Capítulo 17 — Seguridad de TO, IoT y sistemas ciberfísicos: herramientas

Mapa de la lección

Lección 17 publicada. Mapa, ejemplo, EX049.

flowchart TD
  N0["Resultados de aprendizaje"]
  N1["17.1 Primero lo pasivo"]
  N2["17.2 Preparar una captura"]
  N3["17.3 Análisis fuera de línea"]
  N4["17.4 Controlar las herramientas"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX049"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje"]
  N1["17.1 Primero lo pasivo"]
  N2["17.2 Preparar una captura"]
  N3["17.3 Análisis fuera de línea"]
  N4["17.4 Controlar las herramientas"]
  N5["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX049"]

[Resultados de aprendizaje]
    |
    v
[17.1 Primero lo pasivo]
    |
    v
[17.2 Preparar una captura]
    |
    v
[17.3 Análisis fuera de línea]
    |
    v
[17.4 Controlar las herramientas]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX049]

Resultados de aprendizaje

Usted será capaz de (1) elegir herramientas seguras para la observación en TO; (2) configurar una captura pasiva en un puerto espejo; (3) usar herramientas de análisis fuera de línea con archivos de captura; y (4) controlar el uso de herramientas mediante permisos de trabajo y registros de cambios.

17.1 Primero lo pasivo

Las herramientas pasivas escuchan; las activas envían. En TO, las herramientas pasivas son la opción por defecto porque las sondas activas pueden alterar dispositivos antiguos. NIST SP 800-82r3 trata el riesgo del escaneo activo en entornos de TO y el valor de la supervisión pasiva. Un puerto espejo (SPAN) en el conmutador de la zona de control copia el tráfico a un portátil o sensor de supervisión sin modificar el propio tráfico. La captura de Priya usó el puerto 24 del conmutador de la zona de control SW-C, que reflejaba los puertos 1–8, donde se conectan los PLC, HMI-C y HIST. La réplica solo requirió un cambio de configuración en SW-C, hecho por el responsable de la red, sin reiniciar ningún dispositivo de los puertos 1–8.

17.2 Preparar una captura

Acuerde el puerto del conmutador con el responsable de la red; configure la réplica en una ventana de cambios; conecte un equipo de captura cuya interfaz de red no tenga dirección IP, para que no pueda transmitir. Registre las horas de inicio y fin, el conmutador, los puertos reflejados y los contadores de pérdida de paquetes. El plan de Priya para NCS: el puerto 24 de SW-C refleja los puertos 1–8, el equipo de captura tiene la IP desactivada y la captura dura 72 horas para incluir un ciclo de desescarche, cuando cambian los patrones de tráfico. Los contadores de pérdida se leen al principio y al final, y el permiso de trabajo nombra al responsable de instalaciones como la persona que puede detener el trabajo.

17.3 Análisis fuera de línea

Analice las capturas en una estación de trabajo aislada: los decodificadores de protocolos identifican los códigos de función Modbus, las listas de conversaciones muestran quién habla con quién, y scripts de Python sencillos como los de los capítulos 11–12 comparan los resultados con el inventario y la matriz de flujos. La captura de 72 horas de SW-C de Priya alimentó tanto la comparación de inventario del capítulo 11 como la comparación de flujos del capítulo 12. También se le escapó algo: la consulta del historiador a PLC-R2 no apareció en la ventana, y por eso HIST → PLC-R2 faltaba en la matriz de flujos y el primer despliegue del cortafuegos del capítulo 27 tuvo que revertirse. El análisis fuera de línea solo puede informar de lo que contiene la captura.

17.4 Controlar las herramientas

Cada herramienta que se usa en el emplazamiento figura en el permiso de trabajo con su versión y su modo (solo pasivo). Las herramientas de ingeniería de la empresa contratista, como el software de programación de los PLC, no son herramientas de seguridad; su uso corresponde a la empresa contratista, bajo control de cambios. El permiso de Priya recoge la herramienta de captura y su versión, solo en modo pasivo, y el cambio de configuración del conmutador para el puerto espejo, que hace el responsable de la red. También recoge las condiciones de parada: cualquier alarma de la HMI que los operadores no sepan explicar, o un aviso de CPU del conmutador, pone fin a la captura, y se informa primero al responsable de instalaciones. Una captura detenida se anota en el registro de evidencia con su duración.

Ejemplo resuelto (NCS sintética)

El plan de captura de Priya: el puerto 24 del conmutador SW-C refleja los puertos 1–8 (PLC, HMI-C, HIST); el equipo de captura tiene la IP desactivada; captura de 72 horas para incluir un ciclo de desescarche; contadores de pérdida comprobados al inicio y al final. El permiso de trabajo recoge la herramienta de captura y su versión y nombra al responsable de instalaciones como la persona que puede detener el trabajo.

Caso sintético — Northgate Cold Storage. Los puertos y las duraciones son inventados.

Errores y límites

Un puerto espejo puede descartar paquetes cuando está sobrecargado; compruebe los contadores antes de fiarse de un «no se vio nada». Los archivos de captura pueden contener datos sensibles; guárdelos cifrados y elimínelos según el calendario previsto.

Ejercicios — capítulo 17

• EX049 — ¿Por qué sin dirección IP? Explique por qué la interfaz del equipo de captura no tiene dirección IP.
  Mostrar criterios de evaluación

  Rúbrica: 3 = no puede transmitir ni interactuar por accidente con los dispositivos de TO; 2 = parcial; 1 = velocidad; 0 = nada.
• EX050 — ¿Por qué 72 horas? Justifique la duración de 72 horas de la captura.
  Mostrar criterios de evaluación

  Rúbrica: 3 = incluir eventos periódicos como el desescarche y los cambios de turno; 2 = parcial; 1 = arbitraria; 0 = nada.
• EX051 — Tratamiento del archivo de captura. Escriba dos reglas de tratamiento para el archivo de captura.
  Mostrar criterios de evaluación

  Rúbrica: 3 = almacenamiento cifrado con acceso limitado; fecha de eliminación; 2 = una; 1 = vago; 0 = nada.

Síntesis del capítulo

Las herramientas de TO son pasivas por defecto, se configuran bajo control de cambios y se documentan para que sus resultados sean fiables y sus riesgos queden contenidos.

Siga estudiando — capítulo 17 de 30

← Capítulo 16 (borrador) · Índice de capítulos del curso · Capítulo 18 (borrador) →