StationGuard es el sistema de detección de intrusiones de OMICRON para redes de subestaciones: observa el tráfico, lo compara con un modelo del sistema construido a partir de los archivos de ingeniería (SCL) y alerta de lo que no está permitido. StationScout es una herramienta de OMICRON para probar sistemas de automatización IEC 61850 y se menciona como complemento para el descubrimiento activo de activos.
Qué es y dónde se usa
Dos productos de OMICRON, con funciones distintas, se agrupan en esta ficha porque comparten el mismo escenario: la red de una subestación digital basada en IEC 61850.
- StationGuard es un sistema de detección de intrusiones para redes de tecnología operacional (OT) de subestaciones y centros de control. Observa el tráfico Ethernet y avisa de comportamientos sospechosos, acciones prohibidas y fallas.
- StationScout es una herramienta de OMICRON para probar sistemas de automatización de subestaciones IEC 61850: muestra la topología y los datos de los IED y permite simular dispositivos o clientes.
La arquitectura de una subestación digital se explica en subestación digital IEC 61850; la seguridad, en IEC 62443 en subestaciones, IEC 62351 y acceso remoto seguro a subestaciones.
StationGuard: cómo detecta
Según la página del fabricante, StationGuard:
- analiza el tráfico de IEC 61850, IEC 60870-5-104, DNP3 y Modbus TCP, y declara soporte para más de 300 protocolos en la inspección profunda de paquetes;
- detecta anomalías, programas maliciosos y tráfico malicioso con base en tres fuentes: las especificaciones del sistema, firmas de amenazas conocidas e indicadores de compromiso, y listas de permitidos;
- detecta también problemas que no son de seguridad: errores de comunicación, fallas de equipos y problemas de sincronización de tiempo;
- identifica los activos (IED, RTU, pasarelas, SCADA) con su tipo, versión de firmware y número de serie, sin escaneo activo, por análisis pasivo de protocolos, información de ingeniería y detección automática de red;
- muestra las alarmas con terminología de protección y control, un registro de eventos (alarmas, maniobras, cambios de ajuste) y una vista de la red en vivo con quién se comunica con quién.
Lista de permitidos y SCL
La idea central es la lista de permitidos: lo que no está en el modelo del sistema genera una alarma. En un sistema IEC 61850 el modelo se construye a partir de los archivos SCL, que describen quién publica y quién se suscribe; vea archivos SCL. Para tráfico IEC 61850 se analiza no solo la estructura del protocolo sino también los valores de señal transmitidos y sus marcas de tiempo. Las pruebas de protección y el mantenimiento forman parte del modelo, mediante un modo de mantenimiento que evita falsas alarmas.
Componentes y despliegue
El sensor se conecta como un oyente de red no intrusivo. El componente de gestión central, StationGuard GridOps, reúne las alertas, el inventario de activos y la gestión de vulnerabilidades. El fabricante indica que el producto recibió en diciembre de 2023 un certificado de seguridad de TI del BSI de Alemania.
StationScout: probar el sistema de automatización
StationScout trabaja sobre el hardware de pruebas de OMICRON (MBX1 o RBX1), que da una conexión segura a la red de la estación. Con los datos de ingeniería en SCL determina la topología y la muestra de forma clara. Permite ver los valores del modelo de datos de cada IED, trazar señales y, según prensa técnica del fabricante:
- simular los IED para verificar que las pantallas del HMI y del SCADA muestren lo correcto;
- simular el cliente para comprobar que los relés reales envían los estados y las alarmas adecuados;
- ver mensajes GOOSE y reportes MMS.
En la documentación de StationGuard, StationScout aparece como complemento para la consulta activa de equipos al armar el inventario. Para probar GOOSE, la guía es pruebas de protecciones con GOOSE; para entender el tráfico, análisis de tráfico con Wireshark.
