OpenCyber Academy
Tecnólogo · Capítulo 8 · Español
Código del curso: OCA-092Capítulo 08: OCA-092-C008

Capítulo 8 — Fundamentos de arquitectura de seguridad

Aprendizaje gratuito y abierto para quienes desean proteger a las personas y la tecnología. No se necesita una cuenta para estudiar ni consultar las respuestas.

Mapa de la lección

Lección 08 publicada. Mapa, ejemplo, EX022.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["8.1 Zonas, conductos y el sentido de la confianza"]
  N2["8.2 Defensa en profundidad y mínimo privilegio"]
  N3["8.3 Los caminos de gestión forman parte de la arquit"]
  N4["8.4 Diseñar para la operabilidad"]
  N5["8.5 Erosión: cómo se degradan las arquitecturas"]
  N6["8.7 Actividad práctica: dibuje el camino de gestión"]
  N7["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX022"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["8.1 Zonas, conductos y el sentido de la confianza"]
  N2["8.2 Defensa en profundidad y mínimo privilegio"]
  N3["8.3 Los caminos de gestión forman parte de la arquit"]
  N4["8.4 Diseñar para la operabilidad"]
  N5["8.5 Erosión: cómo se degradan las arquitecturas"]
  N6["8.7 Actividad práctica: dibuje el camino de gestión"]
  N7["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX022"]

[Resultados de aprendizaje y conexión]
    |
    v
[8.1 Zonas, conductos y el sentido de la confianza]
    |
    v
[8.2 Defensa en profundidad y mínimo privilegio]
    |
    v
[8.3 Los caminos de gestión forman parte de la arquit]
    |
    v
[8.4 Diseñar para la operabilidad]
    |
    v
[8.5 Erosión: cómo se degradan las arquitecturas]
    |
    v
[8.7 Actividad práctica: dibuje el camino de gestión]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX022]

Resultados de aprendizaje y conexión

Al terminar este capítulo, usted debería ser capaz de:

El capítulo 2 comparó los flujos observados con los conductos declarados. Este capítulo trata de la propia declaración: por qué LANTERN tiene la forma que tiene y qué debe proteger un implementador al construirlo. Rara vez diseñará usted solo un sistema crítico completo, pero tomará decenas de pequeñas decisiones que preservan el diseño o lo deshacen sin hacer ruido.

8.1 Zonas, conductos y el sentido de la confianza

En LANTERN, los datos fluyen hacia arriba: estaciones → retransmisor → historiador → informes. Las órdenes a las estaciones no pasan en absoluto por LANTERN; los operadores controlan las estaciones desde el sistema independiente de la sala de control. Esta es la propiedad más importante del diseño. Si el retransmisor se ve comprometido, un atacante puede falsificar o bloquear la telemetría (algo grave), pero no puede dar órdenes a una bomba a través de él. Cada cambio propuesto debería contrastarse con esta propiedad: «¿crea esto un camino para que las órdenes, o los sistemas corporativos, alcancen la zona de estaciones?».

La segmentación de las redes de control respecto de las redes de negocio, con caminos controlados y vigilados entre ellas, es una pauta constante en las fuentes de seguridad de TO (NIST SP 800-82 Rev. 3; ISA/IEC 62443 overview). Los cortafuegos la implementan; la guía del NIST sobre cortafuegos recomienda políticas de denegación por defecto que solo permitan el tráfico necesario (NIST SP 800-41 Rev. 1).

8.2 Defensa en profundidad y mínimo privilegio

La defensa en profundidad consiste en varios controles independientes, de modo que un fallo no lleve directamente a un daño. Para que un mensaje de telemetría falsificado engañe a un operador, tendría que alcanzar el retransmisor (segmentación), llevar un código de autenticación válido (capítulo 15), superar la validación (capítulo 3) y no disparar las alertas sobre valores inverosímiles (capítulo 19). Cada capa debe ser independiente: dos controles que dependen de la misma contraseña son un solo control. El mínimo privilegio (dar a cada usuario y proceso solo el acceso que necesita) figura entre los principios de diseño clásicos de Saltzer y Schroeder (Saltzer and Schroeder, 1975), junto con los valores por defecto a prueba de fallos y la economía de mecanismo. Para un implementador son concretos: la cuenta de servicio del retransmisor no puede escribir en su propia configuración; la cuenta del historiador que usa el retransmisor puede insertar telemetría, pero no borrarla.

8.3 Los caminos de gestión forman parte de la arquitectura

Muchos diagramas muestran el camino de los datos y omiten el camino de gestión: cómo llegan a cada equipo los administradores, los sistemas de copia de seguridad, los agentes de monitorización y los proveedores. Los caminos de gestión suelen transportar el acceso más poderoso del sistema. En LANTERN, la administración llega a los retransmisores solo desde un servidor de salto de gestión en la zona corporativa, con MFA; los proveedores llegan al servidor de salto mediante una cuenta limitada en el tiempo (capítulo 7); la monitorización recibe los registros que los retransmisores envían desde ellos, en lugar de iniciar sesión en ellos. El RLY-02 del Lab 22, que consulta servidores de hora públicos, es un camino de gestión que nadie dibujó.

