Esta es una pregunta que debería incomodar a todo gerente de planta, ingeniero de OT y CISO: si un actor de amenazas hubiera plantado un dispositivo en su red de OT hace seis meses, ¿lo sabría hoy mismo?

Para la mayoría de las organizaciones industriales, la respuesta es no, y esto no se debe a una falta de esfuerzo o intención. Es un problema estructural. Las redes de tecnología operativa fueron diseñadas para la continuidad de la actividad, la confiabilidad y décadas de servicio continuo. La visibilidad de la ciberseguridad nunca formó parte del diseño original. El resultado es que los pisos de producción, las subestaciones eléctricas, las refinerías de petróleo y las plantas de tratamiento de agua de hoy en día ejecutan infraestructura conectada que nadie ha mapeado por completo.

Esa infraestructura invisible es donde comienzan los ataques. No a través del firewall. No a través de las defensas perimetrales que mantiene su equipo de TI. Sino a través del PLC que nadie registró, el nodo de acceso remoto del proveedor que persistió después de una ventana de mantenimiento y la HMI instalada durante la ampliación de una planta que nunca se incluyó en ningún registro.

Esta guía le mostrará lo que realmente requiere el descubrimiento integral de activos de OT, por qué es la capa fundamental de todo programa de ciberseguridad industrial y cómo se ve cuando se hace correctamente. Si usted es responsable de la seguridad de los activos industriales, este es su punto de partida.

Antes de continuar, no olvide consultar nuestra publicación de blog anterior sobre lo que realmente significan las "Medidas de seguridad apropiadas" bajo NIS2 aquí

El punto ciego que los atacantes explotan primero

Antes de que pueda proteger su entorno de OT, necesita saber qué hay en él. Esto suena obvio. En la práctica, es uno de los problemas más difíciles de la seguridad industrial.

Considere lo que contiene un entorno de OT típico:

• PLCs heredados que ejecutan versiones de firmware propietarias sin documentación de la última década

• HMIs agregadas durante ampliaciones de plantas que nunca se registraron formalmente

• Sensores que se comunican a través de protocolos que el equipo de TI nunca ha visto

• Nodos de acceso remoto de proveedores que persistieron mucho después de que se cerrara una ventana de mantenimiento

• Dispositivos instalados por contratistas externos sin una gestión de cambios formal

Ninguno de estos aparece en el registro de activos. Todos están conectados a su red. Y cada dispositivo no documentado es un punto de entrada potencial.

Los ataques mejor documentados contra infraestructuras industriales comparten un patrón constante: los atacantes encontraron y explotaron rutas que los defensores no sabían que existían. Se movieron lateralmente a través de dispositivos que no estaban en ningún inventario. Operaron dentro de segmentos de red que no estaban siendo monitoreados.

Su registro de activos no es su red real. La brecha entre ellos es su superficie de ataque.

Por qué la gestión de activos de OT no se parece en nada a la gestión de activos de TI

Si su organización utiliza herramientas de gestión de activos de TI, podría asumir que se puede aplicar el mismo enfoque a la tecnología operativa. No es así, y malinterpretar esto conduce a un descubrimiento ineficaz o, peor aún, a interrupciones en la producción causadas por las propias herramientas de descubrimiento.

Esto es lo que hace que la OT sea fundamentalmente diferente:

Complejidad de protocolos

Una sola red de OT puede transportar tráfico a través de Modbus TCP, DNP3, EtherNet/IP, PROFINET, IEC 61850, OPC-UA, BACnet, HART, Foundation Fieldbus y otra docena de protocolos de forma simultánea. Cada uno tiene sus propias estructuras de datos, requisitos de temporización y extensiones específicas de proveedores. La mayoría no se diseñaron para manejar tráfico inesperado.

El escaneo activo puede causar daños reales

En los entornos de TI, un escaneo de red agresivo es un inconveniente menor. En OT, enviar paquetes no solicitados a PLC o RTU heredados puede hacer que se reinicien, se congelen o se comporten de manera impredecible. Una parada de producción en una planta química o instalación eléctrica tiene consecuencias de seguridad, exposición regulatoria y costos financieros que pueden alcanzar millones de dólares por hora. Cualquier enfoque de descubrimiento que no tenga esto en cuenta es un riesgo.

