Resolución de fallos en la supervisión de Lifebeat de WinCC tras las actualizaciones de seguridad de Windows 10 en PCS 7 V9.0

En los sistemas SIMATIC PCS 7 V9.0, la instalación de actualizaciones acumulativas de Microsoft en las estaciones de operador (OS) con Windows 10 puede provocar que la comunicación OPC de la supervisión de Lifebeat (Lifebeat Monitoring) falle con el código de calidad '0x08 - Bad - Not Connected'. Este problema se deriva de los requisitos de endurecimiento (hardening) de DCOM RPC de Microsoft (como KB5004442 / CVE-2021-26414) o de cambios en el cortafuegos de red que bloquean las devoluciones de llamada (callbacks) OPC asíncronas. Para resolver el fallo es necesario contrastar las actualizaciones con la lista de parches de seguridad de Siemens, configurar los niveles de autenticación DCOM y verificar los identificadores (handles) OPC DA.

Índice de contenidos

Rol de la supervisión de Lifebeat y OPC en SIMATIC PCS 7 OS

La supervisión de Lifebeat es un servicio de diagnóstico esencial en SIMATIC PCS 7 WinCC que realiza un seguimiento continuo del estado operativo y la conectividad de comunicación de todas las estaciones de automatización (AS), servidores OS, clientes OS y componentes de red industrial:
* Pantalla de estado gráfica: Lifebeat representa una pantalla general de planta dinámica (@Maintenance.pdl o @Lifebeat.pdl) que muestra iconos de dispositivos en verde (correcto), rojo (fallido) o azul (no supervisado).
* Capa de comunicación OPC: Para supervisar los clientes OS remotos y nodos de terceros, Lifebeat utiliza el canal interno WinCC OPC DA (Data Access). El diagnóstico del cliente intercambia telegramas de latido (heartbeat) cíclicos a través de elementos OPC.
* Informes redundantes: En sistemas multiservidores con pares redundantes, cada servidor OS consulta de manera independiente el estado del latido del cliente para mantener registros de diagnóstico tolerantes a fallos.

Impacto de las actualizaciones acumulativas de Windows 10 y del endurecimiento DCOM RPC

Cuando se implementan actualizaciones acumulativas de calidad (como KB5022297 o acumulados posteriores) en sistemas Windows 10 LTSB/LTSC, Microsoft aplica protocolos de seguridad reforzados en el subsistema del Modelo de objetos de componentes distribuidos (DCOM) (CVE-2021-26414):
* Integridad de paquetes RPC: Windows aplica RPC_C_AUTHN_LEVEL_PKT_INTEGRITY en las conexiones DCOM remotas. Los servidores y clientes OPC DA heredados que negocian llamadas sin autenticación o de autenticación de bajo nivel son rechazados por el SO.
* Código de calidad 0x08 (Bad - Not Connected): Cuando el servidor WinCC intenta leer o suscribirse a la variable OPC de diagnóstico del cliente remoto, la capa DCOM reforzada bloquea la devolución de llamada. La gestión de variables (Tag Management) de WinCC marca la variable con el estado 0x08 - Bad - Not Connected, lo que hace que la pantalla de Lifebeat informe del fallo del cliente a pesar de que los gráficos de proceso normales sigan funcionando.

Contrastación de actualizaciones con la matriz de parches de seguridad IEC de Siemens

Antes de desplegar cualquier actualización de seguridad de Microsoft Windows en un entorno de producción de PCS 7:
1. Descargue la hoja de cálculo de compatibilidad oficial más reciente: security_patches_iec.xls desde el Siemens Industry Online Support (ID de entrada SIOS 18490004).
2. Filtre la hoja de cálculo por su versión instalada de PCS 7 (p. ej., PCS 7 V9.0 SP1, SP2 o SP3) y su compilación (build) de Windows 10 (p. ej., Versión 1507, 1607, 1809 o 20H2).
3. Confirme si el número de Base de Conocimiento (KB) de Microsoft de destino está clasificado como:
* Compatible / Liberado: Probado por los laboratorios de pruebas de Siemens sin regresiones.
* Incompatible / Bloqueado: Se sabe que altera la comunicación OPC, SQL Server o Simatic Net.
* Sujeto a condiciones previas: Requiere aplicar un hotfix de Siemens (como una actualización de WinCC o un parche DCOM de Simatic Net) antes de instalar la actualización de Windows.

Flujo de trabajo de remediación: configuración DCOM, calidad OPC y variables de Lifebeat

Si una actualización aprobada provoca el código de calidad de Lifebeat 0x08, realice los siguientes pasos de recuperación:
1. Aplicar la actualización de compatibilidad DCOM de Siemens:
* Instale la actualización de WinCC o la actualización de SIMATIC NET más reciente disponible para PCS 7 V9.0 que admita de forma nativa la integridad de paquetes del nivel de autenticación DCOM RPC.
2. Configurar los servicios de componentes (Dcomcnfg):
* Tanto en el servidor WinCC como en los clientes OS, pulse Win + R, escriba dcomcnfg y pulse Intro.
* Vaya a Servicios de componentes -> Equipos -> Mi PC.
* Haga clic con el botón derecho en Mi PC y seleccione Propiedades.
* En la pestaña Propiedades predeterminadas:
* Configure el Nivel de autenticación predeterminado en Conectar (o Integridad de paquetes si lo requiere la directiva de dominio).
* Configure el Nivel de suplantación predeterminado en Identificar.
* En Seguridad de COM, verifique que el grupo de usuarios SIMATIC HMI tenga permisos completos en Permisos de acceso y Permisos de lanzamiento y activación (tanto locales como remotos).
3. Regenerar la supervisión de Lifebeat:
* En el explorador de WinCC (WinCC Explorer) del servidor OS, abra el editor de Supervisión de Lifebeat (Lifebeat Monitoring).
* Verifique la lista de dispositivos y los nombres de los nodos de red.
* Haga clic en Actualizar para refrescar las variables de los dispositivos y volver a compilar la pantalla de diagnóstico.
4. Reiniciar estaciones: Reinicie el cliente OS y, a continuación, reinicie el Runtime del servidor OS.