8.4 Diseñar para la operabilidad

Un diseño seguro que los operadores no pueden hacer funcionar acabará eludiéndose. Pregunte por cada control: ¿cómo se mantiene? ¿Qué ocurre a las 03:00 cuando falla? ¿Cómo obtiene un ingeniero acceso de emergencia y cómo queda registrado ese acceso? ¿Qué hace el servicio cuando el retransmisor está caído: saben los operadores que su vista del historiador está desfasada? Diseñe los modos degradados de forma deliberada: las estaciones de LANTERN almacenan localmente 24 horas de lecturas, así que un corte del retransmisor hace perder actualidad, no datos; la pantalla del operador muestra la antigüedad de cada valor.

8.5 Erosión: cómo se degradan las arquitecturas

Las arquitecturas se erosionan mediante excepciones que parecen razonables: una regla de cortafuegos «temporal» para un proveedor, un portátil conectado a dos redes usado para configurar, un servidor de informes trasladado a la zona de control «para que vaya más rápido», una cuenta de administrador compartida por comodidad. Cada una es pequeña; juntas eliminan la separación. Las defensas son rutinarias: conductos registrados con responsable y caducidad (capítulo 2), revisiones de flujos, revisiones de reglas y la negativa a aceptar excepciones no documentadas. Fallowmere muestra cada tipo. La estación de trabajo corporativa que habla Modbus con PS-04 es un hábito de conexión a dos redes; el módem celular que Kell dejó en el PLC de PS-07 es una excepción de proveedor olvidada que ningún registro de flujo muestra; y la petición de enviar puntos de consigna recomendados del historiador a PS-07 habría sido una excepción de apariencia razonable que invertía el sentido de la confianza.

8.6 Ejemplo resuelto: una petición que cruza zonas (sintético)

Operaciones de Agua pide que el historiador envíe cada semana un archivo de «punto de consigna recomendado» al PLC de PS-07, para automatizar una optimización. Contrastada con el capítulo 8 («Zonas, conductos y el sentido de la confianza»), la petición rompe la propiedad más importante: crea un camino de la zona corporativa a la zona de estaciones que transporta información de control. No la rechace de plano; devuelva la cuestión de diseño a su responsable con alternativas: que un operador revise la recomendación en el sistema de la sala de control y la aplique allí; o que el archivo vaya al sistema de la sala de control, que lo valida y lo deja preparado para la aprobación del operador. Cualquiera de las dos preserva el sentido de la confianza. Su papel es mostrar la consecuencia y las alternativas, y registrar la decisión.

8.7 Actividad práctica: dibuje el camino de gestión

Dibuje las zonas y los conductos de LANTERN del capítulo 2 y añada después todos los caminos de gestión: SSH de administración a través del servidor de salto, acceso de proveedores, copia de seguridad, monitorización, hora, actualizaciones de paquetes. Para cada uno, registre origen, destino, protocolo, autenticación y responsable. Marque cualquier camino que permita a una sola credencial alcanzar tanto la zona corporativa como la de estaciones. En LANTERN, el camino que hay que vigilar es la vía del proveedor: la cuenta limitada en el tiempo de Kell llega al servidor de salto, y el servidor de salto llega a los retransmisores. Si esa misma cuenta, o una credencial compartida opsuser, abre también el recurso compartido de archivos corporativo, una sola contraseña robada cruza ambas zonas. Marque también el camino de la hora, ya que se descubrió que el RLY-02 del Lab 22 usaba servidores de hora públicos que ningún diagrama mostraba.

8.8 Errores frecuentes y límites

La arquitectura limita lo que puede ocurrir; no muestra lo que ocurre. La verificación necesita flujos, registros y pruebas (capítulos 2, 19 y 23). Un ejemplo de Fallowmere: las fichas de control del riesgo R2 (capítulo 18) serían menos independientes de lo que parecen si el registro de sesiones del proveedor y la cuenta del proveedor se administraran con el mismo inicio de sesión de Kell.

Ejercicios — capítulo 8

EX022 — Compruebe el sentido de la confianza. Objetivo: evaluar peticiones de cambio frente a la propiedad clave del diseño. Entradas: tres peticiones: (a) el retransmisor descarga cada hora una nueva lista de estaciones permitidas desde el historiador; (b) el SIEM envía una orden de bloqueo automática al cortafuegos de las estaciones cuando ve un ataque; (c) el retransmisor reenvía telemetría a Halden Cloud para una prueba de analítica. Restricciones: acepte, rechace o rediseñe cada una con un párrafo. Pasos: evalúe cada una frente a las cuatro propiedades de diseño del capítulo 8 (sentido de la confianza, mínimo privilegio, caminos de gestión, operabilidad). Evidencia esperada: tres párrafos. Rúbrica: 3 = (a) rediseñar: la configuración debería llegar desde el control de versiones mediante el proceso de cambios, no descargarse desde una zona de menor confianza; (b) rediseñar con cuidado: el bloqueo automático en un camino de TO necesita el acuerdo de operaciones, un fallo seguro y confirmación manual; (c) aceptable solo como un nuevo conducto declarado con entrada en el registro de flujos de datos (capítulo 12), contrato y monitorización; 2 = dos bien argumentadas; 1 = respuestas sin matices; 0 = nada.

