metodología de Análisis Forense de Tráfico OT/ICS mediante Captura de Paquetes (PCAP)

CyberOps Dashboard v1.3 — OT PCAP Analyzer

Organización: TTPSEC SpA — Consultoría en Ciberseguridad Industrial
Autor: Sebastián Vargas Maure — CEO & Founder, vCISO
Versión: 1.3
Fecha: Febrero 2026
Clasificación: Confidencial — Uso interno y clientes autorizados
Referencia normativa: IEC 62443 · NIST SP 800-82 · NERC CIP · MITRE ATT&CK for ICS · Ley 21.663 · Ley 21.719

La creciente convergencia entre las redes de Tecnología de la Información (IT) y Tecnología Operacional (OT) ha expuesto a los Sistemas de Control Industrial (ICS) a un panorama de amenazas que históricamente no existía en entornos aislados. Protocolos como Modbus, DNP3, IEC 104 y S7comm fueron diseñados en una época donde la conectividad externa simplemente no se contemplaba, lo que implica que carecen de mecanismos nativos de autenticación, cifrado o control de integridad. Esta realidad convierte al análisis de tráfico de red en una de las capacidades más críticas para la detección, investigación y respuesta ante incidentes en infraestructura crítica.

El análisis forense de capturas de paquetes (PCAP) en entornos OT presenta desafíos específicos que lo diferencian del análisis convencional en redes IT. Las comunicaciones industriales siguen patrones cíclicos deterministas donde una desviación mínima — una escritura inesperada en un registro de un PLC, un comando de control desde una dirección IP no reconocida, o un cambio en la frecuencia de polling — puede ser indicativo de actividad adversaria con potencial impacto en la seguridad física de personas, procesos y medio ambiente.

La presente metodología nace de la experiencia práctica en análisis de redes OT de sectores como energía, puertos, utilities y minería en Latinoamérica, y se materializa a través de CyberOps Dashboard v1.3, una herramienta de análisis desarrollada por TTPSEC SpA que integra inspección profunda de paquetes (DPI) a nivel de capa 7 para seis protocolos industriales, detección de anomalías basada en comportamiento, mapeo automático a MITRE ATT&CK for ICS, y generación de evidencia forense con cadena de custodia verificable mediante SHA-256.

El documento se estructura en 10 fases secuenciales que abarcan desde la planificación y autorización de la captura hasta la generación del informe final con recomendaciones priorizadas, alineándose con los requisitos de la Ley 21.663 (Ley Marco de Ciberseguridad), la Ley 21.719 (Protección de Datos Personales), los estándares IEC 62443 y NIST SP 800-82, y las mejores prácticas de respuesta a incidentes establecidas en ISO 27035.

1. Objetivo

Establecer un procedimiento sistemático, repetible y auditable para la captura, análisis e interpretación de tráfico de red en entornos de Tecnología Operacional (OT), Sistemas de Control Industrial (ICS) y redes SCADA, utilizando la herramienta CyberOps Dashboard v1.3 como plataforma de análisis.

Esta metodología permite identificar anomalías, acciones críticas no autorizadas, indicadores de compromiso (IOCs) y desviaciones de línea base en protocolos industriales, generando evidencia técnica con cadena de custodia para respuesta a incidentes, auditorías de cumplimiento y procesos de mejora continua.

2. ALCANCE

2.1 Protocolos soportados (inspección profunda L7)

• Modbus/TCP (502): FC 1–43, read/write, direcciones de registro, excepciones

• IEC 60870-5-104 (2404): Type IDs, COT, ASDU, IOA, comandos vs telemetría, I/S/U frames

• DNP3 (20000): Select/Operate, Direct Operate, Cold Restart, flags, maestro/esclavo

• EtherNet/IP (CIP) (44818): Encapsulation + servicios CIP (Read/Write Tag, Forward Open)

• S7comm Siemens (102): Job/Ack/Userdata, Read/Write Var, PLC Stop/Control, Download

• OPC UA (4840): HEL/ACK/OPN/CLO/MSG, detección de operaciones sobre canal binario
  
  

2.2 Protocolos soportados (inspección L3–L4)
TCP, UDP, ICMP, ARP, HTTP/HTTPS, SSH, Telnet, RDP, FTP, SMB, DNS, SNMP, MQTT, BACnet, Syslog, MSSQL, TFTP, LDAP.

2.3 Capacidades analíticas

• DPI capa 7 para protocolos ICS

• Detección automática de acciones críticas (escrituras/comandos/operaciones)

• Reconstrucción de flujos de conversación OT

• Identificación heurística de roles maestro/esclavo (HMI/SCADA ↔ PLC/RTU)

• 5 reglas baseline: nuevo host, nuevo puerto OT, escritura/comando, burst anómalo, escaneo

• Timeline forense unificada evento–evidencia

• Motor de hunting y queries con filtros/consultas predefinidas

• Mapeo automático a MITRE ATT&CK for ICS (12 tácticas, 60+ técnicas)

• Modelo Purdue con asignación automática de capas

• Exportación de evidencia con hash SHA-256 (cadena de custodia)
  
  

2.1 Limitaciones

• Análisis pasivo (post-captura). No se inyecta ni modifica tráfico.

• Tráfico cifrado TLS/SSL (OPC UA sobre TLS, HTTPS) no se inspecciona a nivel L7.

• Identificación de roles es heurística: requiere validación manual.

• PCAP > 5 GB requiere segmentación previa.
  
  

3. MARCO NORMATIVO Y REFERENCIAS

• IEC 62443-3-3: requisitos de seguridad de sistemas, monitoreo OT

• NIST SP 800-82 Rev. 3: guía de seguridad para ICS, análisis de tráfico industrial

• NIST CSF 2.0: funciones Detectar (DE) y Responder (RS)

• NERC CIP-005/007: perímetro de seguridad electrónico, monitoreo de puertos/servicios

• MITRE ATT&CK for ICS: tácticas/técnicas adversarias ICS

• Ley 21.663: obligaciones de monitoreo y reporte (infraestructura crítica)

• Ley 21.719: tratamiento de datos personales en capturas

• ISO 27001:2022: A.8.16 monitoreo, A.8.20 seguridad de redes

• ISO 27035: gestión de incidentes
  
  

4. Captura de tráfico

Objetivo: capturar paquetes íntegros con timestamps precisos.

2.1 Herramientas recomendadas

• tcpdump: captura ligera Linux

• dumpcap: captura eficiente con rotación

• Wireshark: visualización en vivo (evitar en producción)

• Network TAP: captura pasiva hardware
  
  

2.2 Comandos de captura (ejemplos)

• tcpdump -i eth0 -nn -s 0 -w captura_ot_YYYYMMDD_HHMMSS.pcap

• dumpcap -i eth0 -b filesize:512000 -b files:10 -w captura_ot.pcapng

• tcpdump -i eth0 -nn -s 0 -w captura.pcap 'net 10.10.0.0/16'
  
  

2.3 Duración recomendada

• Baseline inicial: 24–72 h

• Respuesta a incidente: inmediata + 4 h post-detección

• Auditoría: 4–8 h en horario operacional

• Post-cambio: 2–4 h
  
  

2.4 Integridad (cadena de custodia)

• Generar SHA-256: sha256sum captura_ot.pcap > captura_ot.pcap.sha256

• Registrar: archivo, tamaño, hash, fecha/hora, punto de captura, analista