El escaneo del martes y el DNS

Tres alertas de barrido interno, de la misma regla y con la misma severidad: dos de madrugada y una a media tarde. La regla solo dice que un origen tocó muchos destinos o muchos puertos; no dice si estaba autorizado. Un escáner de vulnerabilidades de la casa hace exactamente lo mismo, pero dentro de su ventana y desde su dirección conocida, y eso se verifica en la tabla de cambios.

Lo que separa a un escáner autorizado de uno que no lo está no es la forma del tráfico: es el papel que lo respalda.

Queda una alerta de la misma regla: a las 14:05, de otro origen. Mira la tabla de barridos: cuántos destinos, cuántos puertos, cuántos intentos sin respuesta y a qué hora. Luego busca ese origen en los cambios aprobados: si ninguno lo menciona, el barrido no tiene respaldo y pasa a ser un hallazgo, aunque sea mucho más pequeño que el del escáner.

Un escaneo pequeño y dirigido es más preocupante que uno enorme y autorizado, porque alguien eligió dónde mirar.

El barrido autorizado probó 1024 puertos por equipo; el otro, solo veintidós, y en los once equipos que de verdad existen en el segmento de servidores. Un conteo mide el ruido, no la intención. Un recorrido corto y dirigido a servidores concretos, con la lista de puertos que suelen significar administración y archivos, es la forma de quien ya sabe qué busca.

Decidir qué barrido merece abrirse por el número más grande es el atajo de «busca el pico»: aquí, el pico es justo el que tiene permiso.

El registro de conexiones del origen sospechoso permite ver qué pasó con cada intento: rechazado (REJ), sin respuesta (S0) o completo (SF). Un barrido solo importa por lo que encuentra: los puertos que contestan con una conexión completa dicen qué servicio quedó a la vista de quien estaba probando. Lee el registro de conexiones en la parte del servidor de archivos de la empresa.

Esa lista corta de servicios que respondieron es lo que se anota para saber qué mirar a continuación en ese servidor.

Una de las alertas del martes es una ráfaga de consultas DNS sin respuesta desde un puesto de contabilidad al mismo nombre. Antes de tratarla como señal, mira a qué nombre pregunta, si el nombre existió alguna vez y si algún cambio pendiente lo explica. Un nombre que dejó de existir no es un adversario: es una cola de impresión huérfana, y su sitio es una tarea de limpieza.

No todo lo que falla es un ataque; saber separar la higiene del hallazgo es lo que evita que el caso real se pierda entre el ruido.