Fijar la regla de antemano evita la tentación de elegir después una interpretación favorecedora. Se aplica la lección del capítulo 9: pocas pruebas dan intervalos amplios, así que «8 de 8 detectadas» puede seguir sin cumplir la regla. El 8 de 8 de la regla C es el caso: un historial perfecto cuyo límite inferior, 0,68, no llega a 0,70.
23.4 De los resultados al trabajo
Cada control «aún no demostrado» necesita o una mejora (corregir la regla, la fuente, la configuración) o más pruebas (si el problema es solo el tamaño de la muestra). Registre la fecha de la siguiente prueba. Cada control «demostrado eficaz» se vuelve a probar de forma programada, porque los controles se degradan. El Lab 23 clasifica así sus cuatro controles. La regla C solo necesita más pruebas: un éxito más llegaría justo a 0,70 (0,701), y un segundo daría margen (0,722). La regla B necesita primero una mejora, exportar al SIEM los flujos del conmutador de estación que faltaba, y después una nueva prueba. La FIM necesita ambas cosas: comprobaciones más frecuentes de los archivos críticos y, después, más pruebas. La restauración de copias necesita añadir la clave de descifrado al manual de operación y, después, nuevos simulacros.
23.5 Ejemplo resuelto: las pruebas de control de un trimestre (sintético)
El Lab 23 aplica la regla de afirmación a seis controles. Dos quedan demostrados eficaces: la regla A detectó 12 de 12 pruebas de fuerza bruta con una mediana de 2 minutos (límite inferior 0,76), y el retransmisor rechazó las 40 pruebas de fallo de MAC (límite inferior 0,91). Cuatro aún no están demostrados, por motivos distintos:
- Regla B (Modbus de la red corporativa a una estación): detectó solo 7 de 10. La investigación muestra que los tres fallos fueron flujos de prueba hacia un PLC en un conmutador de estación cuyos flujos no se exportan al SIEM: una carencia de la fuente, no un fallo de la regla.
- Regla C (estación en silencio): detectó 8 de 8 con una mediana de 16 minutos frente a un objetivo de 20 minutos, pero el límite inferior es 0,68. Aquí el único problema es el tamaño de la muestra: una prueba correcta más cumpliría la regla por poco, y dos la cumplirían con margen.
- FIM: detectó 4 de 6 cambios no aprobados, con una mediana de 1.440 minutos porque la comprobación de integridad se ejecuta una vez al día. Necesita a la vez una mejora (comprobaciones más frecuentes de los archivos críticos) y más pruebas.
- Restauración de copias: cumplió su objetivo 9 de 10 veces; el límite inferior, 0,60, está por debajo de 0,70. El único fallo fue la falta de una clave de descifrado en el manual de operación de restauración: un problema de proceso que puede corregirse.
23.6 Actividad práctica: evalúe los controles
Lab 23 (guárdelo como lab23.py y ejecútelo con python3 lab23.py):
# Lab 23 - evaluating whether the service's controls work, not only whether they exist (offline, standard library only)
# Claim rule used here: 'shown effective' needs the 95% Wilson lower bound >= 0.70 and the time target met.
# Synthetic results of a quarter of control tests at Fallowmere. Each test injects a safe, authorized test event.
import math
tests = { # control: (test events injected, detected/blocked as specified, median minutes to alert)
"brute-force alert (rule A)": (12, 12, 2),
"corp->station Modbus alert (rule B)": (10, 7, 4),
"station-silent alert (rule C)": (8, 8, 16),
"MAC rejection at relay": (40, 40, None),
"FIM unapproved-change alert": (6, 4, 1440),
"backup restore within 4 h": (10, 9, None),
}
def wilson_low(k, n, z=1.96):
p = k / n; d = 1 + z*z/n; c = (p + z*z/(2*n)) / d; h = z*math.sqrt(p*(1-p)/n + z*z/(4*n*n)) / d
return c - h
target = {"FIM unapproved-change alert": 60, "station-silent alert (rule C)": 20}
for name, (n, k, mins) in tests.items():
lo = wilson_low(k, n)
late = name in target and mins is not None and mins > target[name]
verdict = "shown effective" if lo >= 0.70 and not late else "not yet shown"
print(f"{name:<36} {k:>2}/{n:<2} low95={lo:.2f} median {'-' if mins is None else mins:>4} min {verdict}{' (too slow)' if late else ''}")
Salida esperada (Python 3.13.5):
brute-force alert (rule A) 12/12 low95=0.76 median 2 min shown effective
corp->station Modbus alert (rule B) 7/10 low95=0.40 median 4 min not yet shown
station-silent alert (rule C) 8/8 low95=0.68 median 16 min not yet shown
MAC rejection at relay 40/40 low95=0.91 median - min shown effective
FIM unapproved-change alert 4/6 low95=0.30 median 1440 min not yet shown (too slow)
backup restore within 4 h 9/10 low95=0.60 median - min not yet shown
Los dos controles eficaces son la regla A, 12 de 12 con límite inferior 0,76, y la comprobación del MAC del retransmisor, 40 de 40 con límite inferior 0,91. Para cada uno de los cuatro que aún no están demostrados, escriba una línea: el motivo (regla B, una carencia de la fuente; regla C, el tamaño de la muestra; FIM, comprobaciones diarias y muy pocas pruebas; restauración, una carencia del manual de operación), la siguiente acción y la fecha de la siguiente prueba. No redondee el 0,68 de la regla C a 0,70.
