Un sistema de detección de intrusos (IDS) para subestaciones escucha una copia del tráfico, sin intervenir en él, y lo compara con una línea base de lo que es normal: qué equipos existen, quién habla con quién y qué mensajes intercambian. Como el tráfico de una subestación es muy repetitivo, cualquier desviación se nota: un equipo nuevo, un mando fuera de horario, una descarga de configuración no programada. IEC 62443-3-3 pide esta supervisión continua.
Qué problema resuelve
Las medidas de seguridad clásicas de una subestación son preventivas: segmentar la red, poner un firewall en el límite, cerrar puertos y controlar el acceso. Todas son necesarias, pero ninguna dice qué pasa dentro de la red una vez que algo logró entrar. Un portátil de un contratista conectado a un puerto libre, una cuenta de mantenimiento usada fuera de horario o un IED que recibe una configuración que nadie programó pasan desapercibidos si nadie mira el tráfico.
Un sistema de detección de intrusos (IDS) cumple esa función. Observa el tráfico, lo interpreta y alerta cuando algo se aparta de lo esperado. IEC 62443-3-3, en su requisito de supervisión continua, pide al sistema la capacidad de vigilar su propio comportamiento para detectar incidentes; IEC 62351-7 aporta objetos de supervisión de red propios del sector eléctrico.
Por qué funciona tan bien en una subestación
El tráfico de una oficina cambia todo el tiempo: personas nuevas, aplicaciones nuevas, destinos en internet. El de una subestación es casi fijo. Los mismos IED publican los mismos GOOSE con la misma periodicidad, el gateway consulta a los mismos relés y el centro de control envía mandos a los mismos objetos. Ese carácter repetitivo es una ventaja: una vez aprendida la línea base, cualquier cosa nueva destaca.
Por eso los IDS para redes industriales trabajan sobre todo con línea base y lista blanca. Durante un periodo de aprendizaje registran los equipos, las conversaciones y los tipos de mensaje. Después alertan ante lo que no estaba en la lista. A eso suman firmas de ataques conocidos y reglas propias de cada protocolo.
Alertas típicas
| Alerta | Qué puede significar |
|---|---|
| Equipo nuevo en la red | Portátil conectado sin autorización, equipo reemplazado sin registro o intruso |
| Conversación nueva entre dos equipos | Un equipo que nunca habló con un IED ahora lo consulta |
| Mando fuera de horario o desde un origen inesperado | Mando de interruptor por IEC 61850, 104 o DNP3 desde una dirección distinta del gateway o del SCADA |
| Escritura de configuración o carga de firmware | Cambio en un IED que no corresponde a una orden de trabajo |
| GOOSE de un publicador desconocido | Un equipo que suplanta a un IED o una configuración copiada |
| Barrido de direcciones o de puertos | Reconocimiento previo a un ataque o herramienta mal configurada |
| Protocolo nunca visto | Servicio habilitado por defecto en un equipo nuevo |
No todas las alertas son ataques. La mayoría, sobre todo al principio, son cambios legítimos que nadie registró. Ese efecto lateral es útil: el IDS obliga a llevar el inventario y el control de cambios al día.
- 01Copia del tráficoPuerto espejo o TAP en el switch principal y en el límite con la WAN
- 02DecodificaciónEl sensor interpreta MMS, GOOSE, 104, DNP3 y los protocolos de gestión
- 03Línea baseInventario de equipos, conversaciones y mensajes normales
- 04DetecciónDesviaciones frente a la línea base, firmas conocidas y reglas por protocolo
- 05AlertaA la consola de seguridad y, las críticas, al SCADA o al centro de operaciones
Dónde se ubica el sensor
El sensor recibe una copia del tráfico desde un puerto espejo del switch o desde un TAP, de modo que no está en el camino de los mensajes y no puede retrasarlos ni bloquearlos. Las ubicaciones habituales son:
- El switch principal del bus de estación, donde se cruzan el tráfico MMS, los GOOSE entre bahías y la gestión.
- El límite con la red de área amplia, donde entran los mandos del centro de control.
- El conducto de acceso remoto, para registrar qué se hizo en cada sesión de mantenimiento.
El bus de proceso merece una decisión aparte: su volumen de valores muestreados es muy alto y repetitivo, y vigilarlo completo exige sensores dimensionados para ello. En la guía del bus de proceso se ve por qué ese tráfico es tan intenso.
