Capítulo 16 — Seguridad de TO, IoT y sistemas ciberfísicos: métodos II

Mapa de la lección

Lección 16 publicada. Mapa, ejemplo, EX046.

flowchart TD
  N0["Resultados de aprendizaje"]
  N1["16.1 Una pasada rápida de modelado de amenazas"]
  N2["16.2 Preguntas de base sobre el producto"]
  N3["16.3 Leer las afirmaciones del proveedor"]
  N4["16.4 Supuestos"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX046"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje"]
  N1["16.1 Una pasada rápida de modelado de amenazas"]
  N2["16.2 Preguntas de base sobre el producto"]
  N3["16.3 Leer las afirmaciones del proveedor"]
  N4["16.4 Supuestos"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX046"]

[Resultados de aprendizaje]
    |
    v
[16.1 Una pasada rápida de modelado de amenazas]
    |
    v
[16.2 Preguntas de base sobre el producto]
    |
    v
[16.3 Leer las afirmaciones del proveedor]
    |
    v
[16.4 Supuestos]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX046]

Resultados de aprendizaje

Usted será capaz de (1) aplicar una pasada sencilla de modelado de amenazas al sistema de registradores; (2) evaluar un producto IoT frente a las disposiciones de ETSI EN 303 645; (3) revisar la documentación del proveedor en busca de afirmaciones de seguridad; y (4) registrar los supuestos de los que depende el modelo.

16.1 Una pasada rápida de modelado de amenazas

Dibuje el sistema de registradores: registradores → radio → GW-LOG → cortafuegos → nube del proveedor → portal web que usa el responsable de calidad. En cada flecha pregunte: ¿puede alguien hacerse pasar por el emisor, cambiar los datos, leerlos, bloquearlos u obtener más control del previsto? Esta lista de preguntas, adaptada de STRIDE, produce una breve lista de amenazas en menos de una hora. La pasada de Priya en NCS produjo, entre otras entradas, «reproducción por radio de lecturas antiguas», con el supuesto de que un atacante tendría que estar a unos 100 m de los registradores.

16.2 Preguntas de base sobre el producto

ETSI EN 303 645 ofrece preguntas concretas para cada producto IoT: ¿se entrega con una contraseña por defecto universal (5.1)? ¿Publica el proveedor una forma de notificar vulnerabilidades (5.2)? ¿Puede actualizarse su software de forma segura (5.3)? ¿Se comunica de forma segura (5.5)? ¿Están protegidos los datos personales (5.8)? Las respuestas pueden proceder de la documentación, de un cuestionario al proveedor y, para algunos puntos, de una comprobación en el banco. Las respuestas del proveedor de los registradores al cuestionario de Priya: contraseñas únicas por dispositivo en las etiquetas (5.1 cumplido), una página de divulgación (5.2 cumplido), actualizaciones firmadas que solo aplica el proveedor en remoto (5.3 cumplido con una dependencia) y TLS hacia la nube pero un enlace de radio sin cifrar (5.5 cumplido en parte).

16.3 Leer las afirmaciones del proveedor

«Cifrado de nivel bancario» no es una respuesta a 5.5; «TLS 1.2 o posterior con validación del certificado del servidor y certificados fijados a la CA del proveedor» sí lo es. Pida detalles concretos y anote cuándo el proveedor no puede darlos. La respuesta del proveedor de los registradores de NCS para 5.5 era lo bastante concreta como para actuar: TLS hacia la nube, pero sin cifrado en el enlace de radio entre los registradores y GW-LOG. Ese «cumplido en parte» es más útil que una frase comercial segura de sí misma, porque indica a Priya exactamente dónde debe ir el control compensatorio: comparar las lecturas de los registradores con las sondas de los PLC, como en el capítulo 18. Un proveedor que solo pudiera decir «comunicación segura» habría dejado el enlace de radio sin examinar.

16.4 Supuestos

Los modelos de amenazas descansan en supuestos: el alcance del enlace de radio es de unos 100 m; el portal usa MFA; la nube del proveedor se opera de forma segura. Anótelos; si uno resulta falso, revise el modelo. La lista de Priya para el sistema de registradores incluye el alcance de radio de unos 100 m, que define quién puede intentar reproducir lecturas antiguas; la declaración del proveedor de que aplica en remoto las actualizaciones firmadas, de la que depende 5.3; y que el portal del responsable de calidad usa MFA, algo que ella no había verificado. Si resultara que el portal no tiene MFA, el «compromiso de la cuenta en la nube» subiría en su lista, así que el supuesto queda marcado para comprobarse en la próxima revisión del proveedor.

Ejemplo resuelto (NCS sintética)

El cuestionario de Priya al proveedor devuelve: contraseña única por dispositivo impresa en la etiqueta (5.1 cumplido); existe una página de política de divulgación (5.2 cumplido); actualizaciones de firmware firmadas pero aplicadas solo por el proveedor en remoto (5.3 cumplido con una dependencia); TLS hacia la nube, pero el enlace de radio entre los registradores y la pasarela no está cifrado (5.5 cumplido en parte). Su lista de amenazas incorpora «reproducción por radio de lecturas antiguas» con el supuesto «atacante a menos de ~100 m».

Caso sintético — Northgate Cold Storage. Las respuestas del proveedor son inventadas.

Errores y límites

Las respuestas a un cuestionario son afirmaciones; verifique las más importantes. ETSI EN 303 645 se dirige al IoT de consumo; para pasarelas industriales, IEC 62443-4-2 puede ser una referencia mejor.

Ejercicios — capítulo 16

• EX046 — Preguntas STRIDE en el portal. Dé una amenaza de suplantación y una de divulgación de información para el portal del responsable de calidad.
  Mostrar criterios de evaluación

  Rúbrica: 3 = dos amenazas plausibles; 2 = una; 1 = genérica; 0 = nada.
• EX047 — Una afirmación vaga. Reescriba la pregunta que devolvería a un proveedor que dice «seguridad de grado militar».
  Mostrar criterios de evaluación

  Rúbrica: 3 = pregunta concreta sobre protocolo, versiones y validación; 2 = parcial; 1 = acepta la afirmación; 0 = nada.
• EX048 — Poner a prueba un supuesto. ¿Cómo comprobaría de forma segura el supuesto de «unos 100 m de alcance de radio»?
  Mostrar criterios de evaluación

  Rúbrica: 3 = especificación del proveedor más una prueba a pie con un receptor y un registrador de banco en zonas permitidas; 2 = parcial; 1 = transmitir a registradores en servicio; 0 = nada.

Síntesis del capítulo

Un modelado de amenazas rápido, las preguntas de base y los supuestos por escrito permiten a un tecnólogo evaluar un producto IoT en días, no en meses.

Siga estudiando — capítulo 16 de 30

← Capítulo 15 (borrador) · Índice de capítulos del curso · Capítulo 17 (borrador) →