DMZ industrial y servidores de salto

La zona intermedia, a veces llamada DMZ industrial, es un tramo de red entre la oficina y las operaciones. Su idea es sencilla: ninguna conexión directa entre los dos lados. La oficina consulta la réplica del historial que vive en la zona intermedia; el historiador de operaciones envía los datos hacia ella; y nadie de la oficina llega a un equipo de operaciones sin pasar por el salto. Si algo en la zona intermedia se compromete, el atacante sigue estando fuera de la planta. La guía NIST SP 800-82 Rev. 3 describe esta separación como parte del diseño de arquitectura de redes de OT.

El diseño se comprueba leyendo el conjunto de reglas del cortafuegos que separa las tres zonas. Una regla cuyo origen está en la oficina y cuyo destino es un equipo de operaciones, sin pasar por la zona intermedia, rompe el principio de la tarea anterior, aunque tenga una justificación razonable: por ejemplo, copiar un archivo cuando el servicio de la zona intermedia «no alcanzaba». Las reglas se evalúan en orden y la última niega todo lo demás.

Lee las reglas y encuentra la que permite a la oficina llegar directamente a un equipo de operaciones.

Un servidor de salto es el punto por el que pasa quien administra equipos de planta. Su valor no está en esconder los equipos, sino en concentrar tres exigencias: identificarse con cuenta nominal, con segundo factor, y que la sesión quede grabada. Un salto que no graba, o con cuentas compartidas, es un atajo con otro nombre: si algo sale mal, nadie puede reconstruir quién hizo qué.

Revisa la ficha de los dos saltos.

El salto sin grabación tiene además cuentas compartidas y no pide segundo factor. Hay tres caminos posibles. Retirarlo por completo puede parar un mantenimiento en curso; dejarlo tal cual mantiene el riesgo; lo razonable es llevarlo al estándar del otro salto —cuentas nominales, segundo factor y grabación— antes de volver a darle permisos hacia la planta, y mientras tanto reducir su alcance.

Cada regla que permite iniciar desde la oficina es superficie de ataque: algo que un atacante con una estación de trabajo comprometida puede intentar usar. Contar esas reglas permite comparar con lo que el diseño pretendía. Lo esperado serían dos: la del salto y la de la réplica del historial.

Cuenta las reglas con origen zona-oficina y acción permitir.