Reconocer un escaneo, y desde dónde

Un barrido de puertos tiene una silueta inconfundible: un mismo origen que abre conexiones contra muchos destinos y muchos puertos en pocos segundos, y casi ninguna se completa. No hace falta descifrar nada ni conocer la herramienta: la forma —concentración en el tiempo, muchas aperturas, pocas respuestas— es la firma. En la captura de Ventura, un equipo hace exactamente eso contra el rango de servidores.

Reconocer la silueta es lo que te deja decir «esto es un escaneo» en segundos, antes de entrar a los detalles.

Ver el escaneo es la mitad; decir desde qué equipo sale es lo que lo convierte en un hallazgo accionable. Un barrido que nace dentro de la propia red de empleados no es lo mismo que uno que llega de fuera: significa que un equipo interno está haciendo reconocimiento contra los servidores, y eso apunta a un equipo comprometido o a un uso indebido. El origen es el dato que dispara la siguiente acción: ir a mirar ese equipo.

Sin el origen, el escaneo es una curiosidad; con el origen, es un ticket con un equipo al que ir.

No todo escaneo es un ataque. Muchas empresas corren un escáner de vulnerabilidades propio, que hace exactamente lo mismo: toca muchos puertos de muchos equipos. La diferencia está en el contexto, no en el tráfico: el escáner autorizado sale de una dirección conocida y en una ventana de mantenimiento acordada. Un barrido que sale de un puesto de empleado cualquiera, a media tarde, fuera de esa ventana, no coincide con ninguna de las dos cosas —y por eso es sospechoso.

La pregunta correcta nunca es «¿hay un escaneo?» sino «¿este escaneo estaba previsto, desde donde se prevé, cuando se prevé?».

En la red del laboratorio, cuando lanzas el escaneo en vivo, un motor de detección (Suricata) con reglas propias del laboratorio dispara una alerta que nombra el patrón: «barrido de conexiones a muchos destinos en poco tiempo». Cruzar lo que viste en la captura con lo que dijo la alerta es el trabajo real de un SOC: la captura te dice qué pasó, la alerta te dice que el sistema también lo notó, y las dos juntas sostienen el reporte.

Una alerta sin la captura detrás es una corazonada; la captura sin la alerta es trabajo manual que no escala. Se usan las dos.

Ya distingues la silueta de un barrido y sabes que el origen y la ventana horaria son lo que lo convierten en sospechoso o lo explican como rutina. Ahora pruébalo sobre la captura del segmento de servidores: hay dos barridos, uno autorizado y uno sospechoso. Aísla el que sale de un puesto de empleado fuera de la ventana de mantenimiento y lee el código que acompaña a ese tráfico.