La oficina no debería llegar a la planta

Entre la red de oficina y la red de planta se coloca una zona intermedia —la DMZ industrial—. La idea es que ni la oficina hable directamente con la planta ni la planta con la oficina: cuando la oficina necesita un dato del proceso, lo toma de un equipo puesto en esa zona intermedia (por ejemplo, una réplica del historiador), no del historiador que vive dentro de la planta. Así, un equipo de oficina comprometido llega, como mucho, hasta la zona intermedia, y nunca al controlador. La separación se diseña para que ningún camino cruce de un lado al otro sin pasar por un punto controlado.

Entender por qué existe esa zona intermedia es entender la lógica de toda la segmentación: no se trata de bloquear por bloquear, sino de que cada dato cruce por un sitio vigilado y nada lo haga por detrás.

En el cortafuegos que separa la oficina de la planta de Andes Agua hay una regla que, en vez de permitir solo el tráfico concreto que la planta necesita, deja pasar todo el tráfico de la red de oficina hacia la red de planta. Probablemente se puso así «para que funcionara» durante una puesta en marcha y nunca se afinó. El efecto es que la separación es de mentira: cualquier equipo de oficina puede alcanzar el puerto 502 del PLC. La corrección no es añadir otra regla de bloqueo encima, sino arreglar la regla que abre: dejar pasar únicamente lo imprescindible —de los equipos de la zona intermedia a los servicios que de verdad lo requieren— y negar el resto.

El patrón a reconocer es el de una regla permisiva que anula la segmentación entera. Una sola línea de «permitir todo» convierte un cortafuegos caro en un cable directo.

Hay una forma de saltarse el cortafuegos sin tocarlo: un equipo con dos tarjetas de red, una conectada a la oficina y otra a la planta. La estación de ingeniería de Andes Agua está así —la conectaron a las dos redes para poder programar el PLC sin moverse de la oficina— y sin querer se convirtió en un puente que une las dos zonas por detrás del cortafuegos. Todo el trabajo de segmentar en el cortafuegos no sirve de nada si un equipo tiene un pie en cada red: el tráfico que la regla debía frenar lo cruza el propio equipo. La corrección es quitarle ese doble pie —que la estación viva en la zona intermedia o en la planta, no en las dos— y controlar su acceso por el camino vigilado.

Este tipo de puente es difícil de ver porque no aparece como una regla mal puesta: aparece como un equipo con dos direcciones. Al revisar una segmentación, se buscan también los equipos conectados a dos redes a la vez.

La oficina de Andes Agua necesita los datos de producción para sus informes, y hoy los toma conectándose directamente al historiador que vive dentro de la planta —otro camino que cruza la separación—. La solución no es negarle los datos a la oficina, sino ponerlos donde puede tomarlos sin entrar: una réplica del historiador en la zona intermedia, que recibe los datos de la planta y los sirve hacia la oficina. La planta empuja hacia la zona intermedia; la oficina lee de la zona intermedia; y en ningún momento la oficina alcanza el interior de la planta. El negocio obtiene sus informes y la separación se mantiene.

La lección es que segmentar bien no consiste en cortar servicios que la empresa necesita, sino en reubicarlos para que se presten sin cruzar la línea. Una buena segmentación deja a todos trabajando, solo que por el camino correcto.

Abre la captura entre la oficina (10.10.x) y la planta (10.20.x). Un mismo equipo aparece en las dos redes a la vez —una tarjeta en cada una—: es el puente que salta el cortafuegos por detrás. Aísla su interfaz de planta y lee el código anotado en esa fila.