EX023 — Independencia de las capas. Objetivo: poner a prueba la defensa en profundidad. Entradas: capas propuestas para proteger el retransmisor: cortafuegos gestionado por E. Strand; administración del retransmisor por E. Strand; clave HMAC generada y guardada por E. Strand en el retransmisor; reglas de monitorización escritas por E. Strand. Restricciones: no suponga mala intención. Pasos: (1) identifique la dependencia común; (2) indique qué suceso único anula todas las capas; (3) proponga dos cambios que restablezcan la independencia. Evidencia esperada: media página. Rúbrica: 3 = una sola persona y un solo conjunto de credenciales; el compromiso o el error de una cuenta anula todo; cambios como funciones de administración separadas, clave guardada en un almacén aparte con custodios distintos, reglas de monitorización a cargo del equipo de seguridad, que también las revisa; 2 = parcial; 1 = «añadir más controles»; 0 = nada.

EX024 — Modo degradado. Objetivo: diseñar la operabilidad. Entradas: el retransmisor está caído durante cuatro horas por la noche. Restricciones: tenga en cuenta a los operadores, los datos y las alertas. Pasos: (1) describa lo que ven los operadores; (2) qué ocurre con los datos; (3) qué alertas saltan y quién las recibe; (4) qué ocurre cuando vuelve el retransmisor. Evidencia esperada: una página. Rúbrica: 3 = las pantallas muestran la antigüedad del dato, no valores congelados como si fueran actuales; las estaciones almacenan localmente; las alertas de silencio de estación y de salud del retransmisor llegan a la guardia; el regreso provoca una carga del atraso que necesita margen (capítulo 1) y no dispara erróneamente las comprobaciones de reproducción; 2 = falta un aspecto; 1 = genérico; 0 = nada.

Síntesis del capítulo

La propiedad arquitectónica más importante de LANTERN es el sentido de la confianza: los datos fluyen hacia arriba y las órdenes nunca bajan a través de él. Proteja esa propiedad en cada cambio, mantenga las capas realmente independientes, ponga los caminos de gestión en el diagrama y diseñe de forma deliberada los modos degradados y el acceso de emergencia. Las arquitecturas se degradan mediante excepciones; registre cada una con un responsable y una caducidad, y compruébelas.

Respuestas desarrolladas

EX022 — Compruebe el sentido de la confianza. (a) Rediseñar: una lista de estaciones permitidas descargada del historiador convierte un sistema de la zona corporativa en la fuente de la configuración de seguridad del retransmisor; en su lugar, la lista procede del control de versiones a través del proceso de cambios (capítulo 14) y se despliega en los retransmisores. (b) Rediseñar con cuidado: el bloqueo automático en el cortafuegos de las estaciones podría cortar telemetría legítima o el acceso de ingeniería durante un incidente; necesita el acuerdo de Agua, un modo de fallo seguro y un alcance limitado al tráfico ajeno al proceso, o bien limitarse a alertar con una confirmación humana de un solo clic. (c) Aceptable solo con un nuevo conducto declarado, una entrada en el registro de flujos de datos (capítulo 12), condiciones contractuales y de conservación con Halden, cifrado y monitorización, y la fecha de fin de la prueba.

EX023 — Independencia de las capas. La dependencia común es una persona y un conjunto de credenciales: el cortafuegos, la administración del retransmisor, la custodia de la clave y la monitorización dependen de E. Strand. Un único suceso (el compromiso de la cuenta de E. Strand, o un error bienintencionado) puede desactivar todas las capas y también su detección. Cambios: separar las funciones (el equipo de red es responsable del cortafuegos; el de plataforma, del retransmisor; el de seguridad, de las reglas de monitorización y de su revisión), y guardar las claves en un almacén con custodios distintos, para que los administradores del retransmisor no puedan leerlas ni sustituirlas sin que se note.

EX024 — Modo degradado. Operadores: las pantallas del historiador muestran que la antigüedad de los valores aumenta y un aviso de «retransmisor fuera de línea», no valores congelados presentados como actuales. Datos: las estaciones almacenan localmente (24 h). Alertas: las alertas de salud del retransmisor y de silencio de estación llegan a la guardia de FSTS y a la sala de control de Agua en 15 a 20 minutos. Regreso: las estaciones cargan el atraso; el retransmisor necesita margen para la ráfaga (capítulo 1); los mensajes atrasados son más antiguos que la ventana temporal en vivo y deben aceptarse por un camino explícito para el atraso que siga comprobando el MAC y la secuencia (capítulo 15), de modo que la comprobación de reproducción no los rechace erróneamente y tampoco se convierta en un hueco para reproducciones.