Laboratorio de software HMI y SCADA
Lee una pantalla HMI y su banner de exposición en software SCADA real (WinCC, Wonderware, iFIX, Ignition) y elige el riesgo principal y la corrección.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Una HMI de aspecto tranquilo puede estar en el peor equipo de la red. En 12 rondas lees la pantalla de una HMI y su banner de exposición en software SCADA real (Siemens WinCC/SIMATIC, AVEVA/Wonderware InTouch, GE iFIX, Inductive Automation Ignition, Rockwell FactoryTalk y Schneider) y eliges el riesgo principal y la corrección. Los riesgos son clases reales de CVE: credenciales por defecto o codificadas (la contraseña de WinCC que usó Stuxnet, CVE-2010-2772), HMI expuestas a internet según Shodan y CISA, RCE sin parchear y falta de autenticación en una función crítica (CWE-306). El hábito que entrena el laboratorio es leer primero el banner de exposición y corregir por orden de impacto: cuando una HMI está expuesta a internet, tiene credenciales por defecto y está sin parchear a la vez, primero cortas la accesibilidad (fuera de internet, detrás de una VPN y segmentada) y después rotas credenciales, parcheas y exiges autorización. Se puntúa con notas de la S a la D. Solo desde el punto de vista del defensor: productos reales y clases documentadas, sin código de explotación, sin payloads y sin credenciales reales. Es un laboratorio Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
- En cada ronda, lee la pantalla HMI del producto y su banner de exposición (expuesta a internet, credenciales por defecto, CVE sin parchear, red plana).
- Elige el riesgo principal: credenciales por defecto o codificadas, exposición a internet, RCE o bypass de autenticación sin parchear, o falta de autenticación en una función crítica.
- Elige la corrección que corresponde al riesgo; si se cumplen varios a la vez, corta primero la accesibilidad.
- Lee la explicación de cada ronda y revisa tu nota final de la S a la D.
Preguntas frecuentes
¿Qué es el laboratorio de software HMI y SCADA?
Un ejercicio de triaje en el navegador. En cada ronda ves la pantalla HMI de un producto SCADA/HMI real (Siemens WinCC/SIMATIC, AVEVA/Wonderware InTouch, GE iFIX, Inductive Automation Ignition, Rockwell FactoryTalk o Schneider) junto con un banner de exposición (expuesta a internet, credenciales por defecto, CVE sin parchear, red plana). Lees ambos y eliges el riesgo principal y la corrección que le corresponde. Es una simulación formativa desde el punto de vista del defensor que usa nombres de productos reales y clases de CVE documentadas; no hay código de explotación, ni payloads, ni credenciales reales.
¿Qué vulnerabilidades reales menciona?
La única CVE concreta en la que se apoya es la contraseña codificada de la base de datos SQL de Siemens WinCC, CVE-2010-2772, que Stuxnet usó para llegar a la base de datos de WinCC: un caso de credencial codificada muy documentado. Todo lo demás se describe como clase de CVE en lugar de con números de CVE inventados: credenciales por defecto o codificadas, falta de autenticación en una función crítica (CWE-306) y problemas sin parchear de ejecución remota de código o de bypass de autenticación, las categorías que estos productos muestran una y otra vez en los avisos ICS de CISA. Los escenarios de exposición a internet reflejan la constatación real y generalizada de que las HMI se descubren con frecuencia en internet a través de Shodan y de los informes de CISA.
¿Cómo priorizar cuando se dan varios problemas a la vez?
Corta primero la accesibilidad. Si una HMI está expuesta a internet, sacarla de internet (detrás de una VPN y segmentada en la zona OT) reduce al instante el conjunto de atacantes de todo internet a tu propia red, algo más rápido y barato que rotar credenciales o parchear. Después de la accesibilidad, rota las credenciales por defecto o codificadas y exige MFA, aplica el parche del fabricante para cualquier CVE conocida (o segmenta y monitorea cuando no hay parche) y exige autorización en cualquier función crítica que no la tenga. La ronda del peor caso del laboratorio entrena justo este orden.
¿Por qué siguen apareciendo HMI expuestas a internet?
Normalmente por comodidad: un operador o un integrador quiere visibilidad remota y asigna una IP pública o redirige un puerto, a menudo hacia una HMI empaquetada con servidor web integrado. El equipo queda entonces en internet con las credenciales por defecto y el software sin parchear con los que se entregó. Los escaneos de Shodan y los avisos de CISA los sacan a la luz una y otra vez. La corrección es tanto de política como técnica: ninguna HMI ni pasarela SCADA debe estar expuesta directamente a internet; el acceso remoto va detrás de una VPN o de un jump host, con el equipo segmentado dentro de la red OT.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.