Este documento describe un ejemplo de flujo de respuesta y recuperación ante incidentes OT, y cómo se utiliza Access Gate en cada fase: detección, cuarentena y recuperación.
Trátelo como una plantilla. Adapte los umbrales, los activos y las acciones a su propia planta y a su propio manual de procedimientos, y marque cada paso a medida que avance.
Fase 1: Detección
Esta fase ocurre antes de cualquier incidente, durante la configuración del sistema. Access Gate genera detecciones a partir del comportamiento de los activos y un conjunto de reglas configurable, y las reenvía a su SIEM, de modo que cuando algo falla la alerta ya llega a sus responsables donde trabajan.
- Vaya a Rules → Configure Forward y apunte Access Gate a su SIEM.
Para la configuración completa, consulte Reenvío de registros y exportación al SIEM. Hay guías más detalladas disponibles para sistemas SIEM específicos:
Fase 2: Cuarentena
Aquí comienza la respuesta al incidente. Una alerta llega a su SIEM y usted inicia sesión en Access Gate para actuar sobre ella.
Para un caso urgente, ponga el activo en cuarentena directamente:
- Abra el activo y establezca su estado en In Maintenance o Disabled. Esto suspende toda comunicación hacia y desde ese activo.
Para casos no urgentes, no ponga en cuarentena el activo completo.
Trabaje a través del enclave del activo en lugar de apagarlo por completo:
- Abra el enclave y revise las comunicaciones entrantes y salientes del activo.
- Identifique el comportamiento de riesgo.
- Desactive el acceso específico que lo genera, moviendo ese flujo a cuarentena mientras el resto del activo sigue funcionando.
- Mantenga una ruta abierta para la resolución de problemas, por ejemplo una sesión RDP, para que un ingeniero pueda seguir accediendo al dispositivo. Consulte Configurar flujos RDP para configurarlo.
Fase 3: Recuperación
Tras resolver los problemas del dispositivo, restáurelo paso a paso:
- Reactive cada conexión de una en una.
- Confirme que el tráfico tiene un aspecto normal a medida que avanza.
- Devuelva el activo a producción.
Dado que el cumplimiento reside en la capa de superposición, está reactivando flujos en el Access Gate, no reconfigurando la máquina en sí. El activo físico nunca cambió.
Qué hemos logrado
A lo largo de las tres fases hemos:
- Detectado el incidente a partir de reglas ejecutadas en línea, y reenviado la alerta al SIEM.
- Puesto en cuarentena el riesgo, ya sea deshabilitando el activo por completo o cortando únicamente el flujo de riesgo dentro del enclave mientras la planta sigue funcionando.
- Recuperado el sistema reactivando flujos en la capa de superposición, un paso a la vez, sin tocar nunca el activo físico.
Esta es la respuesta y recuperación ante incidentes OT que respeta el tiempo de actividad: la contención y la recuperación ocurren en el plano de control, mientras el plano físico sigue en funcionamiento.