Laboratorio de ataque a Modbus
Ataca una red Modbus/TCP simulada con escrituras sin autenticación y después demuestra con controles compensatorios que el mismo ataque ya falla.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Modbus no tiene autenticación: cualquier host que llegue al puerto 502 puede leer y escribir cada coil y cada registro. En este rango simulado y seguro, con cuatro esclavos (bomba, válvula, interruptor y sensor de tanque) y un mapa completo de coils y registros, atacas una pequeña red Modbus desde una consola: lees con FC1–4 y escribes con FC5/6/15/16 para disparar un interruptor, parar una bomba o enmascarar la alarma de un tanque, con escrituras sin autenticar que simplemente se aceptan. Después cambias de lado y añades los controles compensatorios (segmentación de red, lista de orígenes permitidos, una pasarela de solo lectura y DPI de los códigos de función de escritura) y vuelves a ejecutar exactamente el mismo ataque grabado para demostrar que ahora falla. Se puntúan los objetivos logrados como atacante y si elegiste los controles que de verdad bloquean las escrituras (no los que solo detectan), con una nota de S a D y niveles Rookie, Pro y Elite. La lección: Modbus no tiene autenticación, integridad ni cifrado, así que no puedes arreglar el protocolo; compensas a su alrededor en la capa de arquitectura. Nada de aquí toca una red real. Es un laboratorio Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
- Como atacante, envía peticiones Modbus desde la consola (lectura FC1–4, escritura FC5/6/15/16) para lograr los objetivos.
- Observa cómo cada escritura se acepta sin autenticación.
- Como defensor, activa controles compensatorios: segmentación, lista de orígenes permitidos, pasarela de solo lectura o DPI de escrituras.
- Vuelve a ejecutar el ataque grabado para comprobar que ahora se bloquea, y revisa tu nota de S a D.
Preguntas frecuentes
¿Qué es el laboratorio de ataque a Modbus?
Un ejercicio en el navegador construido sobre una red Modbus/TCP simulada. Primero haces de atacante: desde una consola envías códigos de función Modbus (leer coils, entradas o registros con FC1–4, escribir con FC5/FC6/FC15/FC16) contra cuatro dispositivos esclavos para lograr objetivos: disparar un interruptor, parar una bomba, sobreexigir una bomba, forzar una válvula o enmascarar la alarma de un tanque. Todas las escrituras se aceptan sin iniciar sesión. Después pasas a defensor, activas controles compensatorios y vuelves a ejecutar tu ataque grabado para confirmar que ahora queda bloqueado. Nada toca una red real.
¿Por qué Modbus no tiene autenticación?
Modbus se diseñó en 1979 para enlaces serie de confianza entre un controlador y sus E/S, mucho antes de las amenazas en red. El protocolo no tiene ningún concepto de identidad, contraseñas, firma de mensajes ni cifrado, y Modbus/TCP simplemente trasladó ese diseño confiado al puerto 502. Cualquier host que pueda enrutar hasta un esclavo está implícitamente autorizado para leerlo y escribirlo, que es justo lo que demuestra la fase de ataque de este laboratorio.
Si no puedo añadir autenticación, ¿cómo lo defiendo?
Con controles compensatorios alrededor del protocolo, no dentro de él. Los eficaces en este laboratorio son la segmentación de red (aislar el segmento OT para que la red corporativa no llegue al :502), la lista de orígenes permitidos (permitir Modbus solo desde la estación de trabajo de ingeniería), una pasarela de datos de solo lectura o un diodo (dejar que los historiadores lean pero descartar los códigos de función de escritura) y la DPI que entiende el protocolo y bloquea los códigos de función de escritura desde orígenes no autorizados. El laboratorio también incluye controles que parecen seguridad pero no bloquean nada (solo registrar, limitar la tasa de un puñado de escrituras o exigir TLS a esclavos heredados que no lo hablan), y la nueva prueba demuestra que fallan.
¿Es una red Modbus real?
No. Es una simulación didáctica que funciona íntegramente en tu navegador: sin PLC reales, sin conexiones TCP, sin puerto 502 y sin que nada salga de la página. Los dispositivos, el mapa de registros, los objetivos y los controles son inventados para que el ataque y los controles compensatorios sean concretos y seguros de practicar.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.