Detección que habría acortado el incidente

En el incidente de Metálica Austral, el atacante se tomó siete horas para explorar la red corporativa, encontrar el salto a la planta y desplegar el malware. En una red industrial el tráfico es predecible y casi determinista: los autómatas siempre se comunican con los mismos servidores mediante los mismos comandos. Cualquier conexión SMB anómala o comando fuera de turno es una señal inequívoca de compromiso que sondas pasivas de red (OT Network Detection) pueden alertar en segundos.

En el nuevo plan de detección se implementan sondas pasivas para no interferir con las comunicaciones críticas.

Abre el laboratorio y consulta deteccion-temprana-anomalias-to.txt. Identifica la alerta disparada por TAP Espejo Nivel 2.

Se instalan sensores especializados en aprendizaje del comportamiento de la maquinaria industrial.

Revisa deteccion-temprana-anomalias-to.txt y localiza el tipo de análisis asignado al Sensor OT Nozomi.

En redes industriales está terminantemente prohibido utilizar herramientas tradicionales de escaneo activo de red (como Nmap o Nessus) durante la producción. Muchos autómatas antiguos colapsan o se reinician al recibir paquetes malformados en sus puertos, provocando paradas físicas accidentales. Por ello, la monitorización de TO debe apoyarse exclusivamente en puertos espejo (SPAN/TAP) y análisis pasivo de paquetes.