Más allá de Modbus — DNP3, EtherNet/IP y Profinet

DNP3 (Distributed Network Protocol) se diseñó para la comunicación entre centros de control y unidades terminales remotas (RTUs) a través de enlaces de radio o satélite en redes eléctricas y acueductos. Incorpora marcas de tiempo precisas e informes por excepción. Para enviar órdenes críticas, utiliza el mecanismo 'Select Before Operate' (SBO): primero se envía un mensaje de selección y luego uno de ejecución. Sin embargo, en su versión clásica DNP3 no incluye cifrado ni autenticación; cualquiera en el enlace puede enviar un mensaje SBO para abrir un disyuntor o vaciar un depósito.

EtherNet/IP encapsula el Common Industrial Protocol (CIP) sobre tramas estándar TCP y UDP en el puerto 44818. Es ampliamente utilizado en plantas de manufactura continua con controladores Rockwell/Allen-Bradley. CIP organiza los datos en objetos y atributos con clases bien definidas (como leer variables de etiquetas o descargar firmware). En su especificación base, cualquier dispositivo que hable CIP puede invocar servicios de parada de CPU ('Stop CPU') o modificar valores de memoria sin presentar una credencial de usuario.

Profinet es el estándar dominante en plantas con tecnología Siemens. Para lograr ciclos de control de milisegundos, Profinet RT y Profinet IRT se saltan por completo las capas de transporte TCP e IP y transmiten directamente sobre la trama Ethernet (Capa 2) usando identificadores de tipo EtherType 0x8892. Esto implica que los cortafuegos de Capa 3 tradicionales de oficina ni siquiera ven ni pueden filtrar este tráfico. Para gobernar Profinet se requieren conmutadores gestionados con segmentación estricta de VLANs industriales en Capa 2.

Los comités de estándares crearon extensiones modernas como CIP Security (que utiliza TLS y DTLS) y DNP3 Secure Authentication (DNP3-SA). Aunque existen en papel, su despliegue en plantas reales avanza muy despacio: muchos PLCs instalados en el campo tienen procesadores lentos incapaces de calcular certificados TLS sin retrasar el proceso, y un dispositivo industrial tiene una vida útil promedio de 15 a 25 años. Por eso la defensa no puede esperar a que todos los protocolos se vuelvan seguros: se debe proteger el perímetro y aislar las redes.