Sistemas de Control y Ciberseguridad OT
Unidad 2 - Día 4: Automatización Industrial, Protocolos y Auditoría de Red
Objetivos del Día 4
- Analizar la **Arquitectura ISA-95** enfocándonos en el Nivel 1 (PLCs) y Nivel 2 (SCADA/HMI).
- Comprender la estructura lógica y de registros del protocolo industrial **Modbus TCP**.
- Identificar los riesgos de seguridad en redes operacionales (**OT**) y las técnicas comunes de ataque.
- Auditar una falla de simulación de planta mediante el análisis de tramas **Wireshark** para identificar una pieza mecánica averiada.
Secuencia de Práctica:
El engranaje mecánico del robot clasificador se ha averiado por un ataque cibernético. Hoy identificaremos el problema mediante auditoría de red.
Pirámide de Automatización (Estándar ISA-95)
La norma internacional **ISA-95** define la interfaz y jerarquía entre las operaciones de fabricación (OT) y los sistemas empresariales (IT).
Controladores lógicos programables (PLCs) y controladores distribuidos (DCS) que automatizan la lógica de las máquinas.
Sensores físicos (presión, posición, termocuplas) y actuadores (motores, cilindros, válvulas).
| Nivel | Sistema | Función Principal |
|---|---|---|
| Nivel 4 | ERP | Gestión comercial, financiera y de negocios. |
| Nivel 3 | MES | Control de ejecución de producción y calidad. |
| Nivel 2 | SCADA/HMI | Monitoreo gráfico y supervisión en tiempo real. |
| Nivel 1 | PLC/PAC | Control lógico de secuencias y bucles. |
| Nivel 0 | Dispositivos | Acciones físicas (sensores y actuadores). |
Sistemas SCADA e Interfaces HMI
SCADA (Supervisión, Control y Adquisición)
Arquitectura de software centralizada que recopila telemetría de campo, registra históricos en bases de datos industriales y gestiona el sistema de alarmas generales de la planta.
- Control remoto supervisado de válvulas, motores y consignas.
- Generación de reportes de producción e indicadores analíticos.
HMI (Human-Machine Interface)
Pantalla táctil o terminal gráfico localizado físicamente junto a la maquinaria de taller. Permite al operario de planta ajustar variables locales del controlador PLC.
- Visualización de diagramas sinópticos y estados físicos del equipo.
- Introducción rápida de consignas de velocidad, límites y recetas.
Estructura del Protocolo Modbus TCP
**Modbus** es un protocolo abierto y simple estructurado mediante un mapa lógico de cuatro áreas de datos direccionables de 16 bits.
El encabezado MBAP en Modbus TCP:
Añade un prefijo de 7 bytes antes del PDU: Transaction ID (2B) + Protocol ID (2B, 0) + Length (2B) + Unit ID (1B, esclavo). Corre sobre el **puerto TCP 502**.
Mapa de Registros Lógicos
| Tipo de Registro | Rango Lógico | Lectura/Escritura | Tipo de Dato |
|---|---|---|---|
| Coils (Bobinas) | 00001 - 09999 | L / E | Binario (1 bit, On/Off) |
| Discrete Inputs | 10001 - 19999 | Solo Lectura | Binario (1 bit, Sensores) |
| Input Registers | 30001 - 39999 | Solo Lectura | Palabra (16 bits, Variables) |
| Holding Registers | 40001 - 49999 | L / E | Palabra (16 bits, Config) |
Ciberseguridad OT y Vulnerabilidad de Protocolo
IT vs OT: Prioridades Opuestas
Mientras en la oficina comercial (**IT**) se prioriza la **Confidencialidad** del dato financiero, en la planta de manufactura (**OT**) se prioriza absolutamente la **Disponibilidad** y continuidad de la operación para evitar accidentes físicos.
El Problema de Modbus
Modbus TCP no posee encriptación, hashes de firma ni autenticación de remitente.
- Cualquier computadora conectada a la red OT local puede inyectar paquetes falsificados para sobrescribir registros del PLC.
- Ataque de inyección de comandos: El agresor escribe en registros críticos forzando paradas o sobreesfuerzos mecánicos.
Auditoría de Red Industrial con Wireshark
Para resolver el caso del brazo robótico detenido, los estudiantes realizarán un análisis forense sobre el tráfico de red de control Modbus.
Objetivo del Análisis:
- Filtrar tráfico: Aislar tramas Modbus TCP en el puerto 502.
- Identificar anomalías: Comparar escrituras no autorizadas (Function Code 6) con las lecturas de telemetría comunes (Function Code 3).
- Obtener la Refacción: Decodificar el código de falla `0xEF42` para programar el repuesto mañana en Blender.
Guía de Auditoría Modbus
Hemos preparado instrucciones extremadamente exactas y estructuradas paso a paso con los filtros de red necesarios para el análisis forense.
Cuestionario de Conocimientos (Clase 4)
Reto de la Unidad 2: El Intruso en la Red
Nivel 1
Cargando desafío...
Conclusiones del Día 4
- La norma **ISA-95** es indispensable para delimitar la red operacional OT de la red informática corporativa IT.
- **Modbus TCP** es altamente vulnerable debido a la ausencia total de mecanismos de autenticación y cifrado.
- La ciberseguridad industrial OT prioriza la **Disponibilidad** y el funcionamiento continuo por encima de la confidencialidad.
- **Diagnóstico Forense:** Logramos localizar el ataque de inyección en el registro `40003` con el valor `0xEF42` provocado por la IP atacante `192.168.1.200`.
Siguiente Clase: Día 5
Mañana (Viernes): Robótica e Interfaces HMI Inmersivas (AR):
- Programación asistida por IA (Python) para modelado procedural de piezas en **Blender**.
- Visualización de la pieza de repuesto sobre el robot físico usando **Realidad Aumentada Web (WebXR/AR.js)**.