NOC/SOC OPERATIVO · MONITOREO CONTINUO
Colocamos un colector pasivo en cada celda de tu operación que entre al alcance y, tras catorce días de captura, te entregamos el inventario real: qué dispositivos hay, qué protocolos hablan, qué versiones de firmware corren y qué de eso representa un riesgo. Sin agentes en los PLC y sin detener la producción.
Un documento, no una demo. Lo que sigue es el entregable, no una lista de capacidades del producto.
Cada dispositivo que se comunique por TCP/IP en la red de proceso: PLC, HMI, variadores, servidores de control. Con dirección, fabricante y modelo cuando el tráfico lo revela. Lo que vive en bus serial no aparece por sí solo — ver la nota de abajo.
Qué protocolos industriales están realmente presentes y entre qué equipos. Suele aparecer tráfico que nadie recordaba haber habilitado.
Lo que corre hoy en cada equipo, que es el punto de partida para saber a qué vulnerabilidades conocidas está expuesto.
No un volcado de alertas: los hallazgos ordenados por lo que conviene atender primero, con el razonamiento a la vista.
Con un colector por celda se ve si el aislamiento es el que dice el diseño. Cuando en una celda aparece tráfico de otra o de la red corporativa, la segmentación no está donde se creía — y eso es un hallazgo por sí solo.
Si todavía estás decidiendo si esto te aplica, en el blog está el fondo del asunto: por qué no se puede proteger un activo que no sabes que existe y qué cuenta como OT cuando no tienes una planta pero igual ya tienes OT. La prueba es el paso siguiente a esa lectura, no un sustituto.
El trabajo está concentrado en el arranque. Después el sensor observa y nosotros no volvemos a interrumpir a nadie.
Media hora para entender la topología y definir qué celdas entran al alcance. De ahí sale el número de colectores: una celda correctamente segmentada no ve el tráfico de otra, así que cada una necesita el suyo. Aquí se decide también si el colector va en hardware dedicado o virtualizado.
Es la parte que requiere coordinación: un puerto espejo o TAP en el switch de cada celda, un punto de red y una ventana para conectarlo. El colector puede ir en hardware dedicado o virtualizarse — incluso sobre un NUC, cuando el sitio no admite equipo en rack.
Catorce días corridos de observación pasiva, contados desde que se concluye el despliegue en todas las celdas del alcance. Dos semanas son la ventana que da una muestra representativa sin que un solo proyecto acapare el hardware: es equipo dedicado a pruebas y rota entre cuentas. Cuando el caso lo justifica se extiende a 30 días o más, hasta donde alcanza el licenciamiento de evaluación de la plataforma. El sensor no transmite hacia la red de control: solo escucha. La producción no se detiene ni se modifica.
Presentamos el documento en sesión, con tu equipo de operación y de TI en la misma mesa. Es donde suele aparecer la conversación que importa.
El colector viaja montado en un gabinete de control industrial con su switch y su fuente de 24 V, armado y probado en nuestro laboratorio antes de subirse a la camioneta. En sitio se conecta al puerto espejo de la celda y se energiza: no se abre un rack, no se cablea de nuevo la planta, no se cambia una configuración de red.
Es equipo nuestro y es temporal. Al cerrar el periodo de captura el gabinete se desconecta y se va con nosotros, porque el mismo hardware entra a la siguiente prueba. De tu planta no queda nada instalado — ni un equipo, ni una regla, ni una cuenta.
Lo que se ve en la foto es lo que llega: no hay una segunda caja. La prueba se concentra en el edge, o sea en escuchar la celda donde el tráfico realmente ocurre. Todo lo que va más adentro —la frontera, las políticas, el firewall— es otro nivel, y ese se diseña con los hallazgos en la mano. No al revés.
Esa es también la razón del calendario: hay un número finito de gabinetes y cada prueba ocupa uno completo durante sus 14 días.
Conectar el colector al puerto espejo se hace dentro del tablero, en ventana acordada con operación y con la celda produciendo. Es la parte que requiere presencia, criterio y coordinación — y es la razón por la que el calendario tiene un tope.
De ahí en adelante el colector escucha y nadie vuelve a interrumpir a nadie. Por eso sostenemos varias pruebas en paralelo: se traslapan en la fase que no cuesta.
Si de los hallazgos sale un proyecto, que es justo la idea de realizar la PoC, lo que se implementa no se limita al gabinete de la prueba. Es una arquitectura completa de seguridad OT que se queda, basada en el modelo Purdue: firewall en la frontera entre la red de proceso y el resto, switching rugged en piso y colectores fijos por celda. Este es el diseño de referencia con el que trabajamos.
El colector escucha el tráfico espejeado de la celda y de ahí sale todo el entregable: los activos, los protocolos, el firmware y los hallazgos. Es la parte que responde qué hay.
El FortiGate sostiene la frontera donde la red de proceso se separa del resto, y el switching rugged de campo lleva la segmentación hasta el piso. Es la parte que responde qué se puede hacer al respecto.
Las dos plataformas importan, y por razones distintas. Un hallazgo de segmentación sin un lugar donde aplicarlo es una observación interesante; con el firewall en la frontera es una política que se escribe, se aplica y se verifica. Ver sin poder contener deja el problema exactamente donde estaba. Cómo se llega ahí sin parar la línea está contado aparte, en segmentar IT/OT sin frenar la producción, y el servicio completo vive en ciberseguridad industrial OT.
Y es una referencia, no un requisito. Para la prueba nada de esto hace falta: el colector escucha el tráfico que le entrega el puerto espejo sin participar en la red de control, así que convive con el switching industrial que ya esté instalado, sea de la marca que sea. Lo que se instrumenta es la celda, no el fabricante.
Reembolsable al 100% si después se cierra el proyecto de OT Security. Es una cifra simbólica frente al costo real del despliegue, y está ahí por una razón: una prueba que no cuesta nada tampoco se calendariza, no consigue la ventana con operación ni el contacto técnico que hace falta. El monto compromete a las dos partes. Si el proyecto avanza, regresa completo.
Va por célula porque el costo va por célula: cada celda segmentada necesita su propio colector y su propia ventana de instalación. El número queda definido en la sesión técnica previa, antes de que autorices nada.
Las pruebas las ejecuta nuestro equipo de ingeniería de preventa, no el turno del NOC, así que no compiten con la operación de nuestros clientes en servicio. Sostenemos entre 2 y 4 pruebas simultáneas: el esfuerzo está concentrado en el despliegue, y una vez instalado el sensor la captura es pasiva. Se calendarizan por orden de solicitud. Si cuando preguntas no hay espacio, te lo decimos y te damos fecha — no te dejamos en una lista sin respuesta.
Media hora para revisar tu topología y decidir si la prueba tiene sentido en tu caso. Si no lo tiene, te lo decimos ahí. De esa sesión sale el alcance, el número de celdas y por lo tanto el costo — sin compromiso de contratar.
Agendar la sesión técnicaSon 30 minutos por videollamada. Si prefieres escribir directo: correo.
Servicio: Ciberseguridad industrial OT · Plataformas: Nozomi Networks · Fortinet · Operación: Centro de Operaciones NOC/SOC en Chihuahua
Trabajemos juntos. Cuéntanos qué necesita tu operación y te respondemos a la brevedad.
Gracias por contactarnos. Te respondemos a la brevedad.
