Modbus, IEC 104 y DNP3 se diseñaron para entregar datos y mandos con fiabilidad, no para identificar quién los envía. Por eso, quien llegue a la red puede reconocer los equipos, leer el tráfico, repetir o inventar mandos y alterar medidas. Los controles se agrupan en cuatro: que no llegue (segmentación y firewall), que no se lea ni se altere (TLS e IEC 62351), que se detecte (monitoreo) y que la causa no sea una cuenta o un equipo de servicio (accesos).
Una advertencia sobre el alcance
Esta guía describe clases de ataque y cómo se mitigan. No describe procedimientos para ejecutarlos. Cada ataque se explica a partir de cómo está hecho el protocolo, y cada defensa remite a la guía donde se aplica.
Qué tienen en común estos protocolos
Modbus, IEC 60870-5-104 y DNP3 nacieron para mover datos con fiabilidad dentro de redes cerradas. Hoy viajan sobre TCP/IP, por redes que se conectan con oficinas, proveedores y centros de control. El puerto asignado en cada caso es:
| Protocolo | Puerto TCP | Seguridad del protocolo |
|---|---|---|
| Modbus TCP | 502 (seguro: 802) | Sin campo de usuario ni de firma en la trama; Modbus/TCP Security lo encapsula en TLS |
| IEC 60870-5-104 | 2404 (seguro: 19998) | La norma declara que no incluye seguridad; se agrega con IEC 62351 |
| DNP3 | 20000 (seguro: 19999) | Autenticación segura (IEEE 1815-2012) opcional; capa DNP3-SL basada en IEC 62351-5 |
Las clases de ataque
1. Reconocimiento de la red
Antes de atacar, se averigua qué hay: qué equipos, qué direcciones, qué protocolos y qué puertos. Puede hacerse mirando el tráfico sin enviar nada, o preguntando a los equipos. Un puerto 502, 2404 o 20000 abierto identifica a un equipo de control.
Mitigación.
- La red de control no es alcanzable desde redes que no la necesitan: segmentación en zonas y conductos.
- Solo los maestros autorizados pueden abrir conexiones: router y firewall industrial.
- Un equipo nuevo en la red genera una alerta: detección de intrusos.
2. Escucha del tráfico
Si el tráfico no está cifrado, un equipo que lo vea puede leer estados, medidas y mandos. Una captura de red de una sesión IEC 104 sin cifrado muestra las unidades de datos de aplicación en claro; la de una sesión con TLS no. Comparar ambas capturas es una forma directa de comprobar que el cifrado está activo. Cómo leer el perfil de dispositivo al integrar un equipo DNP3 está en DNP3: cómo leer el perfil de dispositivo (Device Profile).
Mitigación. TLS según IEC 62351-3 en los protocolos sobre TCP. Ver IEC 104 y DNP3 seguros.
3. Mando falso o repetido
Un mando legítimo es un mensaje. Si no hay forma de verificar quién lo envió, uno copiado y reenviado, o uno nuevo, puede ser aceptado. En Modbus TCP sin seguridad, la trama no contiene datos de usuario. En IEC 104, la numeración de secuencia de las tramas I ordena la sesión, pero no autentica a quien la abre.
Mitigación.
- Autenticación de los extremos con certificados (TLS mutuo, IEC 62351-3).
- Autenticación de cada mando en el protocolo: la seguridad de IEC 62351-5 y, en DNP3, la autenticación segura, que trata los mandos y escrituras de salida como operaciones críticas que siempre se autentican.
- Una regla en el equipo: los mandos solo se aceptan desde la dirección del maestro autorizado.
4. Alteración de medidas y estados
Un intermediario en el camino puede cambiar el valor de una medida o un estado. El operador ve lo que no es. Es más grave que un mando falso porque el sistema parece sano.
Mitigación. Integridad del mensaje: TLS en transporte y los códigos de autenticación de mensaje de IEC 62351-5 en aplicación. Ver seguridad IEC 62351.
5. Denegación de servicio
Saturar la red o el equipo hasta que deje de atender. Para un enlace de telecontrol, la consecuencia es perder la supervisión.
Mitigación. Segmentación, límites de tráfico en el firewall, redes redundantes y alarma de pérdida de comunicación en el centro de control. Para el diagnóstico de enlaces que se caen: enlace DNP3 o IEC 104 que se cae.
