Microsegmentación OT que alimenta su SIEM.
Cómo desplegar la microsegmentación OT como overlay y enviar las alertas, los flujos y los eventos de auditoría directamente a su SIEM. Sin agentes, sin recableado, sin paradas.
Última actualización:
Para hacer microsegmentación OT en la práctica, se añade un overlay junto a la red.
El overlay:
- divide la red en zonas pequeñas
- controla exactamente qué dispositivo puede comunicarse con cuál, por qué protocolo y cuándo
- registra cada sesión y la envía a su SIEM
No requiere ni agentes en los equipos, ni recableado ni paradas. Access Gate de Trout Software funciona así.
Un overlay cumple cuatro funciones.
Descubrir
Construye la línea base de activos y flujos de forma pasiva: escucha en el overlay y en un puerto span o un tap, sin sondeos ni consultas activas a los equipos, de modo que los controladores frágiles nunca se tocan. A partir de esa línea base se dibujan las zonas.
Zonificar
Divide la red en zonas lógicas (zonas y conductos IEC 62443). Cada zona tiene reglas claras: qué dispositivo, lectura o escritura, qué protocolo, qué horas. Sin rediseñar las VLAN.
Aplicar
Comprueba cada conexión, la vincula a una persona y permite solo los flujos que usted ha declarado. Todo lo demás se bloquea y se registra.
Alimentar el SIEM
Envía alertas, flujos y eventos de auditoría a su SIEM por syslog, para que su SOC vea por fin lo que ocurre dentro de la OT.
Hay una decisión de diseño que importa: el overlay funciona junto a la red, no en medio de ella. El tráfico cíclico entre controladores y E/S permanece en el underlay; por el overlay solo pasan las sesiones enrutables de supervisión, ingeniería y proveedores. Así que si el appliance cae, el proceso en marcha no: los controladores y los HMI locales siguen funcionando, y los lazos cíclicos nunca atravesaron el punto de control. Para las sesiones norte-sur gobernadas, fail-open o fail-closed es una decisión por activo, registrada, y el appliance funciona en pareja de alta disponibilidad para que un fallo aislado no sea un punto único de fallo.
El control se aplica a nivel de código de función, analizando el protocolo en el cable en lugar de confiar en el puerto. En concreto: un proveedor de dosificación química puede leer el analizador de cloro (Modbus FC3, lectura de holding registers) pero no puede escribir la consigna de dosificación (FC6 o FC16, escritura de registros) en el puerto 502. Misma sesión, mismo protocolo, una permitida y otra denegada, porque el overlay lee la petición en vez de limitarse a enrutarla. Vea qué es un proxy industrial, seguridad de PLC, zonas y conductos IEC 62443 y Zero Trust sin agentes para OT.
Cómo se conecta a su SIEM.
Access Gate envía los eventos por syslog TCP. Splunk, Elastic, IBM QRadar y Microsoft Sentinel los aceptan de serie, sin conector a medida. Usted elige qué reglas de detección se reenvían, y cada evento lleva cuatro campos sobre los que filtrar y alertar.
| Campo | Qué contiene | Uso en el SIEM |
|---|---|---|
| Evento | Qué ocurrió, en texto claro (un inicio de sesión, un acceso, un flujo bloqueado) | Pista de auditoría, cronología del incidente |
| Técnica MITRE | La técnica MITRE ATT&CK a la que corresponde la regla | Detección de amenazas, correlación |
| Origen | Quién o qué lo disparó (el principal y su IP) | Atribución, alertas |
| Regla | La regla de detección que se activó | Filtrado, alertas guardadas |
La configuración es un destino syslog en el lado de Access Gate y una entrada TCP en el lado del SIEM. Como los eventos están vinculados a una identidad, sirven también como evidencia de auditoría para CMMC, NERC CIP, NIS2 y las normas del agua del DOH y el DEC de Nueva York. Las guías paso a paso están enlazadas al final de esta página.
Qué medidas de NIS2 satisface la segmentación.
