Caso final — Molienda Sur

Llegas a Molienda Sur sin documentación de su red de planta. La tentación, con prisa, es lanzar un escáner para tener rápido la lista de equipos. Es justo lo que no se hace: no conoces la fragilidad de esos controladores y un barrido podría detener la molienda. El primer paso es montar el monitoreo pasivo —una copia del tráfico del switch de planta hacia un equipo que solo escucha— y complementar con las fuentes que ya existen: las tablas del switch, el historiador y los planos del integrador que montó la planta.

Empezar por lo pasivo no es lentitud: es la única forma de conocer una planta ajena sin arriesgarse a pararla. El inventario se construye escuchando y leyendo lo que ya está, antes de plantearse tocar nada.

Con el monitoreo en marcha, observas que el controlador que gobierna el molino habla un protocolo industrial sin autenticación, y que ese puerto es alcanzable desde la red de oficina: en el tráfico aparecen equipos de oficina consultándolo. Cualquiera de esos equipos, o cualquier atacante que llegue a la oficina, podría enviarle una orden de escritura y actuar sobre el molino. Reconoces el mismo patrón que en Andes Agua, con otro equipo y otro puerto: un protocolo que confía en quien lo alcance, expuesto a una red que no debería alcanzarlo.

El hallazgo no es «el protocolo es inseguro» —lo son casi todos en OT— sino que está al alcance de la oficina. La gravedad está en la exposición, y esa es una propiedad de la red, no del protocolo.

Investigas por qué la oficina alcanza el molino. En Molienda Sur no hay una zona intermedia: la oficina y la planta están en la misma red plana, sin cortafuegos que las separe, tal como quedó desde que se montó la planta. No es una regla mal puesta como en Andes Agua —aquí directamente no hay separación—. El efecto es el mismo y peor: cualquier equipo de oficina comprometido tiene línea directa con los controladores. La corrección de fondo es construir la separación que falta: llevar la planta a su propia zona, poner un punto de cruce controlado entre oficina y planta, y dejar que solo lo imprescindible pase por ahí.

El caso te obliga a reconocer el problema aunque tome una forma distinta: en una planta era una regla permisiva, en otra es la ausencia total de separación. El criterio es el mismo —la oficina no debería alcanzar el proceso— y la medida también —crear el cruce controlado que hoy no existe.

Revisando el tráfico ves conexiones que entran desde fuera hacia un equipo de la planta a horas irregulares. Preguntando, resulta ser el acceso remoto del proveedor del molino: una conexión de mantenimiento permanente, directa al equipo, con una cuenta compartida, que quedó abierta desde la instalación y que nadie de Molienda Sur controla. Es el mismo tipo de puerta que encontraste en Andes Agua. La medida no es cortarle el mantenimiento al proveedor, sino rehacer el acceso: bajo demanda y aprobado, con segundo factor, a través de un salto en la zona intermedia que vas a construir, con identidad por persona y la sesión registrada.

El acceso remoto del proveedor vuelve a ser la vía por la que entra casi todo. Reconocerlo en una planta nueva, con otro proveedor y otro equipo, es la prueba de que el método —no el caso memorizado— es lo que llevas contigo.

Cierras el encargo con un plan. La barrera que dejas puesta es la arquitectura que faltaba: separar oficina y planta con una zona intermedia y un cruce controlado, dejar el protocolo del molino solo al alcance de los equipos que deben hablarle, rehacer el acceso del proveedor y montar monitoreo pasivo con una línea base. Y si mañana aparece una escritura maliciosa al molino, la respuesta respeta la regla de la ruta: se corta la vía de red por la que entró, se decide junto a operaciones cualquier parada, y no se toca el controlador —que sigue gobernando la molienda— mientras se preserva la evidencia que el monitoreo ya capturó. Defensa y respuesta, las dos, sin detener el proceso.

Si llegaste hasta aquí inventariando sin tocar, encontrando los fallos de arquitectura sin que nadie los señalara y proponiendo la defensa y la respuesta sin apagar la planta, el oficio de la ruta ya es tuyo: no protegiste una máquina memorizada, aplicaste un criterio a una planta que veías por primera vez.

Cierra el caso con el indicador que llevas al informe. Molienda Sur no tiene separación: en la captura hay puestos de oficina alcanzando directamente el controlador que gobierna el molino. Aísla ese controlador —el que responde al tráfico de la oficina— y anota su dirección exacta tal como aparece en la captura.