Seguridad en las comunicaciones e IoT industrial
Sesión 5 · U3.2 Seguridad · U3 IoT industrial
ING. JAVIER APAZA MARTÍNEZ
Viernes 6 de noviembre de 2026 · 19:00 – 22:00
Plan de la sesión
¿Qué hace falta para cambiar la consigna de un PLC por Modbus?
Solo llegar a la red.
Lo que acaba de pasar
Sin autenticación
Modbus, el S7 clásico y DCP de PROFINET no piden contraseña: se diseñaron para redes cerradas.
Red plana
Si todo está en la misma red, una PC infectada llega a todos los PLC.
Entradas olvidadas
Un módem, un escritorio remoto, un USB: caminos que no pasan por el firewall.
Y lo que salvó la planta al final no fue la red: fue un límite en el programa y un interruptor cableado. Eso es defensa en profundidad.
TI y OT protegen cosas distintas
| TI (oficina) | OT (planta) | |
|---|---|---|
| Prioridad | Confidencialidad → Integridad → Disponibilidad (CIA) | Disponibilidad → Integridad → Confidencialidad (AIC) |
| Si falla | Se pierden datos | Se para la planta, se daña un equipo, se lastima alguien |
| Vida de los equipos | 3 a 5 años | 15 a 20 años |
| Parches | Apenas salen | Se prueban y se aplican en una parada |
| Reiniciar | Normal | Solo en una parada planificada |
Casos reales
Cada uno enseña una lección distinta
Cuatro incidentes, cuatro lecciones
Stuxnet · 2010
Alteró PLC Siemens que movían centrifugadoras en Irán, mostrando valores normales al operador. Entró por USB a una red sin internet.
Lección: el aislamiento no basta.
Unitronics · 2023
PLC de servicios de agua en EE. UU. expuestos a internet con la contraseña de fábrica. Les cambiaron la pantalla y la lógica.
Lección: nada de OT directo a internet.
FrostyGoop · 2024
Comandos Modbus TCP a los controladores de la calefacción en Leópolis, Ucrania: cientos de edificios sin calefacción en pleno enero.
Lección: el ataque del laboratorio es real.
CrowdStrike · 2024
No fue un ataque: una actualización defectuosa de un antivirus dejó millones de equipos Windows sin arrancar.
Lección: en OT nada se actualiza sin probar.
Fuentes: CISA, alerta AA23-335A (Unitronics); Dragos, informe FrostyGoop (2024); análisis públicos de Stuxnet y del incidente de CrowdStrike del 19-jul-2024.
Defensa en profundidad
Zonas, conductos y capas que no dependen unas de otras
Capas: si una falla, la siguiente detiene
Y atravesando todas: monitoreo (saber qué pasa) y respaldos (poder volver).
Zonas y conductos
Zona
Equipos con los mismos requisitos de seguridad.
Conducto
El único camino entre dos zonas, con sus reglas.
DMZ
TI y OT se encuentran aquí: nada cruza directo.
¿Qué cruza cada conducto?
| De | A | Qué se permite | Qué no |
|---|---|---|---|
| Oficina | DMZ | Leer la réplica del historiador (HTTPS) | Nada hacia la red de control |
| Historiador | DMZ | Enviar su réplica, en un solo sentido | Recibir órdenes de la oficina |
| Integrador | Servidor de saltos | VPN con MFA, con horario y registro | Entrar directo a un PLC |
| SCADA | Célula | Modbus 502 o S7 102, solo hacia sus PLC | Que otras IP escriban en el PLC |
| Célula A | Célula B | Solo los datos que intercambian | Todo lo demás |
Política: denegar todo y permitir solo lo necesario. En OT es fácil, porque se sabe quién habla con quién.
10 min
Volvemos con el endurecimiento y con MQTT
Endurecer un S7-1200
- Nivel de acceso con contraseña (Protección y seguridad): nadie carga ni cambia el programa sin ella.
- PUT/GET apagado si no se usa.
- Servidor web apagado, o con usuarios y HTTPS.
- Firmware al día, después de probarlo. Desde V4.5: comunicación segura con TIA y HMI, y contraseña para la configuración confidencial.
- Programa que valida las consignas que llegan por la red.
Y en la red
- Puertos del switch que no se usan, apagados.
- Contraseñas de fábrica cambiadas en switches, HMI y routers.
- Inventario: qué hay, dónde y con qué firmware.
- Respaldos de PLC, HMI y SCADA fuera de la red, y probados.
Lo que más se olvida en planta
Acceso remoto
VPN con MFA a un servidor de saltos, habilitado solo cuando hace falta. Nada de módems escondidos.
USB y laptops
Estación de limpieza antes de conectar nada a OT. Laptops de terceros, a una red separada.
Antimalware
En OT, lista blanca de aplicaciones: solo corre lo autorizado.
