Arquitectura de Ciberseguridad Industrial Zero-Trust

1. Resumen Ejecutivo

La convergencia de IT (Tecnología de la Información) y OT (Tecnología Operacional) ha expuesto a las plantas industriales a nuevas superficies de ataque. Los PLCs y SCADAs, diseñados hace décadas sin seguridad en mente, ahora están siendo conectados a internet.

iGromi OS aborda este desafío con una arquitectura "Secure by Design" que asume que la red es hostil. Este documento detalla los mecanismos de defensa en profundidad, incluyendo nuestra política de "Cero Puertos de Entrada", túneles VPN WireGuard® y aislamiento de procesos mediante contenedores.

2. Modelo de Amenazas

Diseñamos iGromi OS asumiendo los siguientes vectores de ataque:

• Acceso Físico: Un atacante conecta un laptop al puerto ethernet del dispositivo.
• Red Comprometida: La red Wi-Fi o LAN de la planta tiene malware activo.
• Ataque de Nube: Los servidores centrales son comprometidos.

3. La Política "No-Inbound" (Invisibilidad)

La característica de seguridad más importante de iGromi OS es que no escucha.

• 0 Puertos Abiertos: Por defecto, el dispositivo no tiene puertos de entrada abiertos (ni SSH, ni HTTP, ni Telnet) hacia la interfaz WAN.
• Conexiones Salientes: Todas las comunicaciones son iniciadas desde el dispositivo hacia la nube (Outbound-Only) utilizando WebSockets seguros (WSS) o túneles VPN.
• Resultado: El dispositivo es invisible para escáneres de red como Shodan o Nmap desde internet. No se puede atacar lo que no se puede encontrar.

4. Túneles WireGuard®

Para el acceso remoto y la telemetría, utilizamos WireGuard, un protocolo VPN moderno que es más rápido, simple y seguro que OpenVPN o IPsec.

• Criptografía de Vanguardia: Utiliza Noise protocol framework, Curve25519, ChaCha20, Poly1305.
• Roaming: Mantiene la conexión incluso si el dispositivo cambia de red (ej. de Wi-Fi a 4G).
• Stealth: WireGuard no responde a paquetes no autenticados, comportándose como un "agujero negro" en la red.

5. Aislamiento de Contenedores (Docker)

Cada aplicación en iGromi OS corre en su propio contenedor aislado:

• Node-RED: Lógica de control.
• InfluxDB: Base de datos de series de tiempo.
• Mosquitto: Broker MQTT.

Si un atacante logra comprometer el servicio de Node-RED (por ejemplo, mediante una inyección de código en un flujo mal configurado), no obtiene acceso al sistema operativo anfitrión. El contenedor limita el acceso a recursos y sistemas de archivos.

6. Soberanía de Datos (Local-First)

A diferencia de las soluciones "Cloud-Native", iGromi es "Local-First".

• Almacenamiento en el Borde: Los datos se guardan primero en el disco SSD industrial del dispositivo.
• Sin Dependencia de Nube: Si se corta internet, la planta sigue operando, los dashboards locales siguen funcionando y los datos se siguen guardando.
• Propiedad: Los datos en el dispositivo pertenecen al cliente. Pueden ser extraídos físicamente o vía red local sin pasar por servidores de iGromi.

7. Conclusión

iGromi OS permite a las plantas industriales modernizarse sin sacrificar la seguridad. Al eliminar la superficie de ataque de entrada y aislar los procesos, ofrecemos una postura de seguridad superior a la de los PLCs tradicionales conectados a gateways VPN genéricos.