Laboratorio del sistema de seguridad TRITON / TRISIS
Defiende un SIS Triconex de Schneider frente a la cadena de ataque de TRITON y mantén armado el disparo de seguridad.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
En 2017, el malware hoy conocido como TRITON (también TRISIS o HatMan) se convirtió en el primer código conocido creado específicamente para atacar un sistema instrumentado de seguridad: los controladores Triconex Tricon de Schneider Electric que existen para llevar un proceso peligroso a un estado seguro. Este laboratorio recorre esa cadena de ataque real y publicada: el salto de IT a OT, la estación de trabajo de ingeniería, el interruptor de llave dejado en PROGRAM, el protocolo propietario TriStation en UDP/1502 y la descarga de lógica de seguridad modificada. Cada ronda es un evento, hostil o legítimo, y eliges la única respuesta correcta del defensor, extraída del análisis posterior al incidente publicado (Dragos, Mandiant, Schneider, CISA). Algunas respuestas equivocadas hacen avanzar la cadena de ataque y dejan al Triconex sin poder disparar; cuando llega la demanda de seguridad, un SIS anulado significa que el proceso alcanza un estado inseguro. Se puntúa conservar el disparo a estado seguro, contrarrestar cada paso de TRITON y no reaccionar en exceso al trabajo de seguridad autorizado, con niveles de dificultad, bonificación por velocidad y una nota de S a D. Las defensas que entrena son las del análisis posterior al incidente y la práctica de IEC 61511: independencia del SIS, llave en RUN fuera de las ventanas de cambio controladas, monitoreo de TriStation/UDP 1502, un programa maestro firmado con el que comparar, pruebas periódicas del disparo y tratar un disparo inexplicado como una posible intrusión. Es un laboratorio Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
- Lee cada evento de la cadena: salto de IT a OT, estación de ingeniería, interruptor de llave, tráfico TriStation y descarga de lógica.
- Distingue un paso de TRITON del trabajo legítimo de seguridad.
- Elige la única respuesta correcta del defensor para mantener el Triconex independiente, monitorizado y capaz de disparar.
- Supera la demanda de seguridad y revisa tu nota de S a D.
Preguntas frecuentes
¿Qué fue el ataque TRITON / TRISIS?
TRITON (también llamado TRISIS o HatMan) fue un malware descubierto en 2017 que atacaba controladores de seguridad Triconex Tricon de Schneider Electric en una instalación petroquímica. Los atacantes comprometieron primero la red de IT, saltaron a la red OT/DCS, llegaron a la estación de trabajo de ingeniería de Triconex y después usaron el protocolo propietario TriStation para descargar lógica de seguridad modificada en el controlador, algo posible porque su interruptor de llave físico se había dejado en modo PROGRAM. Es el primer malware conocido públicamente creado específicamente para atacar un sistema instrumentado de seguridad. Se descubrió cuando un fallo en el propio código del atacante hizo que el controlador pasara a estado seguro y disparara la planta.
¿Por qué es tan importante el interruptor de llave del Triconex?
El Tricon tiene un interruptor de llave físico con posiciones que incluyen RUN y PROGRAM. En RUN, el controlador rechaza los cambios remotos en su programa de seguridad; en PROGRAM (remoto), los acepta. TRITON dependía de que la llave se hubiera dejado en PROGRAM para poder descargar lógica por la red. Mantener la llave en RUN fuera de las ventanas de cambio documentadas y supervisadas es un enclavamiento de hardware que la red no puede anular: la barrera más barata contra esta clase de ataque.
¿Qué es TriStation y por qué importa monitorizar UDP/1502?
TriStation 1131 es el protocolo de ingeniería propietario que se usa para programar los controladores Triconex, transportado por el puerto UDP 1502. No está documentado; los actores de TRITON lo analizaron por ingeniería inversa para comunicarse con el Tricon. Como la ingeniería legítima del SIS es poco frecuente y está programada, cualquier tráfico TriStation/1502 hacia un controlador de seguridad fuera de una ventana de cambio planificada es un indicador de compromiso de alta fidelidad, y por eso monitorizarlo es una detección esencial.
¿Es un controlador de seguridad o un exploit reales?
No. Es una simulación educativa, centrada en el defensor, de la cadena de ataque de TRITON y de los controles que la detienen: segmentación IT/OT, disciplina con el interruptor de llave, monitoreo del protocolo, un programa maestro firmado, independencia del SIS según IEC 61511, pruebas periódicas y tratar un disparo inexplicado como una posible intrusión. No contiene código de exploit, cargas útiles ni instrucciones de ataque; todo se describe al nivel del análisis publicado tras el incidente para que la lección defensiva quede clara.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.