La detección que no interfiere

Un sistema de detección en línea se coloca en el camino del tráfico y puede bloquearlo; uno pasivo recibe una copia del tráfico —por un puerto espejo del switch o una toma de red— y solo lo observa. En TI se usan los dos; en OT, el pasivo es la opción por defecto, porque un equipo que pueda cortar el tráfico de planta puede, en un mal día, frenar un comando legítimo entre la HMI y el PLC y detener el proceso. El monitoreo pasivo nunca puede causar eso: como no está en el camino, no hay forma de que corte nada. Ve todo y no toca nada.

La elección entre en línea y pasivo no es de gusto: es de riesgo. En la planta, un falso positivo que bloquea es tan grave como el ataque que se quería frenar, así que la detección se diseña para no poder interferir.

Escuchar el tráfico no basta si la herramienta no entiende lo que oye. Las herramientas de análisis de red que se usan en OT llevan disectores industriales: saben leer Modbus y otros protocolos de planta, así que en vez de mostrar «un paquete al puerto 502» dicen «una escritura al registro tal del PLC tal». Eso convierte un flujo ininteligible en eventos con sentido: qué equipo pidió qué, a quién, y si fue una lectura o una escritura. Con esa lectura, el analista puede razonar sobre el proceso, no solo sobre bytes.

La diferencia entre ver puertos y ver acciones del proceso es lo que hace útil el monitoreo. Un disector industrial es lo que traduce el tráfico de la planta a un lenguaje sobre el que se puede decidir.

El tráfico de una planta es sorprendentemente repetitivo: casi siempre los mismos equipos hablan con los mismos equipos, los mismos protocolos, en un patrón estable que apenas cambia de un día a otro. Esa regularidad es una ventaja para la defensa, porque permite construir una línea base —un retrato de la conversación normal— y luego vigilar lo que se sale de ella. En una red de oficina, donde cada persona navega a sitios distintos, eso sería imposible; en la planta, una conversación nueva entre dos equipos que nunca habían hablado es, por sí sola, una señal que merece mirarse.

En OT, la detección se apoya menos en firmas de ataques conocidos y más en el comportamiento: lo que delata al intruso no suele ser una firma famosa, sino que aparezca una comunicación que no encaja con el patrón estable de la planta.

El monitoreo pasivo de Andes Agua lleva unos días con su línea base construida cuando marca algo: un equipo de la red de oficina inicia una conversación Modbus con el PLC y le envía una escritura. En la línea base, el PLC solo hablaba con la HMI y el SCADA; ese equipo de oficina nunca había aparecido en una conversación de planta, y menos escribiendo. No hace falta una firma de ataque conocida: el hecho de que exista esa comunicación, que rompe el patrón estable, es la alerta. El monitoreo pasivo la vio sin interferir en nada, y ahora el analista puede investigar de dónde salió y contenerla.

Esta es la recompensa de todo lo anterior: escuchar sin tocar, entender el protocolo y conocer el patrón normal permiten que una escritura peligrosa, perfectamente formada, salte a la vista solo por venir de donde no debía.

Abre el monitoreo pasivo con la línea base ya construida: el controlador solo conversa con la pantalla del operador y con la supervisión. Entre ese patrón estable hay una conversación que no encaja —una escritura al controlador desde un equipo de oficina que nunca había aparecido—. Aíslala y lee el código anotado en su fila.