Laboratorio de debilidades de protocolos SCADA
Lee la vista en el cable de una trama y empareja debilidad y mitigación en Modbus/TCP, DNP3, IEC 104, IEC 61850, S7comm y OPC-UA, según versión y modo de seguridad.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
El riesgo de un protocolo industrial lo fija su versión y su modo de seguridad, no su nombre. Modbus/TCP, IEC 60870-5-104 y el S7comm clásico no tienen ningún campo de autenticación; DNP3 puede activar Secure Authentication v5; OPC-UA va de totalmente abierto (SecurityMode None) a totalmente protegido (Sign & Encrypt); e IEC 61850 GOOSE es multidifusión de capa 2 sin autenticar salvo que se aplique la firma de IEC 62351. En cada una de las 12 rondas lees una vista en el cable de la trama, nombras la debilidad concreta (sin autenticación, repetición o suplantación, texto en claro, suplantación de GOOSE en capa 2 o ya autenticado) y eliges la mitigación que encaja con esa versión exacta. Las trampas según la versión son la clave: DNP3 normal se puede suplantar pero DNP3-SA v5 no; OPC-UA None está abierto de par en par pero Sign & Encrypt es el protocolo bien hecho; GOOSE por defecto se suplanta pero la firma IEC 62351-6 lo cierra. Se puntúa con notas de la S a la D. Es educativo y desde la óptica del defensor, con debilidades y mitigaciones tomadas de la documentación pública de los protocolos y de la orientación ICS de la CISA, sin código de explotación, sin payloads y sin tráfico real. Es un laboratorio Pro.
- Lee la vista en el cable de la trama en cada una de las 12 rondas.
- Fíjate en el protocolo, la versión y el modo de seguridad.
- Nombra la debilidad concreta: sin autenticación, repetición o suplantación, texto en claro, suplantación de GOOSE en capa 2 o ya autenticado.
- Elige la mitigación que encaja con esa versión exacta y revisa tu nota de la S a la D.
Preguntas frecuentes
¿Qué enseña el laboratorio de debilidades de protocolos SCADA?
Enseña a juzgar el riesgo real de un protocolo industrial por su versión y su modo de seguridad, no solo por su nombre. En doce rondas ves Modbus/TCP, DNP3 con y sin Secure Authentication v5, IEC 60870-5-104, IEC 61850 GOOSE y MMS (con y sin IEC 62351), Siemens S7comm frente a S7CommPlus y OPC-UA con SecurityMode None, Sign y Sign & Encrypt. En cada caso nombras la debilidad concreta y eliges la mitigación que de verdad encaja con esa configuración. Es una simulación didáctica desde la óptica del defensor: sin código de explotación, sin payloads y sin tráfico real.
¿Por qué Modbus, IEC 104 y el S7comm clásico no tienen autenticación?
Se diseñaron para redes industriales privadas y de confianza, antes de las amenazas en red. Modbus (1979), IEC 60870-5-101/104 y el S7comm clásico de Siemens no llevan en la trama ningún campo que demuestre quién envió un mensaje, así que cualquier equipo que llegue al dispositivo se considera de confianza para leerlo y escribirlo. No hay nada que «activar», y por eso la mitigación son controles compensatorios alrededor del protocolo: segmentación de red, lista de permitidos con el maestro legítimo e inspección profunda de paquetes consciente del protocolo para los mensajes de control.
¿Cuándo cambia la versión la respuesta?
A menudo, y de eso trata el ejercicio. DNP3 tiene un Secure Authentication v5 opcional (IEEE 1815) que añade autenticación desafío-respuesta / HMAC de las peticiones de control, desactivado por defecto, así que activarlo es la corrección. El riesgo de OPC-UA depende por completo de su SecurityMode: None es texto en claro sin autenticar, Sign autentica pero deja legibles los datos, y Sign & Encrypt da autenticación mutua, integridad y confidencialidad. IEC 61850 GOOSE es multidifusión de capa 2 sin autenticar salvo que se aplique la autenticación de mensajes de IEC 62351-6. Siemens S7CommPlus añade una integridad antirrepetición que el S7comm clásico no tiene (aunque investigadores han demostrado que puede revertirse, así que no sustituye a los controles de red).
¿Es seguro y legal usarlo?
Sí. Todo se ejecuta en tu navegador contra una simulación didáctica: no hay dispositivo real, ni tráfico de red, ni código de explotación o payloads. Cada ronda describe la debilidad al nivel de la documentación pública del protocolo y de la orientación ICS de la CISA (mecanismo y mitigación), para que aprendas a evaluar y defender tu propio entorno, no a atacar el de otros.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.