Variantes y diferencias
| Producto | Tipo | Para qué sirve | Se usa cuando |
|---|---|---|---|
| StationGuard | Sistema de detección de intrusiones (sensor + gestión central) | Vigilar de forma continua la red OT | La subestación está en servicio y se quiere visibilidad y alertas |
| StationGuard GridOps | Gestión central | Reunir alertas, activos y vulnerabilidades | Varias subestaciones o varios sensores |
| StationScout | Software de pruebas | Probar y diagnosticar sistemas de automatización IEC 61850 | FAT, SAT, cambios y localización de fallas |
Qué aporta en una puesta en servicio
En un proyecto nuevo, una red de subestación digital se prueba dos veces: una vez para que funcione y otra para saber qué hay en ella. StationScout responde a lo primero, con la topología y los datos de cada IED tomados del SCL, y StationGuard a lo segundo, porque su modelo de permitidos obliga a que el SCL, la red real y el inventario coincidan. Esa coincidencia es útil por sí misma: un IED que publica un GOOSE que nadie esperaba, un equipo con firmware distinto al del proyecto o un puerto abierto al que nadie se asignó aparecen como diferencias antes de la entrega. Por eso el inventario de activos, con versión y número de serie, suele incorporarse al dossier de puesta en servicio.
Cuidados y errores frecuentes
- Archivos SCL que no reflejan lo instalado. Con una lista de permitidos basada en ellos, cada diferencia genera alarmas; el SCL debe estar al día.
- Dejar el modo de mantenimiento activo. Se deshabilita la supervisión de lo que se pruebe; debe ser temporal y registrado.
- Confundir detección y protección. Un sistema que escucha no impide un ataque; se complementa con segmentación, cortafuegos y control de acceso (IEC 62443).
- Conectar equipos de prueba a la red sin autorización. Un equipo de pruebas en la red de la subestación es parte de la superficie de riesgo; se conecta con un procedimiento.
- Ignorar las alarmas que no son de seguridad. Muchas veces el primer síntoma de un problema de sincronización o de un IED defectuoso es una alarma de la supervisión.
Dudas técnicas frecuentes
- Manual y licencias: el manual y la documentación los entrega OMICRON a sus clientes; esta ficha se basa en la información pública del fabricante.
- Cumplimiento de IEC 62443: el fabricante no declara en esa página una certificación IEC 62443; para requisitos de cumplimiento, consulte la declaración vigente.
- Cuándo se instala: en nuevas subestaciones digitales conviene definirlo en el diseño; en subestaciones existentes se instala en puntos de espejo o TAP de la red.
Cómo le ayudamos
¿Necesita estas pruebas? Las hacemos por usted: según su caso le recomendamos la prueba y el equipo adecuados y lo incluimos en la cotización. Así hace la prueba que su caso de verdad necesita, sin pagar pruebas de más.
Vea el alcance en pruebas FAT y SAT y en pruebas y puesta en servicio, o cuéntenos su caso en contacto.
Guías relacionadas
- Subestación digital IEC 61850
- IEC 62443 en subestaciones
- IEC 62351: seguridad en IEC 61850
- Acceso remoto seguro a subestaciones
- Archivos SCL de IEC 61850
- Herramientas de prueba IEC 61850
- OMICRON DANEO 400: registro y análisis de señales
- Pruebas de ciberseguridad en FAT y SAT de subestaciones
Referencias
- IEC 61850 (serie), en particular IEC 61850-6 (SCL).
- IEC 62443 (serie), seguridad para sistemas de automatización y control industrial; IEC 62351, seguridad de la gestión de sistemas de potencia.
- OMICRON Cybersecurity, información pública de StationGuard; OMICRON, descripciones de StationScout en prensa técnica (inglés).
Preguntas frecuentes
¿Qué hace StationGuard y en qué se diferencia de un cortafuegos?
StationGuard no bloquea tráfico: escucha la red de forma pasiva, la compara con un modelo del sistema (lista de permitidos) y alerta de comunicaciones, comandos o equipos que no deberían existir, además de fallas no relacionadas con ciberseguridad, como errores de comunicación o problemas de sincronización. Un cortafuegos filtra y bloquea; son funciones complementarias.
¿Necesita una fase de aprendizaje para empezar a funcionar?
Según OMICRON, no se necesita una fase larga de aprendizaje: el sistema se configura con pocos datos de entrada sobre los roles de los equipos y, en sistemas IEC 61850, importando los archivos SCL. Un modo de mantenimiento evita falsas alarmas durante las pruebas rutinarias de protección.
¿StationScout y StationGuard son lo mismo?
No. StationGuard vigila la red de forma continua y se enfoca en la seguridad y la operación. StationScout sirve para probar sistemas de automatización de subestaciones IEC 61850, por ejemplo simulando IED para verificar el SCADA o simulando el cliente para comprobar que los relés envían los estados y las alarmas correctas. OMICRON los relaciona porque StationScout puede consultar equipos de forma activa para el inventario.