Un IDS no reemplaza al firewall ni a la segmentación. Funciona mejor sobre una red bien diseñada, con zonas definidas y tráfico ordenado por VLAN, como se describe en la guía del router y firewall industrial.
Detección pasiva frente a bloqueo
Un sistema de prevención de intrusos (IPS) se instala en línea y puede bloquear el tráfico que considera malicioso. En una oficina eso es razonable; en una subestación, un falso positivo podría bloquear un disparo o un mando legítimo. Por eso la práctica es usar detección pasiva en las redes de protección y control, y reservar el bloqueo para límites donde no circulan mensajes críticos en tiempo, como la entrada del acceso remoto.
Productos y madurez
Existen plataformas de monitoreo de redes industriales con soporte de protocolos del sector eléctrico, por ejemplo de Nozomi Networks, Claroty, Dragos o Cisco (Cyber Vision), y algunos fabricantes de equipos de subestación ofrecen soluciones propias. Las marcas se citan solo como ejemplo. Al evaluarlas conviene revisar qué protocolos decodifican de verdad (no solo cuáles reconocen), si distinguen lecturas de mandos y de cargas de configuración, y cómo se integran sus alertas con el SCADA y con el registro centralizado.
Lo que hace falta para que sirva
- Inventario y diagrama de red al día. Sin ellos, cada alerta es una investigación.
- Un responsable que revise las alertas. Un IDS sin seguimiento solo acumula registros.
- Tiempo sincronizado en sensores, IED y servidores, para correlacionar eventos.
- Control de cambios. Cada intervención planeada se anuncia, para que su tráfico no se confunda con un incidente.
- Supervisión de la propia red con SNMPv3 y syslog, para que la falla de un switch o de un enlace no se confunda con un ataque.
Un último punto práctico: el periodo de aprendizaje de la línea base debe cubrir la operación real, con maniobras, consultas del centro de control y tareas de mantenimiento. Una línea base tomada en un fin de semana sin actividad genera después alertas por todo lo que es normal entre semana.
Cómo le ayudamos
La detección de intrusos parte de una red ordenada: zonas, VLAN, direcciones documentadas y accesos controlados. En Tiza Group hacemos la configuración de control, protecciones y comunicaciones de subestaciones de alta y extra alta tensión y de plantas industriales, con la segmentación y los puntos de supervisión definidos desde la ingeniería. Nuestra configuración remota de relés trabaja dentro de ese esquema: cada sesión es autorizada, registrada y visible para su equipo de seguridad. Escríbanos.
Guías relacionadas
- Router y firewall industrial
- IEC 62351: ciberseguridad para IEC 61850, 104 y DNP3
- ¿Es segura la configuración remota de relés?
- Red de comunicaciones de subestación
- Tormenta de tráfico en la red de la subestación
- IEEE 1686: requisitos de ciberseguridad de los IED
- Ciberseguridad eléctrica: NERC CIP y Latinoamérica
- Comunicaciones de subestación por nivel de tensión
- Acceso remoto seguro a relés y subestaciones
Referencias
- IEC 62443-3-3, Industrial communication networks – Network and system security – System security requirements and security levels (requisito fundamental 6, respuesta oportuna a eventos).
- IEC 62351-7:2025, Network and System Management (NSM) data object models.
- IEC TR 61850-90-4:2020, Network engineering guidelines (remite la seguridad a IEC 62351 e IEC 62443).
- NIST SP 800-82 Rev. 3, Guide to Operational Technology (OT) Security.
Preguntas frecuentes
¿Un IDS puede bloquear un disparo o un GOOSE por error?
Un IDS pasivo no, porque solo recibe una copia del tráfico desde un puerto espejo o un TAP y no está en el camino de los mensajes. Los sistemas que bloquean tráfico (IPS) se usan con mucha cautela en la subestación, y nunca en el camino de los mensajes de protección.
¿Qué diferencia hay entre un IDS de oficina y uno para subestaciones?
El de subestación entiende los protocolos del sector, como IEC 61850 MMS y GOOSE, IEC 60870-5-104 y DNP3, y sabe distinguir una lectura de un mando o de una carga de configuración. Un IDS de oficina ve esos mensajes como tráfico desconocido y no puede decir si son normales.
¿Dónde se instala el sensor del IDS?
Donde se concentra el tráfico que interesa vigilar: en un puerto espejo del switch principal del bus de estación, en el límite con la red de área amplia o el centro de control y en el conducto de acceso remoto. En subestaciones grandes se usan varios sensores coordinados por una consola central.