TAPs de red físicos frente a puertos espejo SPAN

Un puerto espejo o SPAN (Switched Port Analyzer) es una función de software del switch: el procesador del conmutador toma una copia de cada trama que pasa por un puerto y la reenvía al puerto del analizador. Esto tiene dos problemas en OT: primero, copiar paquetes consume CPU del switch; si el conmutador se satura, el firmware está programado para descartar paquetes en el puerto de monitoreo antes de retrasar el proceso. Segundo, si el tráfico agregado supera el ancho de banda del puerto de salida, el analista pierde visibilidad de posibles ataques.

Un Test Access Point (TAP) es un dispositivo físico insertado directamente en el enlace entre dos equipos (por ejemplo, entre el PLC y el switch). En enlaces de fibra óptica, el TAP utiliza divisores prismáticos pasivos que separan un porcentaje de la luz hacia el puerto del sensor; en enlaces de cobre, utiliza circuitos electrónicos independientes con batería de respaldo. El TAP no consume recursos del switch, no introduce latencia medible y garantiza que el 100% de las tramas (incluidas tramas dañadas o con errores de CRC) lleguen intactas al analizador.

Uno de los mayores temores de los ingenieros de planta es que un sensor de seguridad o una computadora de análisis conectada al switch pueda fallar o ser comprometida y comience a inyectar paquetes no deseados hacia el bus de control. Los TAPs de red profesionales cuentan con puertos de monitorización estrictamente unidireccionales: el cable físico no tiene pines de transmisión hacia la planta o el transceptor de fibra carece de diodo emisor. Es físicamente imposible que un paquete viaje desde el sensor hacia los controladores de Andes Agua.

En una arquitectura industrial sólida según IEC 62443, la elección entre TAP y SPAN se rige por el nivel de criticidad: en el Nivel 3 (operaciones de planta) y en la DMZ industrial, un puerto espejo en los conmutadores de distribución suele ser suficiente y económico. En los Niveles 1 y 2 (comunicación directa con controladores críticos de seguridad, generadores o reactores), la norma y las buenas prácticas exigen el uso de TAPs físicos independientes para asegurar cero interrupción y máxima integridad de la evidencia.