Zero Trust sin agentes para cada máquina de su planta.
La mayoría de dispositivos OT no admiten agentes de seguridad. Aplique el acceso, la segmentación y la auditoría desde la red. Nada que instalar en las máquinas, y el dispositivo nunca cambia.
Última actualización:
El Zero Trust sin agentes sitúa el punto de control en la red y no en el dispositivo. Una capa superpuesta (overlay) se coloca junto a su red OT e intermedia cada sesión.
Antes de que el tráfico llegue al PLC, la HMI o el servidor SCADA, esa capa:
- comprueba quién es el usuario
- comprueba qué tiene permitido hacer
- registra la sesión
El activo no instala nada y nunca cambia. El Access Gate de Trout Software funciona así.
El control bloquea lo que la monitorización solo señala.
La mayoría de la seguridad OT sin agentes es pasiva. Observa el tráfico y señala anomalías. Es útil, pero una herramienta pasiva ve un comando malicioso solo cuando ya ha llegado al PLC. Un proxy industrial en la ruta de acceso funciona de otra forma. Termina la sesión, comprueba el usuario y el comando exacto contra la política, y reenvía solo lo autorizado. Deniega un ataque en tiempo real en lugar de informarlo después. El Access Gate de Trout es este tipo de punto de control: puede denegar el comando, no solo alertar.
Monitorización pasiva
Detecta anomalías a posteriori y no puede bloquear un comando en mitad de la sesión. Aporta visibilidad, pero ningún control. Por sí sola, deja el activo accesible.
Proxy industrial en la ruta de acceso
Autentica al usuario, autoriza el comando exacto, registra la sesión y deniega en tiempo real todo lo que quede fuera de la política. Conoce los protocolos de OT (Modbus, DNP3 y más), no es un proxy inverso genérico.
Diseñado para la resiliencia en OT. Los procesos industriales anteponen la disponibilidad. Por eso el proxy funciona con conmutación por error y una vía de emergencia (break-glass). Los operadores siempre alcanzan el activo en una emergencia, y un solo fallo nunca detiene el proceso.
¿Por qué los dispositivos OT no pueden ejecutar un agente de seguridad?
El Zero Trust de IT asume que cada dispositivo puede alojar un agente. Ese agente verifica la postura, aplica la política y reporta la telemetría. La mayoría de dispositivos OT no pueden alojarlo. La verdadera pregunta es si el control en la capa de red puede hacer el trabajo del agente.
Sistemas operativos cerrados
Los sistemas operativos propietarios en tiempo real de los PLC y controladores no permiten instalar software de terceros.
Tiempos que no pueden desviarse
Los bucles de control deterministas no toleran la fluctuación (jitter) que introduce un agente. Unos pocos milisegundos son un fallo.
Garantías que se anulan
El soporte y las garantías del proveedor de OT suelen anularse en el momento en que software de endpoint toca el dispositivo.
¿Qué sustituye al agente en la seguridad OT sin agentes?
Cuando el activo no puede alojar software de seguridad, el punto de control se traslada al perímetro que hay delante de él. Cada capacidad siguiente es lo que el agente habría hecho, entregada en la capa de red en su lugar.
Acceso ligado a la identidad
La MFA se aplica en el perímetro de red contra su proveedor de identidad. Cada sesión se vincula a un usuario con nombre, no a una credencial compartida o de servicio, y el activo nunca ve la identidad directamente.
Autorización por sesión
La política es por activo, por protocolo y por sesión. Un usuario puede leer un registro Modbus en un PLC y que se le deniegue la escritura en otro, dentro de la misma sesión autenticada.
Auditoría a prueba de manipulaciones
Cada sesión se registra con usuario, hora, activo, protocolo y carga útil. Los registros se encadenan mediante hash y se firman, de modo que sirven como evidencia de auditoría, no solo como alertas.
Microsegmentación
Una capa superpuesta aplica límites por activo sobre la red existente, alineados con las zonas y conductos de IEC 62443. La topología de capa 2 no cambia, así que los activos de seguridad y de control pueden compartir una VLAN y aun así permanecer aislados.
Cifrado para protocolos heredados
Modbus, DNP3, OPC UA y EtherNet/IP se envuelven en TLS en el perímetro y se reenvían de forma nativa al activo. El dispositivo no necesita admitir TLS por sí mismo.
Acceso de proveedores justo a tiempo
Las sesiones de proveedores y contratistas están acotadas, limitadas en el tiempo y son revocables, y el acceso se cierra automáticamente cuando la sesión termina. Este es el acceso remoto controlado de proveedores que exigen NERC CIP-003-9 y NIS2, sin accesos permanentes ni credenciales compartidas.
Access Gate se adapta a tu red
Elige tu entorno para ver dónde se ubica el Access Gate, qué nivel de cobertura Zero-Trust obtienes y el camino de migración, desde cobertura completa hasta cobertura parcial.
Preguntas sobre Zero Trust sin agentes para OT.
Traslade el punto de control del dispositivo a la red. Un proxy industrial se sitúa en la ruta de acceso, delante del PLC, el HMI o el servidor SCADA. Autentica al usuario, comprueba el comando exacto contra la política y registra la sesión. Todo ocurre antes de que nada llegue al activo. La monitorización pasiva señala un comando malicioso solo después de enviarse. El proxy lo deniega en tiempo real. Funciona con conmutación por error y una vía de emergencia (break-glass), para que el control nunca cueste disponibilidad. El Access Gate de Trout funciona así y ha sido validado por una armada de la OTAN para sus cargas de trabajo más críticas.
El Zero Trust sin agentes aplica el acceso basado en identidad, la segmentación y la auditoría sin instalar software en el activo protegido. El control ocurre en un perímetro de red delante del activo, no dentro de él. Es la postura práctica para el OT heredado, donde la mayoría de los dispositivos no pueden alojar un agente.
Tres razones. Los sistemas operativos propietarios en tiempo real de los PLC y controladores industriales no permiten software de terceros. Los bucles de control deterministas no toleran la fluctuación de tiempos (jitter) que introduce un agente. Y las garantías del proveedor de OT suelen anularse si se instala software de endpoint.
No. La monitorización pasiva señala anomalías a posteriori. No puede bloquear un comando malicioso en una sesión de acceso remoto activa antes de que se envíe. El Zero Trust sin agentes añade control en el perímetro de red. Puede denegar una sesión en tiempo real, y además registrarla.
Un firewall pregunta si un puerto está permitido entre dos subredes. El Zero Trust sin agentes pregunta si este usuario concreto, en esta sesión concreta, puede enviar este comando concreto a este activo concreto, ahora mismo. El firewall aplica el control en la capa 4. El Zero Trust lo aplica en la capa de aplicación, con vinculación de identidad, atribución de sesión y registro completo de la carga útil.
Access Gate es un appliance local que intermedia el acceso a los activos OT. Se conecta junto a su red existente, así que la producción sigue operando si se cae. Cada sesión termina en el appliance. La autenticación, la autorización y el registro ocurren allí, antes de que el tráfico llegue al activo. El activo no instala nada y nunca ve directamente la identidad del usuario.
La pasarela es el primer servicio que despliega, no el último.
Proteja sus plantas hoy. Controle su digitalización mañana.
Access Gate pone la capacidad de cómputo en la red, junto a sus activos. Una vez instalada la pasarela, el mismo equipo aloja los servicios que integran el OT de forma segura: acceso remoto, pasarelas de protocolo, DNS y hora, historian, servidor de actualizaciones. Acelere su digitalización, sin perder el control.