¿Qué es una DMZ para un sistema SCADA?

Volver al glosario

Un amortiguador entre dos mundos

La idea central de una DMZ de SCADA es la separación por un intermediario. La red de control necesita ser alcanzable, porque el negocio quiere datos de producción, tableros y reportes, pero nunca debe ser directamente alcanzable desde el entorno general de TI donde viven el correo, la navegación y las laptops de usuario. La DMZ resuelve esta tensión insertando una tercera red en medio que ambos lados pueden alcanzar, sin que ninguno de los lados alcance al otro.

La regla que le da su valor a la DMZ es que el tráfico termina en el amortiguador. Un equipo de TI se conecta a un servicio que se ubica en la DMZ, y una conexión separada lleva los datos necesarios entre ese servicio de la DMZ y la red OT. En ningún punto una sesión se origina del lado de TI y aterriza directo en un PLC. La DMZ rompe cada camino en dos mitades que se encuentran solo en un servicio controlado e inspeccionado en el medio.

Esta estructura es por qué una DMZ se describe como un amortiguador o una zona intermedia en vez de solo otra subred. Está posicionada a propósito entre la planta y la empresa para que el tipo de conexión más peligroso, un equipo de TI hablando directo a un controlador, simplemente no tenga a dónde ir. Todo lo que debe cruzar la frontera de TI y OT se ve forzado a detenerse, ser manejado por un servicio con propósito específico, y continuar como una conexión fresca del otro lado.

Qué vive de verdad en la DMZ

La DMZ se puebla con servicios compartidos cuyo trabajo entero es relevar o exponer datos a través de la frontera sin dejar que ninguno de los lados alcance al otro. Un residente común es un espejo o réplica de historiador: el historiador real se queda dentro de la OT, y una copia en la DMZ retiene los datos que a los usuarios del negocio se les permite consultar, así que la TI lee del espejo y nunca del historiador de producción en el piso de planta.

Un broker de datos es otro inquilino clásico de la DMZ. Donde un sitio usa un modelo de publicar y suscribir, el broker se ubica en la DMZ para que los dispositivos OT publiquen sus valores hacia arriba a él y los consumidores del negocio o de la nube se suscriban desde él, sin que ninguno de los lados tenga una conexión directa al otro. Un servidor de parches o actualizaciones también vive aquí con frecuencia, preparando las actualizaciones del proveedor en el amortiguador para que los sistemas OT jalen de una fuente local confiable en vez de salir a internet.

El principio unificador es que cada servicio de la DMZ es un punto de entrega controlado, no un pasaje directo. Retiene una copia, releva un mensaje o prepara un archivo, y es lo único a lo que cualquiera de los lados de verdad se conecta. Nada en la DMZ debería ser un túnel transparente que deje a una sesión de TI fluir hasta un PLC; en el momento en que un servicio se vuelve un conducto directo, la DMZ ha dejado de hacer su trabajo y el amortiguador ha sido derrotado.

Por qué ningún equipo de TI debería alcanzar un PLC

La razón de toda esta estructura es que un PLC es un blanco blando ubicado cerca del equipo físico de proceso. Los dispositivos de control están hechos para la confiabilidad y el determinismo, no para resistir tráfico hostil, y una conexión directa desde una red de TI de propósito general, donde el malware, las laptops comprometidas y el acceso amplio de usuario son hechos de la vida, es justo el camino por el que un atacante o un accidente montarían hacia el piso de planta. Evitar que ese camino exista siquiera es el control más fuerte posible.

La DMZ convierte una sola conexión peligrosa en dos más cortas e inspeccionables. Un atacante que compromete un equipo de TI aún no puede alcanzar un controlador, porque el equipo solo puede hablar con un servicio de la DMZ, y ese servicio está limitado a un intercambio estrecho y bien entendido con la OT. Para alcanzar un PLC, un intruso tendría que derrotar la frontera de TI, luego subvertir un servicio endurecido de la DMZ, luego pasar la frontera de OT, que es un camino mucho más difícil que un solo salto plano.

Vale la pena ser claro sobre el alcance: la DMZ de SCADA es el concepto de esa zona intermedia amortiguadora y los servicios compartidos que pertenecen en ella. El trabajo detallado de escribir reglas de firewall de negar por defecto, afinar cada flujo permitido y decidir dónde se justifica la aplicación de datos en un solo sentido es la capa de diseño de firewall que envuelve la DMZ. El concepto de DMZ responde qué es el amortiguador y qué va en él; el diseño de reglas responde exactamente qué tan apretada se sostiene cada puerta.

La DMZ, el SCADA en la nube y los datos de campo

La DMZ es el punto de lanzamiento natural para llevar los datos de SCADA a la nube de forma segura. En vez de dejar que un conector de nube alcance dentro de la red de control, un sitio coloca el servicio de cara hacia afuera, un broker, un gateway o un almacén de datos espejado, en la DMZ, deja que la OT empuje sus valores hacia arriba a ese servicio, y deja que la conexión de nube saque solo de ahí. El piso de planta publica hacia el amortiguador, y todo lo destinado a la nube sale del amortiguador, no de los controladores en sí.

Este arreglo se alinea de forma limpia con los patrones modernos de monitoreo remoto. Un broker o gateway en la DMZ puede aceptar una corriente de valores de proceso de la OT y reenviar un subconjunto curado a un tablero de nube que los equipos de campo vigilan desde cualquier lugar, todo mientras la conexión saliente se origina desde la DMZ y los controladores permanecen inalcanzables desde afuera. La nube ve los datos que necesita; nunca ve un PLC.

Para operaciones de campo distribuidas esto hace de la DMZ una piedra angular a la vez de la seguridad y la visibilidad. Le deja a un operador en un teléfono ver los valores en vivo de un sitio remoto porque esos valores se publicaron hacia arriba al amortiguador y se reenviaron adelante, y lo hace sin abrir jamás un camino del mundo exterior hacia abajo hasta el equipo. La DMZ es donde los datos de la planta se vuelven compartibles mientras la planta en sí permanece amurallada, que es justo de lo que depende el SCADA en la nube seguro.

Preguntas frecuentes