¡Acompáñanos en Spark 2026 — la conferencia de clientes de Nozomi Networks !
Regístrate
La supervisión pasiva de la red es el estándar para el inventario de activos de « OT », así como para la detección de amenazas y anomalías; sin embargo, hoy en día los entornos industriales pueden confiar con total seguridad en una combinación de supervisión pasiva de la red y de redes inalámbricas, junto con técnicas de seguridad de sondeo activo, recogida remota y « endpoint ».
El recurso a la supervisión pasiva de la red se debe, concretamente, a la naturaleza sensible y a la importancia crítica de los entornos industriales, a lo que se suma la gran dependencia de sistemas heredados con protocolos propietarios e inseguros que pueden verse desestabilizados o desconectados por un escaneo activo. Los sistemas de control de procesos ( OT ) suelen sustentar infraestructuras críticas, controlando procesos que pueden afectar a la seguridad, la protección y la prestación de servicios esenciales. La supervisión pasiva permite obtener visibilidad sin ningún tipo de interferencia, mientras que las técnicas de escaneo y sondeo activos, habituales en entornos de TI, pueden resultar perturbadoras y provocar fallos operativos o riesgos para la seguridad.
Las herramientas pasivas de monitorización de redes industriales funcionan conectándose a un puerto SPAN o de duplicación de un conmutador o un router y observando las comunicaciones de la red. Por ejemplo, Nozomi Guardian los sensores aplican este enfoque para ofrecer una visibilidad y supervisión exhaustivas de los activos OT y IoT . Identifican dispositivos sin necesidad de agentes ni de interrogaciones activas. Guardian Los sensores pueden supervisar de forma continua la actividad para descubrir nuevos activos que se comunican en la red, proporcionar visualizaciones de la red para la resolución de problemas y la investigación, identificar vulnerabilidades críticas y detectar amenazas de ciberseguridad y problemas operativos.
En concreto, los sensores Guardian utilizan la inspección profunda de paquetes pasiva para descubrir automáticamente, en tiempo real, la red industrial, incluidos sus componentes, conexiones y topología. A continuación, su capacidad de aprendizaje avanzado crea perfiles específicos para cada ICS y utiliza análisis de comportamiento para supervisar las actividades anómalas, sospechosas y maliciosas. El resultado es la rápida detección de ciberataques y anomalías en procesos críticos.
Los colectores remotos son otra forma de monitorización pasiva diseñada para cubrir ubicaciones de difícil acceso y sin personal. Se trata de sensores pequeños y de bajos recursos que funcionan en combinación con sensores de red para capturar datos de emplazamientos remotos, plataformas marítimas, subestaciones eléctricas y instalaciones más pequeñas dentro de un recinto más amplio, donde no resulta viable instalar un sensor « Guardian » completo. Elcolector remoto Nozomi Networks captura, deduplica, comprime y cifra este tráfico antes de enviarlo a un sensor Guardian asociado para su procesamiento.
A medida que la tecnología inalámbrica se ha ido generalizando en los entornos de « OT », también se ha convertido en un vector de ataque que, tradicionalmente, no se ha supervisado. Los sensores inalámbricos ofrecen otra forma de supervisión pasiva que debería aprovecharse en entornos industriales. Algunos casos de uso inalámbrico habituales incluyen a proveedores que conectan ordenadores portátiles a la red Wi-Fi para visitantes o que crean puntos de acceso inalámbricos no autorizados. Resulta difícil detectar amenazas específicas de las redes inalámbricas, como los ataques de fuerza bruta, la suplantación de identidad y el «bluejacking», y aún más difícil determinar la ubicación de los dispositivos que llevan a cabo los ataques.
Además del Wi-Fi y el Bluetooth, las redes de control de procesos se basan en protocolos inalámbricos especializados, diseñados para facilitar una comunicación fiable entre sensores y controladores con un bajo consumo energético. Estos protocolos desempeñan un papel crucial en la recopilación, la concatenación y la transmisión de datos que permiten tanto el funcionamiento del sistema como su supervisión. Por ejemplo, el estándar IEEE 802.15.4 se utiliza en edificios inteligentes para la supervisión en tiempo real de los sistemas de climatización e iluminación, y en la agricultura para el control inalámbrico de los sistemas de riego con el fin de optimizar el rendimiento de los cultivos.
Nozomi Guardian Air Es el primer sensor de seguridad inalámbrico del sector diseñado específicamente para entornos « OT » y « IoT », que ofrece visibilidad sobre los activos inalámbricos —desde termostatos hasta robots y drones— que, hasta ahora, solo se detectaban una vez conectados a una red cableada. Supervisa de forma continua las tecnologías del espectro inalámbrico que operan entre 800 MHz y 5895 MHz (Wi-Fi, Bluetooth, IEEE 802.15.4, LoRaWAN, Z-Wave, redes móviles y drones) y detecta y localiza amenazas mediante triangulación para permitir una respuesta más rápida.