23.7 Errores frecuentes y límites
- Probar sin reglas de enfrentamiento escritas, o con un alcance poco claro.
- Eventos de prueba sin marcar, que desencadenan una respuesta real, o eventos reales descartados como pruebas.
- Reglas de afirmación elegidas tras ver los resultados.
- Informar de «8/8 = 100 %» sin intervalo.
- Tratar «aún no demostrado» como «fallido», o como «bien».
- Pruebas en controladores en servicio sin el acuerdo de operaciones.
Las pruebas muestran cómo responden los controles a los eventos de prueba que usted diseñó. Los adversarios reales y las averías reales pueden ser distintos; varíe las pruebas a lo largo del tiempo e incluya escenarios de incidentes ocurridos en otros lugares.
Ejercicios — capítulo 23
EX067 — Reglas de enfrentamiento. Objetivo: autorizar una prueba segura. Entradas: una prueba de la regla B con una estación de trabajo de prueba y el PLC Arlen 300 de repuesto del laboratorio de FSTS, más un flujo de prueba hacia el PLC de PS-04 durante una visita a la instalación. Restricciones: todos los elementos del capítulo 23 («Reglas de enfrentamiento»). Pasos: redacte las reglas de enfrentamiento. Evidencia esperada: una página. Rúbrica: 3 = alcance por identificador, con el flujo hacia el PLC en servicio permitido solo con la aprobación nominal de Agua, prueba de solo lectura o solo de conexión (sin escrituras), ingeniero en la instalación, dirección de prueba marcada, comunicación a la sala de control y al SOC, condiciones de detención explícitas y almacenamiento de los resultados; 2 = falta un elemento; 1 = informal; 0 = nada.
EX068 — ¿Cuántas pruebas más? Objetivo: planificar el tamaño de la muestra. Entradas: la regla C con 8/8. Restricciones: use el límite inferior de Wilson del Lab 23. Pasos: halle el número de éxitos consecutivos adicionales necesarios para que el límite inferior llegue a 0,70. Evidencia esperada: el número y la ejecución. Rúbrica: 3 = un éxito más (9/9 da un límite inferior de unos 0,701; 10/10 da unos 0,722), mostrado correctamente, con el comentario de que cumplir un umbral por un margen de 0,001 es frágil y que merece la pena planificar una segunda prueba adicional; 2 = correcto con un método poco claro; 1 = adivinado; 0 = nada.
EX069 — Diagnostique un fallo de detección. Objetivo: convertir los resultados en trabajo. Entradas: la regla B no detectó 3 de 10 pruebas porque no se exportaban los flujos de un conmutador de estación. Restricciones: plan de corrección y de nueva prueba. Pasos: (1) indique la corrección; (2) indique la monitorización que habría detectado antes la carencia (capítulo 19); (3) planifique la nueva prueba. Evidencia esperada: media página. Rúbrica: 3 = habilitar la exportación de flujos en ese conmutador mediante un cambio; añadir una regla de ausencia de fuente por cada exportador de flujos; nueva prueba con al menos 10 eventos en todos los conmutadores; actualizar la ficha de control; 2 = corrección sin monitorización; 1 = «ajustar la regla B»; 0 = nada.
Síntesis del capítulo
Pruebe los controles frente a la evidencia que prometen, con eventos de prueba seguros y marcados, bajo unas reglas de enfrentamiento firmadas que protejan el proceso físico. Fije la regla de afirmación antes de probar, informe de recuentos con intervalos y medidas de tiempo, y distinga «demostrado eficaz» de «aún no demostrado», y por qué. Convierta cada resultado en una mejora o en más pruebas, y vuelva a probar de forma programada.
Siga estudiando — capítulo 23 de 30
← Capítulo 22 · Índice de capítulos del curso · Capítulo 24 →
Continúe con la siguiente lección escrita.