El escaneo que no se puede hacer

Un escáner de red activo funciona enviando paquetes a cada equipo y a cada puerto para ver qué responde. En un servidor moderno eso es inofensivo; en un controlador industrial viejo, no. Muchos PLC tienen una pila de red mínima y se comportan de forma impredecible ante tráfico que no esperaban: se han visto equipos que se cuelgan, que reinician o que dejan de atender el proceso durante un barrido de puertos. En una planta, cualquiera de esas reacciones significa detener la línea, que es justo lo que se intentaba evitar. El inventario no puede costar una parada.

La conclusión práctica es que en OT el reconocimiento activo agresivo está descartado por defecto. La pregunta deja de ser «cómo escaneo» y pasa a ser «cómo me entero sin enviar nada».

La forma segura de inventariar una planta es pasiva: se conecta una copia del tráfico —un puerto espejo del switch o una toma de red— a un equipo de análisis que solo escucha. Al observar las conversaciones, van apareciendo los equipos que hablan: sus direcciones, los protocolos que usan, con quién se comunican. No se le envía un solo paquete a la planta; se aprovecha el tráfico que ya existe. En un rato de escucha se dibuja buena parte del mapa sin que ningún controlador note nada, porque desde su punto de vista no pasó nada.

Esta es la idea central del inventario en OT: la información se obtiene observando, no sondeando. Lo que en TI sería un paso lento y secundario, en OT es la vía principal.

La escucha no es la única fuente pasiva. La planta ya tiene información escrita que ayuda a completar el inventario sin tocar nada: las tablas del switch dicen qué direcciones están conectadas a cada puerto; el historiador conoce las variables y, con ellas, los equipos que las producen; y la documentación del integrador que montó la planta suele listar los PLC, sus modelos y sus direcciones. Cruzar esas fuentes con lo que se ve en el tráfico da un inventario mucho más completo, y todo sin enviar un paquete de sondeo.

El oficio consiste en reunir lo que ya está disponible antes de plantearse tocar la planta. Muchas veces el inventario casi completo estaba escrito en documentos que nadie había cruzado con la realidad.

Escuchando el tráfico de Andes Agua aparece una dirección que no está en la documentación del integrador ni nadie sabe identificar: habla un protocolo industrial y se comunica con la red de planta. La tentación de TI sería lanzarle un escaneo para averiguar qué es. En OT eso es justo lo que no se hace: se investiga por las vías pasivas —qué protocolo habla, con quién, desde qué puerto del switch está conectado— y se pregunta al personal de planta y al integrador, sin enviarle nada al equipo desconocido hasta entender qué es y si detenerlo o tocarlo tendría consecuencias.

Un activo desconocido es un hallazgo importante, pero no una excusa para romper la regla. Se identifica con paciencia y con las fuentes pasivas; sondearlo a ciegas podría ser sondear justo el equipo que no aguanta.

Abre la escucha pasiva del tráfico de planta. Entre los equipos que sí están en la documentación del integrador aparece uno que no figura en ningún plano y, aun así, conversa con el controlador. Encuéntralo sin enviarle nada y lee el código anotado en su fila.