Como cualquier enfoque, la supervisión pasiva conlleva una serie de ventajas e inconvenientes que conviene sopesar en función de las necesidades específicas de cada entorno industrial.
Los sensores de red son los pilares de la ciberseguridad. Sin embargo, siempre habrá docenas de situaciones en las que no sea viable añadir un sensor de red o en las que se necesiten detalles adicionales para comprender y resolver los problemas de su entorno. Los entornos industriales actuales pueden confiar con total seguridad en una combinación de técnicas de seguridad pasivas de red, recogida remota y monitorización inalámbrica, así como de sondeo activo y « endpoint ». La plataforma Nozomi Networks ofrece toda la gama de métodos de monitorización para proporcionar una visibilidad continua de todos sus activos y sus niveles de riesgo, incluso cuando no se están comunicando activamente.
La consulta activa es una técnica sin agentes y no invasiva que puede utilizarse para recabar información detallada —no disponible a través de sensores pasivos— sobre activos específicos de interés, incluidos los dispositivos integrados de OT/IoT . Conocida como Smart Polling en la plataforma Nozomi Networks , esta técnica interroga a los dispositivos basándose en el conocimiento de sus protocolos, utilizando mensajes e instrucciones especiales para obtener información útil sin afectar a la estabilidad de los mismos.
Smart Polling puede utilizarse para:
En la seguridad de TI, los agentes de endpoint son omnipresentes para la protección antivirus y la aplicación de parches. Desgraciadamente, las experiencias negativas de despliegue de agentes centrados en TI en dispositivos de OT han llevado a una escasa adopción de la tan necesaria supervisión de endpoint finales. Las soluciones tradicionales de supervisión de redes ICS controlan el tráfico Norte-Sur entre niveles Purdue o cortafuegos, pero las comunicaciones Este-Oeste entre dispositivos dentro de una zona, especialmente en niveles Purdue inferiores, han sido durante mucho tiempo un punto ciego. Además, la supervisión de endpoint es la única forma de correlacionar la actividad de los usuarios y los eventos a medida que se producen.
En OT, los ataques maliciosos que implican el robo de credenciales y otros comportamientos maliciosos ocurren sin duda, pero muchas amenazas implican errores involuntarios de empleados o técnicos de terceros autorizados que van y vienen, a menudo de forma remota. Sin seguridad endpoint , no hay forma de saber quién se conecta cuándo y qué hace hasta que sus comandos se han ejecutado en la red. Y eso es demasiado tarde.
Lanzado en 2023, Nozomi Arc es un agente de seguridad seguro y sin interrupciones, diseñado específicamente para proteger los requisitos únicos de alta disponibilidad de OT . A diferencia de las herramientas EPP y EDR tradicionales, Arc principalmente en el espacio de usuario, utilizando módulos del espacio del núcleo solo cuando es absolutamente necesario, principalmente en modo de solo lectura. Este diseño garantiza una interacción precisa y controlada con los objetos del sistema, al tiempo que minimiza las operaciones de escritura y preserva la estabilidad del sistema.
La supervisión pasiva es la base de una estrategia de seguridad sólida para OT y IoT , ya que ofrece una visibilidad continua y sin interrupciones de los activos, las comunicaciones y el comportamiento, incluso en los entornos industriales más sensibles. Sin embargo, la supervisión pasiva por sí sola no puede dar respuesta a todas las preguntas. Los colectores remotos y los sensores inalámbricos amplían ese mismo enfoque de monitorización pasiva a los rincones de la red de difícil acceso y conectados de forma inalámbrica, mientras que las consultas activas y los agentes de seguridad endpoint completan los detalles a los que la monitorización pasiva, por su propia naturaleza, no puede llegar por sí sola. En conjunto, estos métodos proporcionan a los equipos del SOC y de operaciones una visión completa y por capas de sus sistemas OT y IoT sin poner nunca en riesgo los frágiles sistemas heredados.
Crear ese tipo de visibilidad por capas desde cero supone un gran reto para cualquier equipo interno, especialmente en entornos que utilizan protocolos especializados como OT y IoT . La plataforma Nozomi está diseñada específicamente para entornos industriales, comerciales y de infraestructuras críticas complejos, y combina la visibilidad desde el endpoint hasta el aire con una supervisión continua y un análisis basado en inteligencia artificial. Ayuda a las organizaciones a minimizar el riesgo cibernético, maximizar la resiliencia operativa y agilizar el cumplimiento de las normas y regulaciones más estrictas, todo ello basado en la misma base de supervisión pasiva descrita a lo largo de este artículo.
Solicita una demostración para ver la plataforma en acción o descubre cómo utilizamos la inteligencia artificial para reforzar la supervisión pasiva mediante análisis predictivos en tiempo real.