Ciclos de vida de activos medidos en décadas

Es común encontrar PLCs y componentes SCADA en operación activa que fueron puestos en servicio hace 20, 25 o 30 años. Es posible que no tengan un historial de parches. Es posible que la documentación de su firmware apenas exista. Las herramientas de red modernas a menudo no pueden comprender de forma nativa cómo se comunican.

Propiedad y documentación fragmentadas

Los equipos de ingeniería, operaciones, TI y proveedores externos interactúan con los activos de OT. Rara vez existe un registro centralizado. Los dispositivos se agregan durante las ventanas de mantenimiento y permanecen silenciosamente en la red después de actualizaciones o desmantelamientos. En muchas plantas, el registro de activos real vive en la memoria de los ingenieros que han estado allí durante 20 años: un conocimiento que se va por la puerta cuando se jubilan.

Descubrimiento de activos de OT: Cómo se ve un enfoque profesional

El descubrimiento eficaz de activos de OT comienza desde la propia red, no desde la documentación. Esta es la metodología que funciona en entornos industriales reales:

Paso 1 - Monitoreo pasivo del tráfico como mecanismo central

En lugar de enviar paquetes de prueba a la red, el monitoreo pasivo escucha el tráfico que ya fluye entre PLCs, HMIs, servidores SCADA, historiadores de datos y dispositivos de campo. Extrae información completa de los activos a partir de ese tráfico sin inyectar un solo byte en la red operativa.

Este es el único método de descubrimiento seguro para entornos de producción en vivo. Conlleva un riesgo nulo de provocar comportamientos inesperados en los dispositivos y funciona continuamente en segundo plano sin realizar cambios en la configuración de la red.

A partir del análisis de tráfico pasivo, puede construir una imagen detallada de cada dispositivo que se comunica:

Paso 2 - Decodificación profunda de protocolos

Reconocer una dirección IP no le dice casi nada sobre un dispositivo de OT. La información significativa (identidad del dispositivo, versión de firmware, estado operativo) está incrustada dentro de los payloads de los protocolos industriales. Extraerla requiere un análisis profundo y específico para cada protocolo.

El descubrimiento eficaz de OT requiere una decodificación nativa en toda la gama de protocolos en uso activo:

• Modbus TCP/RTU: el protocolo industrial más implementado a nivel global

• DNP3: predominante en entornos de servicios públicos, agua y aguas residuales

• EtherNet/IP y CIP: omnipresentes en la automatización de la manufactura

• PROFINET y PROFIBUS: dominantes en entornos europeos y de Siemens

• IEC 61850: el estándar para la automatización de subestaciones

• IEC 60870-5-101/104: ampliamente utilizado en SCADA del sector energético

• OPC-UA y OPC-DA: para historiadores y agregación de datos

• BACnet: automatización de edificios cada vez más conectada a redes industriales

• HART y Foundation Fieldbus: comunicación de instrumentos de campo

Sin esta profundidad de decodificación, obtendrá una lista de direcciones IP con etiquetas de proveedores. Eso no es un inventario de activos. Es una base para empezar a adivinar.

Paso 3 - Toma de huellas dactilares de activos en múltiples capas

Identificar que un dispositivo existe es solo el comienzo. Clasificarlo con precisión (proveedor, modelo, firmware, rol en el proceso) requiere un análisis en capas:

Capa 1 - Firmas de protocolo. Los protocolos específicos que utiliza un dispositivo y los matices de cómo los implementa proporcionan señales sólidas de clasificación inicial.

Capa 2 - Análisis del comportamiento del tráfico. Los intervalos de consulta, el tiempo de respuesta y los patrones de comunicación distinguen los roles de los dispositivos incluso cuando la identificación a nivel de protocolo es incompleta.

Capa 3 - Metadatos de activos incorporados. Muchos protocolos industriales transportan cadenas de versiones de firmware, códigos de revisión de hardware y números de serie dentro de las comunicaciones normales.

Capa 4 - Inferencia contextual. Un dispositivo que acepta comandos de control desde una estación de trabajo de ingeniería y envía salidas a dispositivos de campo casi con certeza es un PLC, incluso si la información de identidad es incompleta.

Lista de verificación de visibilidad de activos de OT: Lo que su inventario debe cubrir

Utilice esta lista de verificación para evaluar la integridad de su inventario actual de activos de OT. Si no puede marcar con confianza la mayoría de estas casillas, su brecha de visibilidad es significativa.

