Escenario: caza en una subestación ficticia sin tocar el proceso

Mediante sensores pasivos de red instalados en el conmutador de la DMZ industrial, el equipo de caza detectó un flujo RDP directo desde un equipo corporativo (10.50.2.14) hacia una estación interna de la subestación (192.168.10.5), saltándose el jumpbox. Diez minutos después, la estación envió un comando de escritura WRITE_MULTIPLE_REGISTERS al PLC de control de interruptores sin orden de mantenimiento aprobada. La detección pasiva permitió alertar al equipo de planta antes de que se alteraran los relés de protección.

Indica el src_host del equipo corporativo que originó el flujo RDP en violación de políticas.

Lección tras el caso {#leccion}

La cacería de amenazas en entornos de tecnología operativa (OT) e infraestructura crítica exige un cambio radical de mentalidad respecto a TI tradicional: la prioridad absoluta e innegociable es la seguridad física (Safety) de las personas y los procesos. En redes industriales no se toleran escaneos activos agresivos ni contenciones automáticas destructivas. El cazador defensivo en OT domina la arquitectura del Modelo Purdue, inspecciona de forma estrictamente pasiva los flujos en los puntos de cruce de la DMZ y correlaciona los comandos de control industrial con el sistema formal de gestión de cambios sin perturbar jamás la operación de planta.