El cruce que salta niveles

Un salto de niveles es un flujo cuyo origen y destino no están en niveles contiguos y que no atraviesa, por el medio, ningún punto de control. Una HMI que consulta a un controlador va del 2 al 1: contiguos, normal. Un portátil de la oficina que habla con un controlador va del 4 al 1: se salta la zona intermedia, las operaciones y la supervisión, que son los sitios donde se filtra y se vigila.

Para encontrarlos se necesita el nivel de cada extremo, que sale del inventario, y el flujo, que sale de la captura. Un salto no es por sí solo un ataque, pero es siempre el primer sitio donde mirar.

De todos los saltos posibles, el más grave es el que une la oficina con un controlador, porque un equipo de oficina comprometido llegaría al proceso sin pasar por ninguna capa. La señal es inequívoca: una dirección del nivel 4 como origen y una del nivel 1 como destino, sobre el puerto de un protocolo industrial que no autentica.

La consulta que une cada flujo con los niveles de sus dos extremos lo deja a la vista.

No todo salto es un hallazgo. La estación de ingeniería, del nivel 3, programa y diagnostica los controladores del nivel 1 sin pasar por la supervisión. Está pensado así: existe un conducto escrito para eso, con su condición, que es una ventana de mantenimiento pactada con operaciones. Que el flujo ocurra dentro de la ventana y por el puerto del conducto lo convierte en un salto esperado.

La respuesta correcta a un salto aprobado no es una alarma: es comprobar que cumple su condición y mantenerlo vigilado.

Un cruce no solo va de arriba hacia abajo. Una conversación que sale de un equipo de la planta hacia una dirección que no es de la empresa es otro tipo de salto: salta todos los niveles superiores y llega a internet sin pasar por la zona intermedia. En una planta, un servidor de supervisión no tiene motivo para iniciar una conexión hacia fuera, y cuando lo hace se investiga qué lo pidió y quién lo autorizó.

El inventario marca como «fuera de la empresa» las direcciones que no pertenecen a nadie conocido.

Algunos saltos no vienen de una conexión nueva sino de un equipo mal ubicado. Si un servicio que solo usa la planta se instaló en la zona intermedia, la pantalla que lo usa tiene que salir de la supervisión, cruzar el nivel 3 y llegar al 3.5 para pedirle lo que necesita. El flujo salta niveles porque el servicio está donde no debería.

La solución no es aprobar un conducto más para ese flujo: es llevar el servicio al sitio que le corresponde.