Parches
Probar, respaldar, aplicar en parada. Si no se puede, compensar con segmentación.
Monitoreo
Un IDS pasivo por puerto espejo avisa de escrituras raras sin tocar el control.
Disponibilidad ≠ seguridad
UPS y anillos protegen contra fallas, no contra atacantes. Las dos hacen falta.
Seguridad en las comunicaciones
Zonas, casos reales y endurecimiento. La primera pregunta siempre es la de las zonas.
IoT industrial
Sacar los datos de la planta sin abrirla
Del sondeo a la publicación
Modbus: preguntar todo el tiempo
- El cliente pide cada dato, cambie o no.
- Hay que conocer la IP y el mapa de cada equipo.
- Para leer desde afuera, hay que abrir un puerto hacia adentro.
MQTT: avisar cuando hay algo
- El equipo publica en un tópico; quien quiera, se suscribe.
- Un broker reparte: nadie conoce a nadie.
- La conexión sale de la planta: no se abren puertos de entrada.
- Liviano: funciona por 4G y enlaces malos.
Corrección respecto de la 1ª versión: MQTT estaba dentro de la U4; el contenido mínimo lo pone en IoT industrial, en la U3.
Tópicos y comodines
Los tópicos son jerárquicos, separados por /:
planta/linea1/tanque1/temperatura
planta/linea1/energia
planta/linea2/estado
+ = un nivel · # = todos los que siguen (al final)
¿Qué recibe cada filtro?
planta/# → los tres
planta/+/energia → energia
planta/linea1/+ → energia ✗ temperatura
planta/linea1/# → temperatura y energia
QoS: elegir bien
| QoS | Garantía | Paquetes | Cuándo |
|---|---|---|---|
| 0 | Como máximo una vez: se puede perder | 1 | Mediciones frecuentes para tendencias |
| 1 | Al menos una vez: puede duplicar | 2 o más | Alarmas y eventos (un duplicado no hace daño) |
| 2 | Exactamente una vez | 4 o más | Contadores que se suman, órdenes que no se pueden repetir |
Retenido
El broker guarda el último valor: quien se conecta después lo recibe al instante. Ideal para estados.
Última voluntad (LWT)
Si un equipo se cae sin avisar, el broker publica por él: offline.
Una arquitectura IIoT típica
Desde el S7-1200
Directo con la librería LMQTT de Siemens, o a través del equipo edge.
Sparkplug B
Ordena los tópicos y los datos, y avisa cuándo un equipo “nace” o “muere”.
MQTT seguro
TLS, credenciales o certificados por equipo y permisos por tópico. QoS es fiabilidad, no seguridad.
Lo que viene a las redes industriales
TSN
Normas IEEE 802.1 para que el Ethernet estándar garantice tiempos compartiendo red con TI y video.
Ethernet-APL
Ethernet de 2 hilos con energía hasta el instrumento, apto para zonas Ex. Sucesor de PA y HART.
5G privado
Para lo que se mueve: robots móviles, AGV, equipos portátiles.
OPC UA
Modelo de datos con seguridad incorporada, de la máquina a la nube. Es la S6.
IoT industrial y MQTT
QoS, tópicos, retenidos y arquitectura. Pueden usar el laboratorio: /lab/mqtt.html
Lo que hoy suma a su diseño
Zonas y conductos
Dibújenlos sobre su diagrama: qué zona, qué conducto, qué lo protege y qué deja pasar.
Acceso remoto
Cómo entra el integrador sin dejar la red de control expuesta.
Cinco medidas concretas
De endurecimiento, para sus PLC y su red. Concretas: “PUT/GET apagado en las CPU de la línea B”.
Datos hacia arriba
Si eligen MQTT: tópicos y QoS. Si eligen OPC UA, lo terminamos el lunes.
Lo que vimos hoy
- Los protocolos clásicos no autentican: la protección viene de la red, del programa y del proceso.
- OT prioriza la disponibilidad; nada se actualiza ni se reinicia sin probar.
- Zonas y conductos (IEC 62443) con DMZ: nada cruza directo de TI a OT.
- Endurecer: nivel de acceso, servicios apagados, firmware probado, respaldos fuera de la red.
- MQTT: publicar y suscribirse con un broker; QoS 0, 1 y 2; retenido y última voluntad; TLS siempre.
S6 · OPC UA, modelos de comunicación y defensa
Veremos
- Los cuatro modelos de comunicación, lado a lado
- OPC UA: espacio de direcciones, suscripciones y seguridad
- Evaluación de cierre (20 %)
- Defensa del trabajo final
Para llevar
- El documento final se entrega después de la defensa: miércoles 11, 23:59
- Diapositivas de la defensa listas (máximo 5, para 3 minutos)
- UaExpert y Prosys OPC UA Simulation Server instalados (gratis)
Ticket de salida
Gracias
El ataque Modbus y el laboratorio de MQTT quedan en el aula