Hackathon Nacional de Ciberdefensa - CyberAR2026

Simulador de Ciberdefensa ICS/SCADA — CyberAR 2026

Es un laboratorio local y aislado para ensayar ataques y defensas sobre infraestructura crítica (energía, agua, control de accesos) sin tocar ni poner en riesgo los sistemas reales. En lugar de atacar una planta productiva —lo que sería peligroso e inviable—, el software levanta un gemelo digital defensivo: una réplica virtual del "cerebro" que controla esas plantas (un PLC) hablando el protocolo industrial Modbus TCP real, contra el cual se ejecutan ataques y se prueban las defensas.

Qué hace, paso a paso:

1. Modela al defensor por territorio. A partir del perfil de una jurisdicción (municipio, provincia o nación) —escala de gobierno, dependencias críticas, nivel de digitalización, madurez de ciberseguridad, marco normativo— define qué superficie de ataque es realista. Un municipio nunca genera el escenario de una nación. Los datos son ficticios/placeholder por diseño: nunca se cargan datos reales de una jurisdicción concreta.
2. Genera el escenario de forma determinística. Combinando ese perfil con una de tres dificultades (fácil/normal/difícil) arma el escenario de ataque. Es reproducible: misma entrada → misma salida, sin azar ni IA en la decisión técnica.
3. Levanta la planta virtual. Un PLC virtual (vía pymodbus) escucha Modbus TCP real en loopback (127.0.0.1), con tráfico legítimo de fondo que simula la operación normal. No es un mock: los ataques se conectan por socket y el PLC obedece de verdad.
4. Ejecuta el red team (5 ataques reales). Reconocimiento (scan), escritura ilegítima fuera de rango, replay (reinyección de comandos), suplantación de maestro y flood/DoS. Corren en modo portable (sin privilegios especiales, siempre) y opcionalmente en modo raw con scapy sobre loopback si hay privilegios de red.
5. Detecta con el blue team (IDS). Un motor de reglas con identificador propio (R-RANGO-001, R-ALLOW-001, R-RITMO-001) mapeadas a MITRE ATT&CK for ICS detecta cada ataque por el contenido del evento (valor fuera de rango, origen no autorizado, ritmo anómalo), no por un guion. Las reglas se exportan a formato Sigma, interoperable con SIEMs reales.
6. Mitiga y documenta. Aplica mitigación graduada según la madurez de la jurisdicción (alertar, bloquear IP, aislar segmento) y arma una cadena de evidencia encadenada por SHA-256 —a prueba de manipulación, como una caja negra— más un reporte de incidente en HTML.
7. Lo muestra en vivo. Con doble clic abre un tablero web local estilo SCADA que explica cada etapa y muestra el ataque, la detección y la mitigación ocurriendo en tiempo real, con la planta reaccionando (registros fuera de rango en rojo). También hay modo consola (--cli).

Características clave:

• 100% local y air-gap-able: solo usa 127.0.0.1, no abre puertos a la red ni a internet; los datos sensibles nunca salen del equipo. Clave para uso sensible/militar.
• Portable: ejecutable de un solo archivo para Windows y Linux; no requiere instalar Python, ni root/Npcap/Administrador para el flujo por defecto.
• Reproducible y auditable: escenarios determinísticos + evidencia con hash.
• Extensible: el motor de detección/evidencia/reporte es agnóstico al protocolo; la arquitectura permite sumar OPC-UA, DNP3, S7 y avanzar hacia un gemelo digital de alta fidelidad con datos reales.

Estado: prueba de concepto funcional y probada de punta a punta, con datos ficticios. Pensada como base para gemelos digitales de infraestructura crítica de mayor fidelidad.