El artículo 21(2) enumera diez medidas obligatorias de gestión de riesgos. La segmentación contribuye directamente a seis de ellas y no aporta nada a las demás. Conviene decirlo sin rodeos. Una autoridad supervisora le pedirá que demuestre un control, y una medida reclamada sin evidencia es peor que una brecha marcada con un plan para cerrarla. En la UE, preséntelo con las zonas y conductos de IEC 62443-3-2, porque ese es el lenguaje en el que ya está escrita la evaluación.
| Medida del artículo 21(2) | Qué aporta la segmentación | Evidencia que produce |
|---|---|---|
| (a) Análisis de riesgos y políticas de seguridad | Las zonas y los conductos son el análisis de riesgos, expresado como estructura y no como documento. IEC 62443-3-2 define el sistema bajo consideración, las zonas y el nivel de seguridad objetivo por zona. | Diagrama de zonas y conductos con el SL objetivo, contrastado con la política aplicada. |
| (d) Seguridad de la cadena de suministro | Un proveedor llega al conducto que se le concedió y a nada más. Su alcance lo acota la política, no su propia disciplina. | Matriz de permisos por enclave que muestra exactamente a qué puede llegar cada tercero. |
| (i) Políticas de control de acceso y gestión de activos | La política se escribe por identidad, por activo y por protocolo, y el inventario de activos del que se nutre lo mantiene el mismo sistema que la aplica. | Exportación de la matriz de acceso y un inventario actualizado, de una sola fuente en lugar de dos. |
| (j) Autenticación multifactor | Aplicada en la frontera del enclave, por lo que cubre a los controladores que no pueden implementar MFA por sí mismos y nunca podrán. | Registros de sesión que muestran el factor presentado antes de cada conexión. |
| (b) Gestión de incidentes | Un activo comprometido se aísla por política sin tocar el activo ni parar la línea, de modo que la contención es una decisión y no una parada. | Historial de cambios del aislamiento, con quién lo aplicó y cuándo. |
| (f) Evaluación de la eficacia de las medidas | La política aplicada es la medida y el registro es la evaluación. No hay un ejercicio separado de recopilación de evidencias entre ambos. | Registros de permiso y denegación por conducto, exportables para el periodo revisado. |
Lo que no cubre. La segmentación no aporta nada a (c) continuidad de negocio y copias de seguridad, (e) gestión de vulnerabilidades en adquisición y mantenimiento, (g) higiene cibernética y formación del personal, ni (h) política de criptografía más allá de las sesiones que intermedia. Son programas aparte y deben evidenciarse por separado.
Cómo se compara la microsegmentación en overlay.
| Enfoque | Qué hace | Dónde se queda corto en OT |
|---|---|---|
| Segmentación por firewall / VLAN | Divide la red en zonas y filtra el tráfico norte-sur por IP y puerto en la frontera. | Una etiqueta VLAN es una marca organizativa, no una identidad. No distingue una lectura Modbus de una escritura, y rehacer las VLAN de una planta en marcha implica parar. |
| Microsegmentación con agentes (Illumio, Guardicore) | Aplica políticas host a host con un agente de software en cada carga de trabajo. | La mayoría de los controladores OT, los HMI y las estaciones de ingeniería validadas no pueden alojar un agente ni desconectarse para instalarlo. La cobertura termina en los activos que pueden ejecutar el agente. |
| Visibilidad OT pasiva (Claroty, Nozomi) | Escucha en un puerto span o un tap y construye un inventario de activos y una línea base de anomalías. | Excelente para ver, pero no aplica nada. Le dice que hubo una escritura indebida; no la detiene. Detección sin punto de control. |
| Microsegmentación en overlay (Access Gate) | Añade un overlay sin agentes junto a la red, intermedia las sesiones norte-sur gobernadas con identidad y aplica reglas por flujo a nivel de código de función. | Gobierna el acceso norte-sur enrutable, no el lazo de control cíclico, que permanece en el underlay por diseño. Ese límite es deliberado, no una carencia. |
Las herramientas de visibilidad y un overlay de control son complementarios, no excluyentes: muchas plantas operan una sonda Claroty o Nozomi para el inventario y alimentan tanto la sonda como el SIEM desde el overlay.
Preguntas frecuentes sobre arquitectura y SIEM.
Se añade un overlay junto a la red existente. Divide la red en pequeñas zonas lógicas (alineadas con las zonas y conductos IEC 62443) y controla exactamente qué dispositivo puede llegar a cuál, por qué protocolo y en qué horas. Cada flujo permitido queda declarado explícitamente, y cada flujo bloqueado queda registrado. Como el overlay no renumera la red ni toca los equipos, se evita el rediseño de VLAN y la parada que exige un proyecto de segmentación tradicional.
Access Gate envía sus eventos a su SIEM por syslog TCP (RFC 5424). Splunk, Elastic, IBM QRadar y Microsoft Sentinel los aceptan de serie, sin conector a medida. Usted elige qué reglas de detección se reenvían, y cada evento lleva cuatro campos: la descripción del evento, la técnica MITRE ATT&CK, el origen y la regla que se activó. Eso da al SOC el contexto OT que normalmente le falta.