Verificación

En la gestión de variables de WinCC en el servidor OS, localice las variables de diagnóstico OPC bajo la conexión de supervisión Lifebeat.
Verifique que el código de calidad cambie de 0x08 (Bad - Not Connected) a 0x80 (Good).
En el Runtime de WinCC, abra la pantalla general de supervisión de Lifebeat: confirme que el símbolo de la estación de trabajo cliente muestra un marco verde continuo.
Desconecte momentáneamente el latiguillo Ethernet del cliente: confirme que el icono de Lifebeat cambia a rojo y vuelve a verde al reconectarlo.

Limitaciones y precauciones operativas

Modificar las claves del registro de Windows DCOM (RaiseActivationAuthenticationLevel) para omitir el endurecimiento de seguridad es una medida de diagnóstico temporal; los sistemas de producción deben implementar parches de software certificados por Siemens.
Nunca despliegue actualizaciones acumulativas de Windows no probadas directamente en sistemas de automatización de producción sin probarlas antes en un entorno de ensayo fuera de línea (staging).
Los perfiles del cortafuegos de Windows deben mantener abiertos los puertos para el asignador de extremos RPC (puerto TCP 135) y los rangos de puertos DCOM dinámicos entre los servidores OS y los clientes.

Preguntas frecuentes de ingeniería

¿Qué indica específicamente el código de calidad OPC 0x08 en la gestión de variables de WinCC?
El código de calidad 0x08 representa "Bad - Not Connected", lo que significa que el cliente OPC no puede establecer o mantener una sesión con el servidor OPC.
¿Por qué las pantallas de proceso siguieron funcionando mientras fallaba la supervisión de Lifebeat?
Los gráficos de proceso se comunican principalmente a través de protocolos del bus de proceso interno de WinCC (conexiones con nombre / protocolo S7), mientras que la supervisión de clientes Lifebeat utiliza OPC DA sobre DCOM.
¿Dónde se encuentra la lista oficial de compatibilidad de parches de Windows de Siemens?
Se publica en SIOS con el ID de entrada 18490004 como una hoja de cálculo de Excel titulada security_patches_iec.xls.
¿Qué vulnerabilidad de Microsoft obligó a endurecer DCOM en Windows 10?
La vulnerabilidad CVE-2021-26414 obligó a Microsoft a aplicar niveles de autenticación RPC más altos en arquitecturas COM distribuidas.
¿Puede la supervisión de Lifebeat supervisar dispositivos Ethernet de terceros, como switches de red?
Sí, mediante la supervisión de ping o la integración de canales SNMP configurados en el editor de supervisión de Lifebeat.
¿Requiere la instalación de una actualización de Siemens compilar de nuevo todo el proyecto OS?
La instalación de un hotfix menor normalmente requiere solo reiniciar el Runtime de WinCC; volver a ejecutar la actualización del editor Lifebeat regenera las variables de diagnóstico.
¿Qué cuenta de usuario ejecuta la devolución de llamada OPC DA en la estación de trabajo cliente?
El servidor OPC utiliza el usuario interactivo de Windows que ha iniciado sesión o una cuenta de servicio dedicada perteneciente al grupo SIMATIC HMI.
¿Cómo ayuda SIMATIC Security Controller con la configuración de DCOM?
La ejecución de la utilidad SIMATIC Security Controller restaura automáticamente los permisos de DCOM y del cortafuegos predeterminados certificados por Siemens.
¿Se ve afectado OPC UA por las actualizaciones de endurecimiento DCOM de Microsoft?
No, OPC UA utiliza conexiones de sockets TCP/IP estándar con certificados TLS nativos y es completamente inmune a los cambios de endurecimiento de DCOM.
¿Qué archivo de registro registra los rechazos de autenticación DCOM en Windows?
El Visor de sucesos de Windows (Event Viewer) en Sistema registra los ID de evento 10036 y 10037 cuando las solicitudes DCOM fallan en las comprobaciones del nivel de autenticación.

Referencias técnicas

Entrada de Siemens Industry Online Support: Actualizaciones de Microsoft probadas para SIMATIC PCS 7 (ID de entrada 18490004)
Manual del sistema de supervisión Lifebeat SIMATIC HMI WinCC V7.4 / V7.5
Entrada de Siemens Industry Online Support: Endurecimiento DCOM y sistemas SIMATIC (ID de entrada 109807568)
Aviso de seguridad de Microsoft CVE-2021-26414 (Bulación de la característica de seguridad del servidor DCOM de Windows)

Etiquetas relacionadas

PCS 7, WinCC, Lifebeat Monitoring, Windows 10, Security Updates, DCOM, CVE-2021-26414, OPC DA, Quality Code 0x08, Diagnostics