Monitoreo pasivo y sus límites

El monitoreo pasivo recibe una copia del tráfico de la red, por un puerto espejo del conmutador o por una derivación, y lo analiza aparte. No envía nada a los equipos, así que no puede perturbarlos: eso lo hace adecuado en planta, donde un controlador antiguo puede fallar ante un paquete que no esperaba. Tiene límites claros: solo ve los equipos que hablan por los enlaces copiados, no ve lo que viaja cifrado más allá de quién habla con quién, y no ve nada de lo que se comunica por un enlace serie. NIST SP 800-82 Rev. 3 recomienda cuidado con los métodos activos en OT precisamente por ese riesgo.

Un sensor pasivo ve lo que se le entrega. Si una zona no tiene ningún punto de captura, el sensor no puede decir nada de ella, ni para bien ni para mal: la ausencia de alertas es ausencia de visibilidad, no de actividad. La ficha de cobertura compara, zona por zona, los activos del inventario con los que el sensor ha visto.

Consulta la cobertura y busca la zona sin punto de captura.

Dentro de una zona puede haber equipos que el sensor jamás vio. Hay motivos inocentes: un enlace serie no pasa por la red, o el equipo estuvo apagado. La lista de silenciosos los recoge con la última vez que se vieron. Uno de ellos no tiene fecha: no se ha visto nunca desde que el sensor existe.

Consulta la lista de silenciosos.

La cobertura real se mide restando. Por cada zona, activos del inventario menos activos vistos da lo que quedó fuera de la vista; sumar las tres zonas da el tamaño del hueco. No todo el hueco es riesgo, pero todo es incertidumbre, y la lista de silenciosos explica solo una parte.

Calcula con la tabla de cobertura.

Frente a un equipo que el sensor no ve, hay tres reacciones. Darlo por inexistente borra un activo real del inventario. Mandarle paquetes para que responda es justo lo que el monitoreo pasivo evita. Lo correcto es dejar constancia de que está fuera de vista y cubrirlo de otra manera acordada con el equipo de operaciones, por ejemplo con un punto de captura nuevo, la revisión de su propio registro o una comprobación en la planta durante una parada.