Capítulo 19 — Seguridad de TO, IoT y sistemas ciberfísicos: supervisión
Mapa de la lección
Lección 19 publicada. Mapa, ejemplo, EX055.
flowchart TD
N0["Resultados de aprendizaje"]
N1["19.1 Líneas base"]
N2["19.2 Leer las alertas"]
N3["19.3 Clasificación junto con operaciones"]
N4["19.4 Ajuste"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX055"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["19.1 Líneas base"]
N2["19.2 Leer las alertas"]
N3["19.3 Clasificación junto con operaciones"]
N4["19.4 Ajuste"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX055"]
[Resultados de aprendizaje]
|
v
[19.1 Líneas base]
|
v
[19.2 Leer las alertas]
|
v
[19.3 Clasificación junto con operaciones]
|
v
[19.4 Ajuste]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX055]
Resultados de aprendizaje
Usted será capaz de (1) construir una línea base de la comunicación normal; (2) detectar equipos nuevos frente a esa línea base; (3) clasificar las alertas junto con operaciones; y (4) ajustar la supervisión para evitar la fatiga de alertas.
19.1 Líneas base
Las redes de TO son repetitivas: los mismos dispositivos hablan con los mismos interlocutores siguiendo el mismo calendario. Eso convierte una línea base, el conjunto de equipos y flujos vistos durante un periodo representativo, en un detector potente. Todo lo nuevo merece una mirada. NIST SP 800-82r3 recomienda una supervisión adaptada al tráfico predecible de la TO.
"""Lab 19: flag hosts not present in a 7-day baseline of synthetic flow records."""
baseline_days = {"HMI-C", "PLC-R1", "PLC-R2", "HIST", "GW-LOG"}
today = ["HMI-C", "PLC-R1", "HIST", "LAPTOP-V3", "GW-LOG", "LAPTOP-V3", "PLC-R2", "UNKNOWN-10.4.2.77"]
new = []
for h in today:
if h not in baseline_days and h not in new: new.append(h)
print("new talkers:", new)
print("events:", len(today), "unique hosts:", len(set(today)), "new:", len(new))
Ejecútelo con python3 lab_talkers.py. Salida verificada:
new talkers: ['LAPTOP-V3', 'UNKNOWN-10.4.2.77']
events: 8 unique hosts: 7 new: 2
La captura de Priya en SW-C proporcionó la línea base que usa el laboratorio: cinco equipos, HMI-C, PLC-R1, PLC-R2, HIST y GW-LOG, vistos durante siete días. Cualquier cosa fuera de ese conjunto genera una alerta de interlocutor nuevo, y por eso tanto el portátil de la empresa contratista como la impresora del muelle aparecen en la salida del laboratorio.
19.2 Leer las alertas
LAPTOP-V3 apareció dos veces; UNKNOWN-10.4.2.77, una. El portátil es probablemente el de la empresa contratista (compruebe el registro de visitas). La dirección desconocida no pertenece a ninguna subred de NCS, y eso es más urgente, porque sugiere un dispositivo mal configurado o un camino que la arquitectura no contempla. Ambas se resolvieron en menos de una hora. El registro de visitas mostraba a la empresa contratista en el emplazamiento con el portátil V3 de 09:00 a 11:30, en coincidencia con las horas de las alertas, así que esa alerta se cerró con la referencia de la visita. La dirección 10.4.2.77 resultó ser una impresora del muelle con una dirección tomada del plan de otro emplazamiento.
19.3 Clasificación junto con operaciones
El analista llama al responsable de instalaciones antes de actuar: ¿hay alguien de la empresa contratista en el emplazamiento? ¿Ha añadido alguien un equipo? El contexto de operaciones resuelve la mayoría de las alertas en minutos. Solo se escalan las alertas sin explicar. En NCS, los dos interlocutores nuevos del laboratorio se explicaron así. El registro de visitas del responsable de instalaciones mostraba a la empresa contratista en el emplazamiento con el portátil V3 de 09:00 a 11:30, así que esa alerta se cerró con la referencia de la visita. La dirección desconocida 10.4.2.77 requirió ir al muelle, donde se encontró una impresora de logística en un puerto de la zona de cámaras. Ninguna de las dos exigió tocar la red de control. Si el registro de visitas no hubiera mostrado a nadie de la empresa contratista esa mañana, LAPTOP-V3 se habría escalado de inmediato.
19.4 Ajuste
Los cambios previstos, como las visitas programadas de la empresa contratista o un registrador nuevo, deben añadirse a la línea base mediante un tique de cambio, no silenciarse con una regla general. Revise mensualmente el número de alertas; si la mayoría son eventos rutinarios explicados, mejore el vínculo con los tiques de cambio en lugar de subir los umbrales. En NCS, las visitas de la empresa contratista llevan un tique, así que el vínculo con el registro de visitas del paquete para la empresa contratista del capítulo 25 permite asociar automáticamente la aparición de LAPTOP-V3 a un tique abierto. Una alerta sin tique asociado va entonces al responsable de seguridad en lugar de que la cierre el operador.
Ejemplo resuelto (NCS sintética)
El registro de visitas muestra a la empresa contratista en el emplazamiento con el portátil V3 de 09:00 a 11:30, en coincidencia con las horas de las alertas. Priya cierra esa alerta con la referencia de la visita. La dirección 10.4.2.77 pertenece a una impresora del muelle instalada por el equipo de logística con una dirección estática tomada del plan de otro emplazamiento; estaba conectada a un puerto de la zona de cámaras. Se traslada, se le asigna una nueva dirección y se añade al inventario.
Caso sintético — Northgate Cold Storage. Los equipos y la historia de la impresora son inventados.
Errores y límites
Una línea base capturada mientras el sistema estaba comprometido trata al atacante como normal. Siete días pueden no captar la actividad mensual.
Ejercicios — capítulo 19
- EX055 — Ampliar la línea base. Si se añade LAPTOP-V3 a
baseline_days, ¿qué imprime el laboratorio como interlocutores nuevos? Rúbrica: 3 =['UNKNOWN-10.4.2.77']ynew: 1; 2 = solo la lista; 1 = sin cambios; 0 = nada. - EX056 — Por qué la dirección desconocida es urgente. Explíquelo en dos frases. Rúbrica: 3 = fuera de cualquier subred de NCS, implica un camino no planificado o una mala configuración; 2 = parcial; 1 = vago; 0 = nada.
- EX057 — Ajustar sin quedarse ciego. Proponga cómo deberían dejar de generar alertas sin explicar las visitas programadas de la empresa contratista. Rúbrica: 3 = el tique de la visita añade el portátil a una lista de permitidos o anotación limitada en el tiempo; 2 = parcial; 1 = ignorar los portátiles; 0 = nada.
Síntesis del capítulo
Las líneas base convierten la regularidad de la TO en detección; la clasificación junto con operaciones y el ajuste vinculado a los cambios mantienen el sentido de las alertas.
Siga estudiando — capítulo 19 de 30
← Capítulo 18 (borrador) · Índice de capítulos del curso · Capítulo 20 (borrador) →