En el ámbito de las tecnologías de la información (TI), los equipos de seguridad se centran en proteger los datos, mientras que en OT la prioridad es la disponibilidad. OT Las redes pueden verse expuestas a riesgos con las metodologías tradicionales de análisis de seguridad de TI. Por lo tanto, la monitorización pasiva de la red es uno de los principales métodos de detección de amenazas en entornos OT para minimizar los tiempos de inactividad no planificados, que pueden costar millones o generar riesgos de seguridad. Muchos dispositivos OT son además antiguos y sensibles, por lo que incluso un simple análisis de red puede provocar que un controlador deje de funcionar. La supervisión pasiva evita este problema, ya que nunca envía tráfico a la red y se limita a escuchar el tráfico reflejado procedente de la red. Los métodos activos seguros, como el Smart Polling de Nozomi, pueden entonces aportar más detalles sobre esta base pasiva.
La supervisión pasiva es una capacidad de detección, no una medida de prevención. Identifica amenazas y anomalías en tiempo real, pero no toma medidas al respecto. La contención y la corrección se gestionan mediante el proceso de respuesta de su equipo del SOC o mediante controles a nivel de « endpoint », como Arc.
En resumen, la supervisión pasiva te indica lo que está ocurriendo en la red, y otras herramientas y procesos determinan qué medidas debes tomar al respecto.
No. Dado que la monitorización pasiva funciona a partir de una copia del tráfico procedente de un puerto SPAN o de un puerto de duplicación, en lugar de situarse en línea, su implementación no requiere redirigir el tráfico de producción ni desconectar los sistemas. La principal tarea inicial consiste en configurar el conmutador para que duplique el tráfico adecuado, lo cual es un cambio que solo hay que realizar una vez, en lugar de suponer un riesgo continuo.
La supervisión pasiva escucha una copia del tráfico de red, normalmente procedente de un puerto SPAN o de un tap, y nunca envía nada a tus dispositivos. La supervisión activa funciona al revés: envía solicitudes directamente a los dispositivos y utiliza sus respuestas para recopilar información. En resumen, la supervisión pasiva observa lo que los dispositivos ya están transmitiendo, mientras que la supervisión activa les hace preguntas.
Sin embargo, no todas las operaciones de sondeo activo son iguales, especialmente en OT. Las herramientas activas tradicionales de TI barren rangos de IP, sondean puertos y consultan todos los dispositivos que encuentran. Aunque esto puede ser aceptable en redes corporativas, podría suponer un riesgo en entornos OT , que suelen contener dispositivos antiguos.
El sondeo activo puede hacerse seguro para OT si se enfoca de forma mucho más específica, aprovechando los protocolos nativos de los dispositivos OT . Solo se pone en contacto con dispositivos ya conocidos, utiliza mensajes específicos del protocolo que dichos dispositivos esperan recibir y mantiene bajo el volumen de solicitudes. El servicio Smart Polling de Nozomiestá diseñado de esta manera. Funciona a partir de los dispositivos que la monitorización pasiva ya ha detectado y recupera versiones de firmware, configuraciones y otros detalles que quizá no se hubieran recopilado de forma pasiva. También se puede controlar qué nodos se sondean, cuándo y mediante qué método. Esto proporciona a los usuarios la información adicional que aportan los métodos activos sin el riesgo que conlleva un escaneo tradicional.
No. La monitorización pasiva solo detecta los dispositivos que se comunican a través del tráfico que puede observar. Un dispositivo que esté encendido pero inactivo, o uno que se encuentre en un segmento que no estés replicando, no aparecerá. Una buena ubicación de los sensores cubre la mayor parte de las lagunas, y combinar la monitorización pasiva con otros métodos, como consultas específicas o datos de endpoint , cubre el resto.
Sí, aunque por sí sola no garantiza el cumplimiento normativo. Te proporciona un inventario actualizado de activos, una supervisión continua y un registro de la actividad de la red, todo lo cual respalda marcos normativos como la norma IEC 62443, NERC CIP, NIS2 y NIST 800-82. Los auditores siguen exigiendo políticas, procesos y procedimientos de respuesta, además de las herramientas.
N.º Smart Polling envía únicamente los mensajes específicos y propios del protocolo que un dispositivo ya espera recibir, en lugar de escaneos genéricos; por eso es capaz de cubrir las lagunas que la monitorización pasiva no alcanza, sin el riesgo de inestabilidad que conlleva el escaneo activo convencional. Tú eliges qué nodos se consultan, cuándo y mediante qué método.
Se trata de capas complementarias, no de opciones que compiten entre sí: Guardian suele ser la primera opción para la visibilidad de activos conectados por cable; Guardian ,Air y Remote Collector amplían esa visibilidad a los activos inalámbricos y de difícil acceso; y Arc añade detalles a nivel de endpoint una vez establecida la visibilidad de la red. La combinación más adecuada depende de dónde se encuentren los puntos ciegos específicos de cada entorno.