Integridad del inventario de dispositivos

• [ ] Se identifican todos los dispositivos que se comunican en la red de OT (no solo los dispositivos en la lista aprobada)

• [ ] Se documentan el tipo de dispositivo, el proveedor y el modelo para todos los activos

• [ ] Se registran las versiones de firmware para PLCs, RTUs, HMIs y controladores

• [ ] Las direcciones de red (IP y MAC) están asignadas a ubicaciones físicas

• [ ] Se capturan los números de serie cuando se pueden extraer de las comunicaciones del protocolo

• [ ] Los sistemas instrumentados de seguridad y los dispositivos de parada de emergencia se inventarían por separado

Topología de red y conectividad

• [ ] Existe un mapa de topología de red actual que muestra los flujos de comunicación entre activos

• [ ] Las conexiones entre zonas (OT a TI, OT a la nube, OT a acceso de proveedores) están documentadas

• [ ] Las rutas de acceso remoto para proveedores y contratistas están identificadas y monitoreadas

• [ ] Los dispositivos inalámbricos y los puntos de acceso están incluidos en el inventario

• [ ] Las comunicaciones inesperadas de dispositivo a dispositivo se marcan para su revisión

Contexto de riesgo y vulnerabilidad

• [ ] Los CVE conocidos se mapean contra las versiones de firmware documentadas para todos los activos

• [ ] Se registra el estado de fin de vida útil y fin de soporte para cada dispositivo

• [ ] Los activos que carecen de parches disponibles se identifican junto con controles de compensación documentados

• [ ] Los avisos de ICS-CERT se contrastan con el inventario de activos en un ciclo regular

Detección de cambios y mantenimiento

• [ ] Existe un proceso para detectar dispositivos no autorizados en la red en cuestión de horas (no días ni semanas)

• [ ] Los nuevos dispositivos agregados durante las ventanas de mantenimiento se registran automáticamente

• [ ] Se detectan y registran los cambios de firmware

• [ ] El inventario de activos se actualiza continuamente, no solo durante las auditorías programadas

• [ ] Se conservan los datos históricos de activos y topología para fines de investigación forense

Dispositivos de terceros y proveedores

• [ ] Todos los nodos de acceso remoto instalados por proveedores están identificados y monitoreados

• [ ] Se realiza un seguimiento de los dispositivos de contratistas e integradores durante y después de las visitas de mantenimiento

• [ ] Se definen líneas base de dispositivos de proveedores aprobados y las desviaciones generan alertas

Lo que permite la visibilidad completa de OT: Cuatro resultados prácticos

El descubrimiento integral de activos no es un objetivo final. Es la base que hace que cualquier otra capa de seguridad funcione correctamente.

1. Detección de amenazas que realmente funciona

El monitoreo del comportamiento solo puede detectar anomalías cuando sabe cómo se ve la normalidad. Un PLC que comienza a comunicarse con un host inesperado, un historiador de datos que realiza consultas en intervalos inusuales, una HMI que inicia conexiones salientes a Internet; todos estos son indicadores tempranos de compromiso.

Pero no se pueden definir patrones de comunicación normales sin saber qué dispositivos existen y qué hacen legítimamente. El inventario de activos se convierte en la línea base. Sin él, su sistema de detección generará alertas sin contexto y pasará por alto las que realmente importan.

2. Gestión de vulnerabilidades con contexto operativo

Con un inventario completo que incluya las versiones de firmware, puede realizar de manera automática verificaciones cruzadas con los avisos de ICS-CERT y las bases de datos de CVE. Cuando se divulga una nueva vulnerabilidad, sabe de inmediato qué activos de su entorno se ven afectados, no después de un ciclo de auditoría manual, sino al instante.

La priorización eficaz va más allá de las puntuaciones CVSS. Requiere contexto operativo: ¿qué tan crítico es este activo para el proceso? ¿Qué exposición de red tiene? ¿Es factible aplicar parches dadas las restricciones operativas? La visibilidad de activos le brinda los datos para responder a esas preguntas.

3. Respuesta a incidentes en minutos, no días

Cuando ocurre un incidente de seguridad, las primeras preguntas siempre son sobre el alcance: ¿qué está conectado?, ¿qué se vio afectado?, ¿cómo se movió el atacante? Sin un inventario completo y un mapa de topología, responder a estas preguntas lleva horas o días, un tiempo del que no dispone cuando los sistemas operativos están en riesgo.

Con un registro de activos actualizado y preciso, además de datos históricos de red, los encargados de responder a incidentes pueden determinar el alcance en minutos. Así se hace posible la reconstrucción forense del movimiento del atacante a través de la red. La diferencia entre un incidente contenido y una parada prolongada de la producción suele depender de la rapidez con la que se puedan responder estas preguntas.

