Bitstream OT-IDS Sistema de Deteccion de Intrusiones para Redes OT-ICS en Subestaciones y Plantas de Infraestructura Critica

El Bitstream OT-IDS es el sistema de detección de intrusiones diseñado específicamente para las redes de tecnología operacional (OT) de infraestructura crítica — donde los sistemas IDS de IT convencionales no pueden aplicarse porque inyectar paquetes de prueba en una red que controla disyuntores de alta tensión o válvulas de planta química puede causar un trip de equipo o un incidente de seguridad física en lugar de simplemente detectar el ataque.

El sensor OT-IDS se conecta en modo completamente pasivo mediante un puerto SPAN del switch IEC 61850-3 de la subestación o planta — captura y analiza todo el tráfico de la red de control sin transmitir ningún paquete hacia la red — y construye un modelo de comportamiento de línea base de la red OT durante las primeras 72 horas de operación: aprende cuáles IEDs envían mensajes GOOSE hacia cuáles otros IEDs, con qué frecuencia, qué valores de parámetros son normales para cada registro Modbus, y qué patrones de tráfico DNP3 corresponden a las operaciones normales de SCADA. Una vez construida la línea base, el sistema genera alertas en tiempo real cuando detecta desviaciones: un IED que nunca ha enviado mensajes GOOSE de control de disyuntor ahora envía un comando de apertura de disyuntor (posible movimiento lateral de un atacante que ha comprometido ese IED), un nuevo dispositivo aparece en la red que no estaba en el inventario original (posible dispositivo no autorizado), o el servidor SCADA emite comandos Modbus con valores fuera del rango de operación histórico (posible manipulación del HMI o del SCADA).

El despliegue air-gapped sin internet es un requisito de diseño — el OT-IDS no necesita conectividad externa para actualizar firmas ni para funcionar, y su interfaz de gestión y alertas opera exclusivamente en la red de gestión interna de la planta mediante TLS 1.3 sin dependencia de servicios en la nube. Las alertas se exportan en tiempo real al SIEM de la organización via syslog o al sistema de gestión de activos OT via API REST, con categorización automática según las categorías de incidentes NERC-CIP CIP-007 y CIP-010 para facilitar la documentación de cumplimiento normativo.