Capítulo 20 — Seguridad de TO, IoT y sistemas ciberfísicos: resolución de problemas
Mapa de la lección
Lección 20 publicada. Mapa, ejemplo, EX058.
flowchart TD
N0["Resultados de aprendizaje"]
N1["20.1 La mayoría de las averías no son ataques"]
N2["20.2 Un método por capas"]
N3["20.3 Hábitos que preservan la evidencia"]
N4["20.4 Detenerse y escalar"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX058"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["20.1 La mayoría de las averías no son ataques"]
N2["20.2 Un método por capas"]
N3["20.3 Hábitos que preservan la evidencia"]
N4["20.4 Detenerse y escalar"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX058"]
[Resultados de aprendizaje]
|
v
[20.1 La mayoría de las averías no son ataques]
|
v
[20.2 Un método por capas]
|
v
[20.3 Hábitos que preservan la evidencia]
|
v
[20.4 Detenerse y escalar]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX058]
Resultados de aprendizaje
Usted será capaz de (1) distinguir las causas cibernéticas de las averías ordinarias; (2) resolver fallos de comunicación con método; (3) evitar pasos de resolución de problemas que destruyen evidencia; y (4) saber cuándo detenerse y escalar.
20.1 La mayoría de las averías no son ataques
Cuando HMI-C muestra valores congelados, la causa suele ser un cable, un puerto del conmutador, una fuente de alimentación averiada o una licencia caducada. Trátelo primero como una avería, pero tenga presente la posibilidad de seguridad y preserve la evidencia mientras trabaja. Saltar a «nos han hackeado» hace perder tiempo; ignorar la posibilidad puede destruir el registro que necesitaría una investigación. La primera avería de valores congelados de Priya en PLC-R2 fue un latiguillo con errores CRC en aumento; la segunda, una semana después, no lo fue.
20.2 Un método por capas
Suba por la pila: luces de alimentación y de enlace; estado y errores del puerto del conmutador; alcanzabilidad IP desde un equipo de la misma subred (con permiso); la sesión del protocolo (¿muestra HMI-C un código de error de comunicación?); y después la configuración de la aplicación. Cambie una sola cosa cada vez y anote cada paso y su resultado. La primera avería de PLC-R2 siguió este orden: luz de enlace encendida, puerto del conmutador con errores CRC en aumento, latiguillo nuevo, los errores cesan, los valores se actualizan. Priya registró la avería como física, con los contadores de errores como evidencia. Detenerse en la primera capa que explicaba el síntoma le evitó tocar el PLC en absoluto.
20.3 Hábitos que preservan la evidencia
Antes de reiniciar un equipo que podría estar comprometido, exporte sus registros y anote sus procesos en ejecución. Antes de sustituir un dispositivo, fotografíe sus etiquetas y su configuración. Un reinicio borra la memoria que podría mostrar software malicioso; una sustitución elimina el estado original del firmware. Cuando los valores de PLC-R2 volvieron a congelarse una semana después sin errores en el puerto, Priya comparó su programa con la copia de seguridad antes de que nadie lo reiniciara, y encontró una diferencia. Un reinicio habría vuelto a ejecutar el mismo programa modificado, así que no habría arreglado nada, y habría borrado el estado de ejecución y el búfer de diagnóstico del controlador. El siguiente paso habitual tras un reinicio fallido, descargar la copia de seguridad, habría sobrescrito el programa modificado, que era la principal evidencia de quién lo cambió y cuándo. Escaló el caso con la salida de la comparación y los contadores del puerto adjuntos.
20.4 Detenerse y escalar
Deténgase y llame al responsable de seguridad si encuentra procesos o cuentas desconocidos, cambios de configuración que nadie hizo, tráfico hacia destinos desconocidos o un dispositivo cuyo programa difiere de la copia de seguridad. En NCS, la segunda congelación de PLC-R2 cumplía la cuarta condición: el programa del controlador difería de la copia de seguridad, así que Priya escaló en lugar de reiniciar. La misma regla se aplicó en su tercera visita al emplazamiento, cuando un operador le pidió que «reiniciara rápidamente» una HMI bloqueada. Se negó, comprobó en modo de solo lectura los contadores del puerto del conmutador y llamó a la empresa contratista, que encontró una fuente de alimentación que estaba fallando. Si el bloqueo hubiera tenido una causa cibernética, el reinicio habría borrado lo que necesitaba la investigación.
Ejemplo resuelto (NCS sintética)
HMI-C muestra valores congelados de PLC-R2. Priya comprueba: luz de enlace encendida; el puerto del conmutador muestra errores CRC en aumento; un latiguillo nuevo corrige los errores y los valores se actualizan. Registra la avería como física, con los contadores de errores como evidencia. Una semana después, los valores de PLC-R2 vuelven a congelarse sin errores en el puerto; esta vez la comparación del programa del PLC con la copia de seguridad muestra una diferencia, y ella escala en lugar de reiniciar el controlador.
Caso sintético — Northgate Cold Storage. Ambos eventos son inventados.
Errores y límites
Hacer ping repetidamente a dispositivos frágiles puede causar problemas por sí mismo; mantenga las comprobaciones ligeras. La resolución de problemas en controladores en servicio corresponde a la empresa contratista o al ingeniero de planta.
Ejercicios — capítulo 20
- EX058 — Las tres primeras comprobaciones. Enumere las tres primeras comprobaciones ante valores congelados en la HMI. Rúbrica: 3 = alimentación/enlace, estado/errores del puerto, error de protocolo en la HMI (en ese orden); 2 = dos; 1 = reiniciar primero; 0 = nada.
- EX059 — Antes de reiniciar. ¿Qué dos cosas captura antes de reiniciar una HMI-C posiblemente comprometida? Rúbrica: 3 = exportación de registros y procesos/conexiones en ejecución; 2 = una; 1 = vago; 0 = nada.
- EX060 — El desencadenante de la escalada. ¿Qué observación del segundo evento desencadenó la escalada y por qué? Rúbrica: 3 = el programa difiere de la copia de seguridad sin registro de cambio; posible manipulación; 2 = solo la observación; 1 = errores; 0 = nada.
Síntesis del capítulo
Resuelva los problemas con método, suponga primero una avería, preserve la evidencia mientras trabaja y deténgase en cuanto algo haya cambiado sin que nadie lo cambiara.
Siga estudiando — capítulo 20 de 30
← Capítulo 19 (borrador) · Índice de capítulos del curso · Capítulo 21 (borrador) →