Segmentar en un fin de semana una planta con una CNC sin parches
Una empresa de zonas francas en San Pedro de Macorís fabrica componentes médicos con 120 empleados. Toda la planta usa una sola red plana 192.168.10.0/24: computadoras de oficina, Wi-Fi de visitantes, cámaras IP y el controlador de una fresadora CNC que corre Windows XP y solo habla SMBv1. El proveedor de la CNC advierte que el equipo no puede actualizarse ni desconectarse. Un análisis detectó que el 30 % de los equipos tienen el antivirus vencido y que un portátil de visita intentó escanear la red. El consultor propone microsegmentación con 802.1X y NAC para los 300 dispositivos, con un costo de US$ 45,000 y seis meses de trabajo. La gerencia aprueba un fin de semana de mantenimiento, sin presupuesto nuevo, y espera «que la red quede segmentada para el lunes». El jefe de planta pregunta si no basta con comprar un firewall nuevo.
1. ¿Es razonable el plan del consultor? Justifique y proponga qué hacer con el fin de semana disponible.
Read the worked answer
No es razonable en este contexto, por tres razones acumulativas:
- Costo y plazo: US$ 45,000 sin presupuesto y seis meses frente a un fin de semana es una promesa imposible; aceptarla garantiza un fracaso visible.
- Prioridad equivocada: 802.1X y NAC autentican quién se conecta, pero no definen qué puede alcanzar un dispositivo ya autenticado. El riesgo observado es movimiento lateral, y eso se resuelve con política entre segmentos.
- Riesgo residual mal atacado: dejaría intactos los dos activos más frágiles (la CNC sin parches y el Wi-Fi de invitados).
Alternativa para el fin de semana, con los switches existentes
- Crear VLAN: oficina, invitados, cámaras, servidores y CNC.
- Política por defecto denegar entre VLAN; permitir solo los flujos indispensables (oficina hacia servidores, administración hacia CNC por un puerto concreto).
- Wi-Fi de invitados aislado, con aislamiento de cliente y salida solo a Internet.
- Cámaras separadas: son dispositivos con firmware antiguo y no necesitan hablar con los puestos de trabajo.
- Cortar SMBv1 en todo lo que no sea la CNC y desplegar firewall de host donde se pueda.
Se logra la mayor parte de la reducción de radio de impacto con configuración, no con compras. La microsegmentación con NAC queda como hoja de ruta para el siguiente presupuesto.
2. ¿Cómo gestionaría el controlador CNC que no puede actualizarse ni desconectarse?
Read the worked answer
Cuando la vulnerabilidad no se puede eliminar, se gestiona con controles compensatorios y una aceptación formal del riesgo residual. El equipo es un activo de producción con Windows XP y SMBv1: no hay parche y probablemente no lo haya nunca.
Controles compensatorios
- Aislamiento en VLAN dedicada sin ruta a Internet y sin acceso desde las VLAN de usuario.
- ACL restrictiva: solo el servidor que entrega los programas y el puerto exacto; todo lo demás denegado y registrado.
- Host de salto para el proveedor: el mantenimiento remoto entra por un equipo controlado, con sesión grabada, no directo a la CNC.
- Puertos USB deshabilitados o escaneo obligatorio del medio antes de conectarlo.
- Respaldo de la configuración e imagen del equipo para poder reconstruirlo en horas si se compromete.
- Monitoreo de tráfico anómalo en ese segmento: escaneos, conexiones salientes, SMB inusual.
Documentación Acta de excepción con: descripción del activo y su función, vulnerabilidad y motivo de no remediar, controles aplicados y su evidencia, riesgo residual explícito, dueño del riesgo (jefe de planta, no TI), fecha de revisión y plan de reemplazo con hito presupuestario. Aceptar no es ignorar: el riesgo vuelve a la matriz y se revisa.
3. El jefe de planta pregunta si no basta con comprar un firewall nuevo. Explique por qué sí o por qué no.
Read the worked answer
No basta, y en este caso concreto casi no aporta nada al problema observado.
El firewall es un control de perímetro: aplica política al tráfico que cruza entre redes. En una red plana, la comunicación entre el portátil de visita y la CNC nace y muere dentro del mismo dominio de capa 2, conmutado por el switch; nunca pasa por el firewall, así que ninguna regla del appliance se evalúa. Un equipo nuevo colocado en el borde controlaría lo que entra y sale de la planta, que es valioso, pero no el movimiento lateral que el análisis detectó.
Hay un segundo problema: la falsa sensación de seguridad. Comprar el equipo y anunciarlo como solución cierra la conversación justo cuando hay que tomar la decisión de arquitectura. El día que ocurra un incidente interno, la dirección creerá que tenía un control que en la práctica no cubría ese camino.
Qué sí resuelve el problema
- Decidir dónde están las fronteras de confianza y crear segmentos (VLAN o subredes).
- Forzar que el tráfico entre segmentos se enrute por un punto donde se aplique política, sea ese firewall o ACL en el switch de capa 3.
- Escribir la política explícita: denegar por defecto, permitir por excepción documentada.
El firewall pasa de ser «la solución» a ser un componente útil después de la segmentación. Primero arquitectura y política, después el equipo.