Escaneo pasivo y seguro, ver la red de control sin tocarla

Un escáner de vulnerabilidades envía muchos paquetes a muchos puertos y espera respuestas. En un servidor moderno eso es rutina. Algunos controladores industriales, sobre todo los antiguos, tienen pilas de red limitadas: ante tráfico inesperado pueden responder con lentitud, reiniciarse o dejar de atender al proceso que controlan. Las guías de seguridad de tecnología operativa, como la NIST SP 800-82, tratan el escaneo activo en estos entornos con cautela y piden coordinarlo con operaciones.

Por eso la regla de partida es no sondear equipos de control sin acuerdo escrito, y preferir la observación pasiva: capturar una copia del tráfico en un puerto espejo y leer qué equipos hablan, con quién y cómo.

El inventario del fabricante dice lo que se compró; la captura dice lo que realmente habla. Cuando difieren, hay un equipo que nadie registró: un controlador de reemplazo, una pasarela instalada por un contratista, algo que alguien conectó «temporalmente». Es el primer hallazgo de una observación pasiva, y casi siempre es más valioso que cualquier vulnerabilidad de la lista.

Compara inventario-fabricante.csv con las direcciones de captura-pasiva.csv. La zona de control es 198.51.100.0/24.

Las reglas de zona dicen quién puede hablar con quién. Un flujo de la captura que las incumple no prueba por sí solo un ataque: puede ser una tarea de mantenimiento mal documentada, una configuración vieja o un error. Pero siempre merece una pregunta a operaciones, y si pasa de oficinas a control, además una revisión del cortafuegos que debía impedirlo.

Lee reglas-de-zona.txt y aplica las cuatro reglas a cada fila de la captura.

En protocolos industriales hay una diferencia importante entre leer un valor y escribirlo. Leer es observar el proceso; escribir es cambiarlo: abrir un interruptor, mover un valor de consigna. Por eso la columna operacion es de las más útiles de una captura: las escrituras son pocas y todas deberían tener un origen conocido y una razón.

Con la regla R4 delante, busca la escritura que no corresponde.

Has encontrado un equipo en la zona de control que nadie registró. La reacción instintiva es «vamos a escanearlo para saber qué es». Es justo lo contrario de lo que enseña esta sala: lo que se sabe de él, sale de lo que ya dice en la captura, de una pregunta a operaciones y de una consulta al fabricante o al contratista que lo pudo instalar.

El equipo no se apaga ni se bloquea por iniciativa propia: una acción sobre un equipo desconocido que está leyendo valores de proceso puede tener efectos que no se ven desde seguridad.