Órdenes de Modbus y DNP3 en los registros de Zeek

En el registro de Modbus cada fila trae el nombre de la función. Las que leen (READ_HOLDING_REGISTERS, READ_INPUT_REGISTERS) preguntan por un valor y no cambian nada: son la conversación de fondo de toda planta. Las que escriben (WRITE_SINGLE_REGISTER, WRITE_MULTIPLE_REGISTERS, WRITE_SINGLE_COIL) cambian un valor del controlador, una consigna, un modo, una salida, y por eso actúan sobre el proceso físico. Cada orden aparece dos veces: la petición (REQ) y la respuesta (RESP), que comparten uid.

La asimetría es la que da la pauta de vigilancia. Una lectura de más molesta poco; una escritura de más puede mover una válvula. Por eso la detección no pone el mismo peso a las dos: las lecturas se miran por volumen y por origen, y las escrituras se miran una a una, contra una lista de quién puede escribir.

La línea base de órdenes dice quién puede pedir qué a quién. La supervisión de la planta puede escribir una consigna; la pantalla del operador y el historiador solo leen; la estación de ingeniería escribe únicamente dentro de una ventana de mantenimiento. Lo que no está en la tabla no está permitido. Con eso, buscar una orden inusual es cruzar dos listas: las escrituras que Zeek vio y los orígenes que la tabla autoriza.

En la mañana revisada hay dos escrituras. Una la hace quien tiene permiso. La otra viene de un equipo que no aparece en la tabla como escritor. Ese es el hallazgo, y se escala con el nombre del equipo, no con la dirección.

Cuando un equipo contesta con una excepción, Zeek la anota en la columna exception. ILLEGAL_DATA_ADDRESS significa que se pidió una dirección que el controlador no tiene. Una sola es un tropiezo; una repetida cada pocos segundos por el mismo origen es un cliente que insiste en algo que no existe.

Eso admite dos explicaciones muy distintas. Puede ser un equipo mal configurado, por ejemplo un historiador al que se le cargó el mapa de registros de otro PLC, que es lo más común. O puede ser alguien explorando qué registros tiene el controlador. Por sí sola la excepción no decide entre las dos; lo que ayuda es quién la provoca, si ese origen es de los de siempre y si coincide con un cambio en la planta.

En DNP3, que se usa mucho en subestaciones eléctricas y en telecontrol, el registro de Zeek anota la función pedida (fc_request) y la respondida (fc_reply). Hay funciones de lectura, funciones que accionan una salida y funciones de otra clase: las que reinician el equipo remoto, lo detienen o le cargan la configuración. Estas no mueven un valor del proceso: afectan al equipo mismo, y un reinicio de una unidad remota de subestación puede dejar sin vigilancia una parte de la red eléctrica de la planta.

La línea base de órdenes permitidas contra la subestación solo admite dos funciones y las dos son de la supervisión. En los cuatro registros que tienes hay una función que nadie tiene permiso de pedir. Escribe su nombre tal como lo anota Zeek.