4. Monitoreo de acceso de terceros y proveedores

Las credenciales de proveedores comprometidas y los sistemas conectados a proveedores son una vía de entrada importante en los incidentes de seguridad de OT. El monitoreo continuo de los dispositivos conectados a proveedores (rastrear cuándo se inician las sesiones de acceso remoto, con qué sistemas interactúan y si las actividades coinciden con las ventanas de mantenimiento aprobadas) es un control esencial. No se puede administrar lo que no se puede ver.

Descubrimiento de activos de OT en sectores industriales

El desafío de la visibilidad existe en todos los sectores que operan tecnología industrial, pero los requisitos específicos varían.

La dimensión del cumplimiento: La visibilidad de activos ahora es un requisito regulatorio

Para las organizaciones que operan en sectores regulados, la visibilidad de los activos de OT no es opcional: es obligatoria. Los principales marcos de trabajo coinciden en este punto.

IEC 62443 requiere la identificación de activos como la base del modelo de su programa de seguridad. El modelado de zonas y conductos, la asignación de niveles de seguridad y la evaluación de riesgos dependen de un inventario integral de activos. IEC 62443-2-1 exige explícitamente el inventario de activos como parte del sistema de gestión de seguridad.

NERC CIP exige a los operadores identificar y documentar todos los ciberactivos aplicables dentro del Perímetro de Seguridad Electrónica. NERC CIP-002-5.1 exige la identificación de los sistemas ciberfísicos BES de alto y medio impacto, y un inventario preciso de activos es el requisito previo para esa clasificación. Las auditorías de NERC CIP examinan de manera rutinaria la integridad y precisión del inventario.

La Directiva NIS2 impone obligaciones de gestión de riesgos a los operadores de servicios esenciales que incluyen requisitos explícitos de gestión de activos. Las implementaciones de los estados miembros exigen progresivamente la visibilidad continua de los activos de OT como parte de la documentación de gestión de riesgos de ciberseguridad.

NIST SP 800-82 identifica el inventario de activos como un control de seguridad fundamental, integrado en la función de Identificación del Marco de Ciberseguridad de NIST (CSF). Ningún marco construido sobre los principios de CSF se considera satisfactorio sin una visibilidad documentada de los activos.

El patrón es el mismo en todos los marcos normativos: no se puede demostrar el cumplimiento sin demostrar el control sobre lo que está conectado a su red. La visibilidad de activos no es una característica que ayuda al cumplimiento. Es el cumplimiento mismo.

Resumen de cobertura de cumplimiento

Implementar el descubrimiento de activos de OT sin disrupción operativa

La arquitectura de implementación importa tanto como la metodología de descubrimiento. Esto es lo que realmente requiere una implementación no disruptiva:

Primero pasivo, siempre. El mecanismo principal de descubrimiento no debe enviar tráfico a los dispositivos de OT. Debe observar y analizar colectivamente solo las comunicaciones existentes. Este es un principio arquitectónico, no una opción de configuración.

Sin agentes en dispositivos de OT. Instalar software en PLCs, HMIs o servidores SCADA no es factible en la mayoría de los entornos e introduce su propio riesgo. El descubrimiento eficaz de OT opera completamente desde la visibilidad a nivel de red.

Colocación de sensores en puntos de agregación. Los sensores de hardware se pueden implementar en switches de red con configuraciones de puerto SPAN, en los límites de la DMZ entre las redes de OT y TI, y en otros puntos de agregación de tráfico. No interactúan directamente con los dispositivos operativos.

Soporte para entornos aislados (air-gapped). Algunos entornos de OT tienen requisitos estrictos de soberanía de datos o conectividad. El descubrimiento eficaz debe ser capaz de operar en entornos completamente aislados de la red externa con actualizaciones de inteligencia entregadas a través de canales seguros fuera de línea.

Continuo, no periódico. El valor de seguridad de la visibilidad de activos depende por completo de que esta se mantenga actualizada. Un inventario estático que no se actualiza cuando un proveedor instala un nuevo dispositivo el próximo mes proporciona una falsa sensación de seguridad. El monitoreo debe ser continuo.

