El escaneo y el salto entre puestos, vistos en el registro

Un equipo normal habla con pocos destinos, por pocos puertos, y casi todo lo que intenta le contesta. Un barrido es lo contrario: muchas conexiones en poco tiempo, casi todas sin respuesta. En el registro de Zeek se ve en el estado de cada conexión —S0 si nadie contestó, REJ si el otro lado la rechazó— y, resumido por origen, en dos cifras: cuántos destinos distintos y cuántos puertos distintos.

Esas dos cifras dan la forma. Un barrido vertical toca muchos puertos de pocos equipos: quiere saber todo lo que ofrece una máquina concreta. Un barrido horizontal toca un solo puerto, o muy pocos, en muchos equipos: ya sabe qué servicio le interesa y busca dónde está encendido. El segundo es el típico de alguien que ya está dentro y busca por dónde seguir.

Casi todas las empresas tienen un escáner de vulnerabilidades propio que, cada cierto tiempo, recorre la red tocando puertos. En el registro hace exactamente lo mismo que un barrido hostil, y con más ruido. Por eso un barrido no se juzga por su forma, sino por tres datos que tienen que coincidir a la vez: la dirección del escáner autorizado, su ventana horaria y el alcance que le tocaba esa noche.

Un barrido que falla en uno de los tres ya no es el escáner, aunque se le parezca. Y si nace en un puesto de trabajo, a media tarde, el caso cambia de prioridad: un puesto no tiene por qué saber qué otros equipos tienen abierto el servicio de compartir archivos.

Cualquier dirección pública recibe barridos de internet todos los días, a todas horas: programas que recorren rangos enteros buscando servicios expuestos. El cortafuegos los deniega y los registra, y si se escalara cada uno el turno no haría otra cosa. Eso no los vuelve invisibles: se registran, se miran por si algo contestó, y la dirección queda a mano por si aparece en otro sitio.

El que sí se escala es el barrido que nace dentro. Uno de fuera es alguien que llama a la puerta; uno de dentro es alguien que ya está en la casa abriendo armarios. La misma forma en el registro tiene prioridades opuestas según de qué lado del cortafuegos sale.

En una red de empresa, los puestos hablan con los servidores —el de archivos, el de impresión, la base de datos— y con el proxy. Entre ellos, casi nunca. Por eso el tráfico de puesto a puesto, el que va de lado dentro de la red («este-oeste»), es uno de los mejores sitios para ver un movimiento lateral: alguien que, desde el primer equipo que consiguió, entra en el siguiente.

Los servicios con los que se entra en un equipo Windows a distancia son pocos y conocidos: compartir archivos (445, SMB), el escritorio remoto (3389, RDP) y la administración remota (5985 y 5986, WinRM). Usarlos es normal desde el salto de sistemas hacia un equipo al que se da soporte. Lo que no es normal es un puesto usándolos contra otro puesto por primera vez en meses. La comparación con los últimos 90 días es lo que convierte una conexión corriente en un hallazgo.

Dos minutos después de terminar el barrido, el mismo equipo abrió una sesión de administración remota contra otro puesto y le copió algo por el servicio de archivos. La red no dice qué se copió ni qué se ejecutó allí: eso lo dirá el agente del puesto. Lo que sí dice es el siguiente equipo que hay que mirar, y ese es el dato que el escalado necesita ya.