No. Un overlay aplica la segmentación en la capa de red, así que no necesita software en los PLC, los HMI ni los servidores SCADA. Eso importa en OT, donde la mayoría de los controladores no pueden ejecutar un agente ni desconectarse para instalarlo. Access Gate funciona sin agentes y se despliega sin recableado ni ventana de mantenimiento.
Alertas, flujos y eventos de auditoría. En la práctica: alertas de acceso e inicio de sesión, registros de sesión y de flujo con atribución completa, detecciones de reglas etiquetadas con su técnica MITRE ATT&CK, y eventos de flujo bloqueado. Como los eventos están vinculados a una identidad, sirven directamente como evidencia de auditoría para CMMC, NERC CIP, NIS2 y las normas del agua del DOH y el DEC de Nueva York, no solo para alertar.
Como el overlay no necesita recableado ni agentes, Access Gate se instala en un día por planta. Después, mapea la red y los activos, define las zonas y las reglas, las aplica y dirige el flujo de eventos al SIEM. Tiene visibilidad desde el primer día y endurece las zonas paso a paso, sin parar la producción.
Los eventos salen como syslog RFC 5424 sobre TCP. Para IBM QRadar puede emitirlos en CEF (Common Event Format) o LEEF (Log Event Extended Format). Los DSM de QRadar analizan ambos formatos clave-valor sin conector a medida, de modo que campos como la técnica MITRE ATT&CK y el principal aterrizan en las propiedades correctas de QRadar. Splunk, Elastic y Microsoft Sentinel ingieren el flujo RFC 5424 directamente.
Access Gate registra eventos de acceso, sesión, flujo y flujo bloqueado. No hace captura de paquetes en bruto. Así que el volumen depende de cuántas sesiones norte-sur gobernadas tenga, y no del tráfico OT total. Eso mantiene los eventos por segundo y el licenciamiento del SIEM muy por debajo del torrente de un puerto span. Dimensione a partir de su número de sesiones durante el piloto en lugar de con una regla general, y reenvíe solo las reglas de detección que le interesen para recortarlo aún más.
Cada detección de regla se etiqueta con la técnica ATT&CK for ICS a la que corresponde, de modo que el SOC obtiene el contexto OT que normalmente le falta. La cobertura típica incluye mensajes de comando no autorizados (T0855), modificación de parámetros (T0836) y las técnicas de acceso remoto y movimiento lateral que los preceden. La etiqueta viaja en el evento, así que puede correlacionar las detecciones OT con la misma matriz ATT&CK que ya usa para TI.
Sí. El destino syslog no es exclusivo: puede distribuir el mismo flujo de eventos a su SIEM para la detección y a un historian, un data lake o un archivo a largo plazo para retención y auditoría. Los dos caminos son independientes, así que una caída del SIEM no le cuesta el registro de auditoría.
La retención la fija una política del lado del SIEM y del archivo. El overlay no la limita. Como los eventos son registros de auditoría vinculados a una identidad, la mayoría de los equipos los conservan para cumplir la norma aplicable más larga, habitualmente un año o más para las evidencias de NERC CIP, CMMC y NIS2. El patrón de doble destino permite mantener los datos calientes en el SIEM y los fríos en un almacenamiento más barato.
El overlay funciona junto a la red, así que el tráfico cíclico entre controladores y E/S nunca dependió de él y sigue funcionando pase lo que pase. Para las sesiones norte-sur gobernadas, fail-open o fail-closed es una decisión por activo, registrada. Por ejemplo, un camino de recolección hacia un historian puede quedar en fail-open para preservar la continuidad, mientras un camino de proveedor queda en fail-closed. Access Gate funciona en pareja de alta disponibilidad, para que un fallo aislado no sea un punto único de fallo. El acceso de emergencia (break-glass) está autenticado y registrado. Durante cualquier interrupción del control, los eventos de las sesiones intermediadas no se registran para ese activo. Por eso existen la pareja HA y el acceso de emergencia registrado.
La pasarela es el primer servicio que despliega, no el último.
Proteja sus plantas hoy. Controle su digitalización mañana.
Access Gate pone la capacidad de cómputo en la red, junto a sus activos. Una vez instalada la pasarela, el mismo equipo aloja los servicios que integran el OT de forma segura: acceso remoto, pasarelas de protocolo, DNS y hora, historian, servidor de actualizaciones. Acelere su digitalización, sin perder el control.