============================================================================== ATAQUES A REFRIGERACIÓN OT GOLPEAN MÁS DE 400 SUPERMERCADOS EUROPEOS ============================================================================== Fuente: https://www.vantis.cl/noticias/riesgo-correlacionado-ot-refrigeracion-supermercados-europa Publicado: 2026-11-03 (hora de Chile) Ambito: latam · Criticidad: alta Descargado: 2026-11-03 18:32 (hora de Chile) COMO USAR ESTE ARCHIVO ---------------------- La regla SIGMA es la canonica: es el formato neutral del que se derivan las demas. Si tu SIEM no aparece aca, convierte esa con pySigma. Las traducciones a motores concretos se incluyen por conveniencia y ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de tabla, indice y campo antes de ponerlas en produccion. Una regla que no dispara por un campo mal escrito es peor que no tener regla. QUE NECESITAS TENER LOGUEADO ---------------------------- · Logs de firewall/perímetro con los segmentos de red de OT de refrigeración correctamente etiquetados en el inventario de activos · Logs de concentrador VPN usado para el acceso remoto de contratistas · Syslog o exportación de eventos del propio controlador (Danfoss/Copeland/Dixell), cuando el equipo lo soporte · CMDB/inventario de activos OT con etiqueta de zona para poder construir las reglas que siguen ============================================================================== REGLA 1 de 3 · SIGMA (canonica, neutral) Conexión entrante desde internet hacia interfaz de gestión de controlador OT de refrigeración ============================================================================== Requiere: Requiere que la red donde viven los controladores de refrigeracion este segmentada y etiquetada como zona 'ot_refrigeracion' en el firewall perimetral; sin ese etiquetado previo la regla no puede escribirse de forma util. title: Conexion entrante desde internet hacia controlador OT de refrigeracion id: b6b5a2d4-7e3f-4b1a-9c2e-8f1d6a3c9b70 status: experimental description: Detecta trafico entrante desde una zona no confiable hacia segmentos de red etiquetados como OT de refrigeracion, sobre puertos tipicos de interfaces de gestion web (80/443/8080). logsource: category: firewall product: firewall detection: selection: dst_port: - 80 - 443 - 8080 src_zone: 'external' dst_zone: 'ot_refrigeracion' action: 'allowed' condition: selection falsepositives: - Trafico legitimo de VPN mal etiquetado como zona externa - Escaneos de superficie externa autorizados por el propio equipo de seguridad level: high tags: - attack.initial_access - attack.t0883 ============================================================================== REGLA 2 de 3 · MICROSOFT SENTINEL - KQL Trafico entrante hacia controladores OT de refrigeracion (Azure Firewall / CommonSecurityLog) ============================================================================== Requiere: Logs de firewall perimetral ingeridos en Sentinel via CommonSecurityLog, con los campos DestinationZone/SourceZone poblados por la convencion de etiquetado del inventario de activos OT. CommonSecurityLog | where DeviceAction == "Allow" | where DestinationZone == "ot_refrigeracion" | where SourceZone == "external" | where DestinationPort in (80, 443, 8080) | project TimeGenerated, SourceIP, DestinationIP, DestinationPort, DeviceVendor, DeviceProduct | sort by TimeGenerated desc ============================================================================== REGLA 3 de 3 · WAZUH / VERIFICACION EN HOST Alerta de exposicion externa hacia activo OT de refrigeracion ============================================================================== Requiere: Decodificador de firewall activo en Wazuh (rule group 4100 o equivalente al dispositivo usado) con los campos de zona de origen/destino mapeados segun el etiquetado del inventario OT. 4100 ot_refrigeracion external Conexion entrante desde zona externa hacia controlador OT de refrigeracion ot,ics,refrigeracion ============================================================================== FALSOS POSITIVOS ESPERABLES ============================================================================== La regla depende enteramente de que el etiquetado de zona 'ot_refrigeracion' en el firewall sea correcto; si la segmentación aún no existe, la regla no genera falsos positivos porque simplemente no puede desplegarse con sentido — y esa es en sí misma la primera brecha a cerrar. Una vez etiquetada la zona, el principal falso positivo esperable es tráfico legítimo de VPN de mantención mal clasificado como zona externa; se corrige ajustando la definición de zonas, no desactivando la regla. ============================================================================== Vantis Chile SpA · https://www.vantis.cl/noticias Analisis con fines defensivos. Reutilizable citando la fuente. ==============================================================================