Mapa de segmentación de red SCADA
Coloca controles en un mapa de planta basado en Purdue y contén cadenas de ataque reales publicadas sin romper los flujos que la planta necesita.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
La segmentación es el control OT de mayor impacto, y es un problema de arquitectura, no una lista de verificación. Este laboratorio es un mapa: construyes un único diseño de planta a través de los niveles de Purdue (TI corporativa, una DMZ entre TI y OT, la red SCADA/HMI y la capa de PLC y campo con su sistema de seguridad) colocando controles como un cortafuegos perimetral, un jump host intermediado, un cortafuegos OT, un diodo de datos unidireccional, MFA y un SIS aislado. Después, cadenas de ataque reales y publicadas recorren tu mapa: credenciales robadas por phishing hacia SCADA (Ucrania 2015), una vía de acceso remoto expuesta a internet hasta una HMI (Oldsmar 2021) y el ransomware corporativo presionando sobre OT (Colonial Pipeline 2021). La ruta de ataque se detiene exactamente donde tu diseño la defiende. La trampa: dos controles son excesos de segmentación que frenan al atacante pero rompen los flujos que la planta necesita. Se puntúa con notas de la S a la D. Es un laboratorio Pro.
- Coloca controles en el mapa de planta: cortafuegos perimetral, jump host en la DMZ, cortafuegos OT, diodo de datos, MFA, SIS aislado y más.
- Observa cómo la ruta de ataque se actualiza en vivo al activar o desactivar cada control.
- Contén todas las cadenas de ataque antes de que lleguen a las capas de campo y de seguridad.
- Evita los controles trampa que cortan el historiador o el soporte del proveedor; los niveles de dificultad añaden escenarios y un bono por velocidad.
Preguntas frecuentes
¿Qué enseña el mapa de segmentación de red SCADA?
Enseña la segmentación de redes OT como arquitectura y no como teoría. Construyes un único diseño de planta a través de los niveles de Purdue (TI corporativa, una DMZ entre TI y OT, la red SCADA/HMI y la capa de campo con un sistema de seguridad) colocando controles como un cortafuegos perimetral, un jump host de intermediación de accesos, un cortafuegos OT, un diodo de datos unidireccional hacia una réplica del historiador, MFA en el acceso remoto, ninguna ruta directa de la red corporativa a los PLC y un sistema de seguridad aislado. Después se lanzan contra tu diseño cadenas de intrusión publicadas y ves exactamente dónde se detiene cada una.
¿Qué incidentes reales se modelan?
Tres intrusiones OT documentadas públicamente: el ataque a la red eléctrica de Ucrania de 2015 (spear-phishing, credenciales robadas reutilizadas por acceso remoto hacia SCADA, sin MFA), el suceso de la potabilizadora de Oldsmar de 2021 (un servicio de acceso remoto o escritorio compartido expuesto a internet usado para llegar a la HMI de un operador) y el ransomware de Colonial Pipeline de 2021 (un compromiso de TI cuya separación incierta de OT obligó a una parada operativa preventiva). Cada uno se presenta al nivel de arquitectura publicado: el laboratorio trata de la segmentación que los contendría, no de cómo se llevaron a cabo.
¿Por qué se penalizan algunos controles?
Porque el exceso de segmentación es un modo de fallo real. Aislar por completo la red SCADA o cortar el flujo del historiador detendrá al atacante, pero también impedirá que la planta reporte datos y reciba soporte intermediado del proveedor. La seguridad que para la operación acaba esquivada o desactivada. Una buena segmentación intermedia y monitoriza los flujos que la planta necesita (datos unidireccionales al historiador, acceso remoto a través de jump host) en lugar de cortarlos, así que el laboratorio te resta por romper un flujo necesario igual que por dejar una ruta abierta.
¿Se basa en una red real?
No. Es un modelo educativo de la arquitectura de referencia Purdue y de la segmentación por zonas y conductos de ISA/IEC 62443, con nodos y flujos sintéticos. Las cadenas de ataque se generalizan a partir de informes públicos de incidentes. No contiene detalles de explotación ni instrucciones para atacar ningún sistema: es un ejercicio de diseño sobre dónde poner los límites.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.