OT / ICS
Monitorización de redes OT sin tocar los controladores
La monitorización pasiva de una red OT consiste en leer el tráfico industrial a partir de una copia, tomada en un puerto SPAN o en un TAP de red, sin enviar un solo paquete a un PLC, una RTU o un servidor SCADA. No se instala nada en los controladores ni se cambia nada en ellos, y por eso es la forma habitual de dar visibilidad a redes de producción que no se pueden parchear, reiniciar ni escanear cuando uno quiere.
El dato que conviene tener presente
El 1 de diciembre de 2023, la CISA y agencias asociadas informaron en el aviso AA23-335A de que actores vinculados al IRGC habían comprometido PLC de Unitronics usados en instalaciones de agua potable y aguas residuales de Estados Unidos. Los PLC probablemente eran accesibles desde internet y seguían con la contraseña por defecto del fabricante.
Cómo funciona la monitorización OT pasiva
El principio es sencillo: escuchar una copia del tráfico y no hablar nunca con los dispositivos.
01Copiar, no sondear
Un puerto SPAN en el switch industrial, o un TAP pasivo en el enlace, envía una copia del tráfico al sensor. El sensor solo escucha; nunca consulta un dispositivo, así que no puede alterar un proceso.
02Leer los protocolos industriales
Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP y S7comm transportan lecturas, escrituras y órdenes en estructuras que un sensor puede decodificar. Así se ve qué estación habla con qué controlador y qué le pide.
03Vigilar la frontera entre IT y OT
Muchos incidentes OT empiezan en la red de oficina. El tráfico que pasa de IT a la red de control, o un controlador que de pronto habla con internet, merece atención.
04Dejar los dispositivos OT fuera de los escaneos activos
Los escaneos de vulnerabilidades y las sondas de descubrimiento pueden alterar controladores antiguos. Excluya de ellos los dispositivos clasificados como OT; NetSenX nunca los sondea.
Qué hace NetSenX hoy
- Desde el plan Pro, lee Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP y S7comm mediante captura pasiva en un puerto SPAN o TAP. Las alertas OT que genera: una escritura en un controlador desde un equipo que no está autorizado a escribir, tráfico que cruza niveles del modelo Purdue, actividad OT fuera del horario laboral y comandos S7comm.
- Nunca sondea de forma activa los dispositivos clasificados como OT, así que no hay riesgo para los PLC ni para el SCADA.
- Muestra el tráfico OT en el mismo panel que la red IT, con una explicación en lenguaje claro en cada alerta y el seguimiento de los plazos del artículo 23 de NIS2 para los incidentes.
- Funciona como software en el equipo que usted elija, conectado al puerto espejo: no hay que comprar ningún appliance de NetSenX, y un agente que vigila un segmento cuenta como un solo dispositivo.
Qué no hace NetSenX
NetSenX no cambia la configuración de los controladores, no carga firmware ni bloquea órdenes industriales, y no es un sistema de seguridad funcional: informa a sus ingenieros, no actúa sobre el proceso. Lee los cinco protocolos industriales que nombra esta página; consúltenos antes de contar con cualquier otro. Solo ve los segmentos cuyo tráfico le copia, y los buses de campo serie que nunca llegan a Ethernet quedan fuera de su vista. No hay una alerta de anomalía propia para cada protocolo industrial.
Preguntas de los compradores
¿Se puede monitorizar una red OT sin afectar a los PLC?
Sí, con monitorización pasiva: el sensor lee una copia del tráfico desde un puerto SPAN o un TAP y nunca envía nada a los controladores. NetSenX funciona así desde el plan Pro y nunca sondea de forma activa los dispositivos clasificados como OT.
¿Qué protocolos industriales lee NetSenX?
Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP y S7comm, mediante captura pasiva, en el plan Pro y superiores.
¿Necesito un appliance físico en cada planta?
No hace falta ningún appliance de NetSenX: el agente es software que funciona en el equipo que usted elija. Un agente conectado a un puerto SPAN o TAP vigila todo el segmento y cuenta como un solo dispositivo.
¿NIS2 se aplica a las redes OT?
NIS2 se aplica a entidades de sectores como la energía, el transporte, el agua potable, la sanidad y la fabricación de determinados productos (anexos I y II de la Directiva (UE) 2022/2555). Las medidas de su artículo 21 se refieren a las redes y sistemas de información que una entidad utiliza en sus operaciones, y entre ellos pueden estar los sistemas OT. Confirme el ámbito con su autoridad nacional.
Fuentes
- CISA and partners — Advisory AA23-335A (IRGC-affiliated actors exploit PLCs in multiple sectors, including US water and wastewater facilities), 1 December 2023
- Directive (EU) 2022/2555 (NIS2), Articles 21, 23 and 41 — EUR-Lex
Esta página es información general y no constituye asesoramiento jurídico. Compruebe sus obligaciones con su autoridad nacional o con su asesor jurídico.
Páginas relacionadas
Pruebe NetSenX en su propia red
Empiece con el plan Free para un máximo de 3 dispositivos o reserve una demo de 20 minutos.