Seguridad OT/ICS
ACCIÓN REQUERIDA (leer y ejecutar inmediatamente)
AHORA: Leer../field-journal/precedent-pentest.md— Un error en entorno industrial puede causar daños físicosAHORA: La autorización por escrito debe especificar: sitio, segmento de red, si se permite escaneo activo/escritura en registrosAHORA: case-init; por defecto passive-first; prohibido escribir en PLC antes deready_for_actSIGUIENTE: tool-index; la mayoría de herramientas OT requieren conexión manual a la red de prueba aisladaACCIÓN: Identificación de activos y particiones → superficie de exposición → verificación de solo lectura
Escenarios de aplicación
- Evaluación de seguridad de sistemas de control industrial/SCADA/DCS (autorizada)
- Zonificación del modelo Purdue y canales entre zonas
- Exposición de protocolos Modbus/DNP3/S7/EtherNet/IP y otros
- Estaciones de ingeniería, HMI, historial, servidores puente
- Límites de convergencia IT/OT (reglas de firewall, pasarelas unidireccionales)
Reglas de seguridad obligatorias (DEBE)
NO DEBE, a menos que esté explícitamente autorizado:
- Escribir bobinas/registros en PLC
- Escanear la red OT de producción a alta velocidad
- Interrumpir las rutas relacionadas con el sistema de seguridad instrumental (SIS)
Prioridad: identificación de solo lectura, mirroring de tráfico, análisis offline de firmware/configuración
Flujo de trabajo
Fase 1 — Partición y activos
□ Esquema de Purdue L0–L5: dispositivos de campo → control → supervisión → DMZ del sitio → empresa
□ Inventario de activos: PLC/RTU/HMI/Estación de ingeniería/Historial/Jump host
□ Línea base de protocolos y puertos (solo segmentos autorizados)
Fase 2 — Pasivo y solo lectura
□ SPAN/mirroring PCAP → protocol-reverse / Analizadores OT de Wireshark
□ Auditoría offline de configuraciones y archivos de ingeniería (exportaciones de TIA/RSLogix, etc.)
□ Contraseñas por defecto y protocolos en texto claro (Modbus sin autenticación) registrados como Hallazgo, sin escribir ni modificar valores
Fase 3 — Activo limitado (solo autorizado)
□ Identificación a baja velocidad, ventana de mantenimiento
□ Priorizar códigos de función de solo lectura
□ Cada paso con Evidencia; detener e informar inmediatamente ante anomalías
Fase 4 — Superficie de firmware/parches
□ Versión de firmware del controlador → mapeo a CVE (no parchear firmware a ciegas)
□ Combinar con firmware-pentest para análisis offline de imágenes
Cadena de herramientas
| Herramienta | Uso | Nota |
|---|---|---|
| Disectores OT de Wireshark | Análisis pasivo | Tráfico en mirror |
| Nmap NSE (limitado) | Identificación | Velocidad y ventana de tiempo |
| Claroty/Nozomi, etc. | Descubrimiento de activos | Comerciales/en sitio |
| Software de ingeniería de fabricantes de PLC | Auditoría de configuración | Priorizar offline |
| binwalk / Ghidra | Firmware | Offline |
Referencias
references/ot-safe-assessment.md../firmware-pentest/../protocol-reverse/../networkvía pentest-tools
Contexto de enrutamiento
Ascendente: MASTER R28
Descendente: Análisis profundo de firmware firmware-pentest; protocolo protocol-reverse; lateral IT windows-ad/attack-chain
Mismo nivel: No usar escaneo web genérico con parámetros predeterminados en OT
Autoverificación de finalización de tarea
- ¿Se ha optado por pasivo/solo lectura por defecto y se ha registrado el límite de autorización?
- ¿Se ha evitado realizar operaciones de escritura en el bucle de control (a menos que esté explícitamente autorizado)?
- ¿Cada Hallazgo incluye una descripción del impacto físico/procesal?
- ¿Checklist / journal?