6. Acceso por un equipo de servicio o una cuenta
Un ataque no tiene que pasar por el protocolo. La laptop de un técnico, una memoria USB o una cuenta compartida de un proveedor llegan al mismo equipo por otro camino.
Mitigación. Reglas para laptops de servicio y memorias USB, acceso remoto seguro y niveles de acceso y contraseñas de relés.
Resumen de controles por protocolo
| Control | Modbus | IEC 104 | DNP3 |
|---|---|---|---|
| Segmentación y filtrado por maestro | Sí | Sí | Sí |
| Cifrado y autenticación del transporte con TLS (IEC 62351-3 en 104 y DNP3) | Modbus/TCP Security, puerto 802, donde el equipo lo soporte | Sí, puerto seguro 19998 | Sí, puerto seguro 19999 |
| Autenticación de mandos en aplicación | Autorización por roles en el certificado de Modbus/TCP Security | IEC 62351-5 (IEC TS 60870-5-7 para 101 y 104) | Autenticación segura de IEEE 1815-2012 o DNP3-SL |
| Monitoreo del tráfico | Sí | Sí | Sí |
Qué falta en muchas instalaciones
- Equipos con la autenticación disponible pero desactivada.
- Un gateway que habla un protocolo seguro hacia afuera y uno sin seguridad hacia adentro, sin que nadie lo haya documentado.
- Reglas del firewall que permiten el puerto desde «cualquier dirección».
- Ausencia de línea base del tráfico: sin saber qué es normal, no se detecta lo anómalo.
Revisamos su red de telecontrol
En Tiza Group revisamos y configuramos la seguridad de enlaces de telecontrol de subestaciones, plantas e industria: filtrado por maestro, certificados, gateways y registro de eventos, dentro de nuestro servicio de ciberseguridad de subestaciones y plantas y de integración SCADA y gateways. La matriz de comunicaciones recoge los flujos, puertos y VLAN; vea matriz de comunicaciones de una subestación.
Guías relacionadas
- Modbus RTU y TCP: registros, dirección 40001 y errores
- IEC 60870-5-104: qué es, cómo funciona y cómo se prueba
- DNP3 (IEEE 1815): qué es, cómo funciona y cómo se prueba
- IEC 104 y DNP3 seguros: TLS e IEC 62351-3 y -5
- IEC 62351: ciberseguridad para IEC 61850, 104 y DNP3
- Segmentación de redes OT: zonas y conductos
- Detección de intrusos (IDS) en redes de subestación
- Matriz de comunicaciones de una subestación
- DNP3: cómo leer el perfil de dispositivo (Device Profile)
Referencias
- IEC 60870-5-104, alcance de la norma: no incluye mecanismos de seguridad.
- IEC 62351-3, -5 y -7; IEC TS 60870-5-7.
- IEEE 1815-2012, cláusula 7, autenticación segura.
- IANA, registro de puertos de servicio y protocolos de transporte (502, 802, 2404, 19998, 19999 y 20000).
Preguntas frecuentes
¿Por qué Modbus es tan fácil de atacar?
Porque el protocolo no incluye identificación del usuario. En Modbus TCP la solicitud lleva un identificador de transacción, un identificador de protocolo, la longitud y el identificador de unidad, y a continuación la función y los datos. No hay campo de usuario, de contraseña ni de firma. En Modbus TCP sin la capa de seguridad, quien pueda abrir una conexión al puerto 502 del equipo puede enviar solicitudes.
¿IEC 104 y DNP3 son inseguros por definición?
La norma de IEC 104 declara en su alcance que no incluye mecanismos de seguridad. DNP3 sí tiene un mecanismo, la autenticación segura de IEEE 1815-2012, pero solo actúa si el equipo lo implementa y se configura. Ambos se pueden proteger con IEC 62351, que se aplica sin cambiar su modelo de datos.
¿Un firewall basta para proteger estos protocolos?
No por sí solo. Un firewall limita quién puede llegar al puerto, pero no impide que un equipo permitido envíe un mando falso, ni protege lo que viaja por el tramo permitido. Se complementa con autenticación y cifrado en el protocolo, con cuentas individuales y con monitoreo de la red.