Descubrimiento pasivo y huellas MAC OUI en la planta

Toda tarjeta de red Ethernet cuenta con una dirección MAC de 48 bits. Los primeros 24 bits corresponden al Identificador Único Organizacional (OUI) asignado formalmente por el IEEE al fabricante del hardware. Al capturar tramas de difusión pasivas (como peticiones ARP de inicio), basta con cotejar el prefijo MAC: si empieza por 00:1D:9C delata a Rockwell Automation; si empieza por 00:0E:8C indica un equipo Siemens; 00:80:F4 corresponde a Telemecanique/Schneider. Sin enviar ningún paquete, ya sabes qué marcas de controladores operan en el segmento.

Muchos dispositivos industriales anuncian periódicamente su presencia a sus vecinos de red mediante protocolos de descubrimiento de Capa 2 como LLDP (Link Layer Discovery Protocol), CDP o Profinet DCP. Estas tramas se emiten cada pocos segundos y contienen en texto claro datos valiosos: el nombre del dispositivo asignado en el proyecto de ingeniería (ej. 'PLC_LLENADORA_01'), el modelo exacto de chasis, la versión de firmware instalada y el número de puerto del conmutador al que está conectado.

En TI los servidores se comunican de forma esporádica e interactiva (cuando un usuario hace clic o abre un correo). En OT, la comunicación es determinista y periódica: una pantalla HMI consulta las variables de un PLC a intervalos fijos de 100, 250 o 500 milisegundos. Al medir la periodicidad de los paquetes entre dos direcciones IP, el analista puede deducir la función del par: un intercambio continuo cada 100 ms corresponde al bucle de control; un volcado de datos cada 60 minutos corresponde al servidor historiador.

Combinando la dirección MAC (fabricante), los anuncios de Capa 2 (nombre y firmware), los puertos y protocolos escuchados (Modbus, Profinet) y los ritmos de tráfico, el equipo de ciberseguridad industrial consolida una matriz completa de inventario. No se envió un solo ping, ningún controlador sufrió sobrecarga en su pila de red y la línea de producción de Andes Agua continuó operando al 100% mientras se documentaba el mapa técnico de la instalación.