Cinco señales de que su visibilidad de activos de OT es inadecuada

Revise esta lista con honestidad en comparación con su entorno actual:

1. La última vez que se actualizó su registro de activos fue durante un ciclo de auditoría programado. Si su inventario refleja dónde estaban los activos hace seis meses en lugar de dónde están hoy, no es visibilidad, es arqueología.

2. Usted depende de la memoria del equipo de ingeniería para obtener información sobre los activos. Si la imagen más completa de su red de OT existe en el conocimiento de dos o tres ingenieros experimentados, tiene un único punto de falla que se jubilará, será promovido o renunciará.

3. No puede responder qué está conectado en este momento sin una visita al sitio. Si responder una pregunta básica de conectividad requiere verificar físicamente los paneles de control o consultar con los equipos en el sitio, su visibilidad es insuficiente para las operaciones de seguridad.

4. No conoce todas las rutas de acceso de los proveedores a su red. El acceso remoto para los proveedores de ICS es uno de los vectores de ataque más comunes en los incidentes de seguridad de OT. Si no puede enumerar cada conexión de proveedor activa e inactiva, tiene un riesgo no gestionado.

5. Nunca ha detectado un dispositivo no autorizado antes de que se lo reportaran. Si la forma en que los dispositivos no autorizados llaman su atención es a través de informes de personal de operaciones o avisos de proveedores en lugar de la detección automatizada, su monitoreo de red no está funcionando.
   
   

El riesgo de esperar no es hipotético

La brecha entre la sofisticación de las amenazas dirigidas a la infraestructura industrial y la madurez de los programas de seguridad de OT en la mayoría de las organizaciones se está reduciendo, pero los ataques se están acelerando más rápido de lo que maduran las defensas.

Los actores de amenazas han pasado años desarrollando capacidades específicas para ICS. El entorno regulatorio se está moviendo rápidamente: NIS2, NERC CIP e IEC 62443 exigen programas de seguridad de OT demostrables con visibilidad documentada de los activos. Ninguna de estas presiones disminuirá.

Cada día que los activos de OT conectados permanecen sin ser descubiertos ni monitoreados es un día en que los actores de amenazas pueden operar en su entorno sin ser detectados. Cada versión de firmware que tiene una vulnerabilidad conocida y no se ha identificado es una puerta abierta. Cada dispositivo no autorizado en la red es un punto de apoyo potencial.

La pregunta no es si su organización necesita una visibilidad integral de los activos de OT. La pregunta es cuánto tiempo más puede operar sin ella.

Puntos clave a tener en cuenta

• Los entornos de OT contienen dispositivos no documentados que no aparecen en ningún registro de activos, y los atacantes explotan esto sistemáticamente

• El escaneo activo en OT puede causar interrupciones en la producción; el monitoreo pasivo es el único método de descubrimiento seguro

• Un inventario completo de activos de OT es un requisito obligatorio bajo IEC 62443, NERC CIP, NIS2 y NIST SP 800-82

• La visibilidad de activos permite la detección de amenazas, la gestión de vulnerabilidades, la respuesta a incidentes y el control de acceso de proveedores; ninguno de estos funciona de manera eficaz sin ella

• El descubrimiento continuo y en tiempo real es la única forma de visibilidad que tiene un valor de seguridad real

Dé el siguiente paso con Shieldworkz

Shieldworkz colabora con organizaciones de los sectores de manufactura, energía, petróleo y gas, procesamiento químico e infraestructura crítica. Nuestros expertos en seguridad de OT comprenden las restricciones operativas, la complejidad de los protocolos y los requisitos regulatorios específicos de los entornos industriales, y abordan cada proyecto desde una perspectiva operativa, no de TI.

¿Listo para descubrir qué está realmente conectado a su red de OT? Programe una demostración gratuita para ver la plataforma Shieldworkz funcionando con datos de redes industriales reales. Solicite nuestra Evaluación de riesgos de seguridad de OT. Deje que nuestros expertos evalúen su postura actual de visibilidad de activos e identifiquen brechas.

Si su organización opera activos de OT sin una visibilidad integral, esa conversación ya se ha pospuesto demasiado tiempo.

Recursos adicionales:

Aviso de inteligencia sobre ciberamenazas de OT - Medio Oriente de forma directa aquí
Directiva NIS2: Cómo lograr el cumplimiento de NIS2 a través de IEC 62443 aquí
¿Qué son los medios extraíbles? Riesgos, políticas y soluciones de seguridad para OT industrial aquí
Plantilla gratuita de política de medios extraíbles para equipos de OT y TI aquí
Guías de remediación aquí