En un entorno industrial, la ciberseguridad no consiste únicamente en proteger información: significa preservar la producción, la seguridad de los procesos, los activos y la continuidad del negocio. Protocolos ampliamente utilizados, como Modbus TCP o EtherNet/IP, fueron concebidos para facilitar comunicaciones fiables y disponibles, no para afrontar las amenazas actuales. Por ello, no basta con instalar un cortafuegos entre la planta y la red corporativa.
La protección debe comenzar en los controladores, reguladores, equipos de supervisión y dispositivos periféricos conectados a las líneas de producción. Identificar qué protocolos utiliza cada activo, qué puertos necesita y qué sistemas pueden comunicarse con él es el primer paso para aplicar una estrategia eficaz de defensa en profundidad.
Por qué los protocolos industriales requieren una protección específica
Las redes de tecnologías de la información y las de tecnologías de la operación tienen prioridades diferentes. En TI suele preocupar especialmente la confidencialidad de los datos. En OT, una alteración aparentemente pequeña puede detener una línea, modificar una consigna, afectar a la calidad del producto o provocar que un equipo opere fuera de las condiciones previstas.
Muchos protocolos industriales tradicionales se diseñaron para redes aisladas y entornos controlados. Por esa razón, pueden carecer de mecanismos nativos robustos de autenticación, cifrado o validación de la identidad de los dispositivos. Esto no implica que deban dejar de utilizarse, sino que su riesgo debe compensarse mediante controles adicionales.
También es importante diferenciar entre protocolo, puerto y servicio. Un puerto abierto no constituye por sí solo una vulnerabilidad, pero sí amplía la superficie expuesta. Además, cerrar un puerto sin conocer el proceso puede interrumpir comunicaciones esenciales. La decisión correcta exige comprender qué función cumple cada conexión.
Protocolos habituales y riesgos que deben evaluarse
Modbus TCP
Modbus continúa siendo una solución frecuente por su sencillez e interoperabilidad. Sin embargo, su diseño original no incorpora autenticación ni cifrado. Si un equipo no está adecuadamente aislado, un sistema con acceso a la red podría intentar leer registros o enviar órdenes de escritura.
El puerto asociado habitualmente a Modbus TCP es el TCP 502. Antes de autorizarlo en un cortafuegos conviene determinar qué maestro necesita comunicarse con qué dispositivo, si la operación requiere lectura y escritura, y si pueden limitarse las funciones permitidas.
EtherNet/IP
EtherNet/IP utiliza el protocolo industrial común CIP y puede manejar comunicaciones cíclicas de control, configuración y diagnóstico. Habitualmente emplea TCP 44818 para mensajería explícita y UDP 2222 para determinados intercambios de datos en tiempo real.
Autorizar estos puertos de forma general entre segmentos puede generar una exposición innecesaria. Es preferible establecer reglas concretas por origen, destino, dirección del tráfico y función operativa. Las necesidades exactas deben verificarse siempre en la documentación del fabricante y en la arquitectura real.
Servicios de administración, diagnóstico y descubrimiento
Los equipos modernos pueden incluir interfaces web, herramientas de configuración, sincronización horaria, resolución de nombres o servicios de descubrimiento. Aunque facilitan la puesta en marcha y el mantenimiento, no todos tienen que permanecer habilitados durante la operación normal.
Un caso habitual es el de un controlador cuya interfaz de administración queda accesible desde toda la red de planta después de la fase de comisionado. El equipo funciona correctamente, pero la superficie de ataque es mayor de la necesaria. La medida adecuada sería restringir esa interfaz a una estación de ingeniería autorizada o a una red específica de mantenimiento.
Como referencia para revisar funciones y comunicaciones admitidas por determinados equipos, puede consultarse la información de buenas prácticas sobre protocolos y puertos industriales de Watlow. La lista técnica debe contrastarse con el modelo, el firmware y la configuración utilizados en cada instalación.
Defensa en profundidad: controles que se complementan
La defensa en profundidad evita depender de una única barrera. Su objetivo es que, si una medida falla o una credencial se ve comprometida, existan otros controles capaces de limitar el acceso, la propagación y el impacto.
- Inventario de activos: registrar controladores, HMI, variadores, instrumentos, gateways, servidores y estaciones de ingeniería, incluyendo modelo, firmware y función.
- Segmentación: separar la red corporativa, las celdas de producción, los sistemas de supervisión y las zonas de mantenimiento según sus necesidades reales.
- Filtrado de comunicaciones: permitir únicamente los flujos imprescindibles entre orígenes y destinos conocidos.
