Seguridad BACnet: segmentación ahora, BACnet/SC para proyectos nuevos
BACnet/IP y MS/TP se diseñaron en 1995 sin autenticación ni cifrado — sin problema en una VLAN de BAS aislada, pero una exposición real en cuanto esa red se conecta con la IT de oficina general. Cerramos esa brecha con una segmentación correcta en lo existente y con BACnet/SC en los proyectos nuevos.
Cómo protegemos su red BACnet
Auditoría de red
Mapeamos sus segmentos BACnet/IP y MS/TP, revisamos cómo la red BAS toca hoy la IT de oficina y detectamos tráfico broadcast que llega más lejos de lo necesario.
VLAN dedicada para BAS
La red BACnet pasa a su propia VLAN, separada del tráfico de oficina e invitados, con reglas de firewall limitadas al tráfico UDP 47808 que realmente necesita el servidor BMS.
Control de BBMD y Foreign Device
El registro de Foreign Device se restringe a direcciones IP de BBMD conocidas, de modo que el enrutamiento de broadcast entre subredes no pueda ser secuestrado por un dispositivo no reconocido.
Especificación de BACnet/SC para proyectos nuevos
En cuadros y controladores nuevos especificamos BACnet/SC — un transporte WebSocket cifrado con TLS 1.3 y autenticación de dispositivos mediante certificados X.509 — allí donde la red BAS no puede permanecer completamente aislada.
Qué cubre realmente la seguridad de BACnet
Año de finalización de BACnet/SC
BACnet Secure Connect añade al modelo de objetos clásico de BACnet un transporte WebSocket cifrado con TLS 1.3 y autenticación de dispositivos mediante certificados X.509.
VLAN de BAS aislada
El tráfico de automatización del edificio queda separado de la red general de oficina e invitados por diseño, no solo por convención.
Reglas de firewall limitadas a UDP 47808
Solo el tráfico BACnet/IP realmente necesario para el servidor BMS atraviesa el firewall — nada más.
Lista blanca de BBMD / Foreign Device
El enrutamiento de broadcast entre subredes queda limitado a direcciones BBMD aprobadas explícitamente.
BACnet/SC para proyectos nuevos
Cifrado TLS 1.3 y certificados de dispositivo X.509 donde la red BAS no puede permanecer totalmente separada de la IT.
Un enfoque honesto por fases
La segmentación es la solución a corto plazo para lo ya instalado; BACnet/SC es la respuesta a largo plazo para los proyectos nuevos — no vendemos una como sustituto de la otra.
Qué incluye
Una revisión de segmentación y seguridad ajustada a su instalación BACnet existente o a la especificación de su próximo proyecto.
- Mapeo de la red BACnet/IP y MS/TP
- Diseño de reglas de VLAN y firewall (alcance UDP 47808)
- Lista blanca de direcciones IP de BBMD / Foreign Device
- Apoyo en la especificación de BACnet/SC para nuevos controladores y cuadros
- Documentación de entrega para sus equipos de IT y BMS
Preguntas frecuentes
¿Es BACnet seguro por defecto?
No. BACnet se estandarizó en 1995 como ANSI/ASHRAE 135, sin autenticación ni cifrado integrados. El BACnet/IP y el MS/TP clásicos transmiten en claro dentro de su segmento — sin problema en una VLAN de BAS aislada, pero se convierte en una exposición real al conectarse con la IT de oficina general.
¿Qué diferencia hay entre segmentación y BACnet/SC?
La segmentación es una solución de red: VLAN dedicada, reglas de firewall limitadas a UDP 47808, lista controlada de BBMD / Foreign Device. BACnet/SC es una solución a nivel de protocolo: transporte WebSocket cifrado con TLS 1.3 y autenticación de dispositivos mediante certificados X.509, finalizado en 2020.
¿Necesito BACnet/SC para una instalación existente?
No necesariamente de inmediato. La segmentación es la solución práctica a corto plazo para instalaciones ya en funcionamiento. Vale la pena especificar BACnet/SC en proyectos nuevos o al sustituir equipos, sobre todo donde la red BAS no puede permanecer completamente aislada de la IT.
¿Qué puerto usa BACnet/IP?
El puerto UDP 47808 (0xBAC0 en hexadecimal). Las reglas de firewall entre la VLAN de BAS y el resto de la red deben limitarse exactamente a ese tráfico, hacia y desde el servidor BMS.
¿Qué es un BBMD y por qué importa para la seguridad?
Un BACnet Broadcast Management Device reenvía broadcasts entre subredes IP, ya que los routers no los reenvían por defecto. El registro de Foreign Device debe restringirse a direcciones IP de BBMD conocidas — un registro abierto permite que cualquier dispositivo de la red se anuncie en los broadcasts de su BAS.
Hable con un ingeniero sobre su red BACnet
Envíenos su topología actual o la especificación de su próximo proyecto — le diremos con claridad dónde basta la segmentación y dónde conviene invertir en BACnet/SC.