- Configuración segura: desactivar protocolos, cuentas y servicios que no sean necesarios; sustituir credenciales predeterminadas cuando el equipo lo permita.
- Acceso remoto controlado: evitar la exposición directa de dispositivos industriales y utilizar mecanismos con autenticación, autorización, registro y caducidad.
- Supervisión: detectar nuevos equipos, cambios de configuración, conexiones anómalas y tráfico que no corresponda al funcionamiento esperado.
- Gestión del ciclo de vida: evaluar actualizaciones, vulnerabilidades y obsolescencia sin comprometer la disponibilidad del proceso.
Ninguna de estas medidas debe aplicarse de forma aislada. Por ejemplo, segmentar una línea aporta poco si las reglas permiten cualquier tráfico entre las zonas o si una estación de ingeniería puede conectarse sin controles desde redes no confiables.
Lista de comprobación para revisar protocolos y puertos
Antes de modificar una red OT, conviene realizar una revisión ordenada. Esta lista ayuda a diferenciar las comunicaciones necesarias de las que permanecen abiertas por defecto o por decisiones antiguas:
- Identificar el activo y su función. Determinar qué ocurriría en el proceso si dejara de comunicar o recibiera una orden incorrecta.
- Enumerar protocolos y servicios. Incluir comunicaciones de control, programación, supervisión, diagnóstico, sincronización y descubrimiento.
- Documentar los flujos. Registrar origen, destino, puerto, protocolo de transporte, dirección y motivo operativo.
- Clasificar cada conexión. Distinguir si es permanente, temporal, exclusiva de mantenimiento o innecesaria.
- Aplicar el mínimo privilegio. Autorizar solo los equipos, funciones y periodos requeridos.
- Comprobar la configuración del dispositivo. Revisar cuentas, contraseñas, certificados, permisos y servicios habilitados, según las capacidades del fabricante.
- Probar antes de desplegar. Validar los cambios en un entorno controlado o durante una ventana planificada, con posibilidad de reversión.
- Supervisar después del cambio. Confirmar que no aparecen pérdidas de comunicación, alarmas, degradaciones de rendimiento ni conexiones imprevistas.
- Mantener la documentación. Actualizar diagramas, reglas, responsables y justificación de cada excepción.
Errores frecuentes al proteger comunicaciones industriales
Trasladar directamente criterios de TI a la planta es uno de los errores más comunes. Un escaneo activo, un reinicio automático o una actualización sin pruebas pueden afectar a equipos sensibles o interrumpir un proceso continuo.
Otro problema es bloquear puertos basándose únicamente en una lista genérica. Un mismo dispositivo puede utilizar servicios diferentes según su configuración, firmware o integración. Antes de cerrar una comunicación es necesario comprobar su función y preparar un procedimiento de recuperación.
También debe evitarse la confianza excesiva en el aislamiento. Una red sin conexión directa a Internet puede recibir archivos, portátiles de mantenimiento, memorias extraíbles o equipos temporales. El aislamiento reduce el riesgo, pero no sustituye el control de accesos, el endurecimiento de los dispositivos ni la supervisión.
Por último, actualizar indiscriminadamente tampoco es una buena práctica. Los parches deben evaluarse considerando compatibilidad, criticidad, parada necesaria, alternativas de mitigación y posibilidad de volver a la versión anterior. En sistemas regulados o validados pueden requerirse, además, procedimientos específicos.
Cuándo conviene solicitar apoyo especializado
La intervención profesional resulta especialmente recomendable cuando no existe un inventario fiable, hay equipos heredados sin soporte, se conectan nuevas líneas a redes existentes o se necesita habilitar acceso remoto. También cuando una modificación de seguridad puede afectar a recetas, registros, lazos de control, comunicaciones deterministas o requisitos de validación.
La revisión debe combinar conocimientos de redes, automatización y proceso. No se trata únicamente de saber qué puerto utiliza un protocolo, sino de comprender qué variable transporta, quién necesita modificarla y qué impacto tendría una comunicación no disponible o manipulada.
La seguridad OT comienza con una arquitectura comprensible
Proteger protocolos industriales exige conocer los activos, reducir comunicaciones innecesarias y aplicar controles proporcionados al riesgo operativo. La meta no es cerrar todos los puertos, sino permitir solo los flujos justificados y mantener capacidad para detectar, contener y recuperar el proceso ante una incidencia.
En proyectos de automatización y control, FLUX INGENIEROS integra esta perspectiva técnica al analizar procesos y diseñar sistemas con instrumentación, controladores y explotación de datos. Una arquitectura bien documentada y segmentada facilita tanto la operación diaria como una evolución segura de la instalación.
