Técnicas de ataque explicadas

Es la forma en que un atacante se extiende desde el primer equipo comprometido a otros, normalmente con credenciales robadas y servicios remotos como SMB, RDP, SSH o WinRM. MITRE ATT&CK lo recoge como la táctica TA0008; Remote Services es la técnica T1021.

Busque un equipo que se conecta al mismo destino externo a intervalos casi regulares, a todas horas, con mensajes pequeños de tamaño parecido. El patrón aparece en los datos de flujo y en los registros del cortafuegos, también en el tráfico cifrado, porque los tiempos, el volumen y el destino no van cifrados.

En gran medida, sí: quién se conecta con quién, por qué puerto, cuándo y cuántos datos se mueven es visible sin descifrar. Lo que queda oculto es el contenido de la sesión, como los comandos enviados en una sesión remota cifrada.

Las que generan tráfico entre equipos, por ejemplo Network Service Discovery (T1046), Remote Services (T1021), Application Layer Protocol (T1071), Encrypted Channel (T1573) y Exfiltration Over C2 Channel (T1041). Las técnicas que no salen de un equipo corresponden a las herramientas instaladas en los propios equipos.

El beaconing C2 (command and control) es un malware que contacta con el servidor del atacante a intervalos regulares para pedir instrucciones. En la red parece una serie de conexiones pequeñas al mismo destino cada pocos minutos, de día y de noche, a menudo con una ligera variación aleatoria para que parezcan menos regulares. Como es un patrón en el tiempo, sigue siendo visible aunque el tráfico vaya cifrado. El software legítimo también lo hace, como los agentes de actualización, las herramientas de monitorización o las aplicaciones de chat, así que lo que importa es un destino nuevo, un equipo que no tiene motivo para necesitarlo o un ritmo que nunca se detiene, ni siquiera de noche. NetSenX detecta el beaconing en todos los planes, incluido Free, y explica en la alerta qué características del ritmo y del destino la provocaron.

La exfiltración es el robo de datos copiándolos fuera de su red, a menudo a un almacenamiento en la nube o a un servidor que controla el atacante, y normalmente antes de que el ransomware cifre nada. Los atacantes la reparten en noches y fines de semana o mantienen cada transferencia pequeña para evitar las alarmas de volumen sencillas. Se detecta comparando el tráfico saliente de cada equipo con su propia normalidad: destino, volumen y hora del día. Fíjese sobre todo en las subidas a servicios de almacenamiento en la nube o a direcciones que no usa ningún otro equipo, algo que los avisos públicos sobre grupos de ransomware describen una y otra vez. El cifrado oculta el contenido de una transferencia, no su volumen, su destino ni su hora. NetSenX detecta volúmenes de datos salientes inusuales por equipo, en todos los planes, incluido Free.

«Living off the land» significa que los atacantes usan las herramientas que ya hay en sus sistemas, como PowerShell, el escritorio remoto o utilidades de administración, en lugar de su propio malware. El antivirus a menudo las deja pasar porque son legítimas. Lo que los delata es un uso inusual, como una cuenta que inicia sesión donde nunca lo había hecho o un puesto de trabajo que abre sesiones hacia muchos servidores. Ayuda mantener referencias de la actividad normal, y también limitar quién puede usar las herramientas de administración. NetSenX detecta en la red las sesiones nuevas entre equipos, los escaneos y el movimiento lateral, en todos los planes. Lo que ocurre por completo dentro de un equipo, como un script que lee archivos, nunca cruza la red y requiere detección en el endpoint.

A menudo, si se comunica. Un pequeño ordenador o un puente Wi-Fi escondido bajo una mesa tiene que llegar al atacante, así que aparece como un equipo que abre conexiones hacia fuera, a menudo a intervalos regulares. Revise sus switches en busca de direcciones MAC desconocidas y use seguridad de puertos o 802.1X donde pueda. NetSenX ve el tráfico de los equipos de los segmentos monitorizados y detecta beaconing y conexiones inusuales; un dispositivo que guarda silencio, o que está en un segmento que no monitoriza, queda fuera de la vista.

MITRE ATT&CK es una base de conocimiento pública y gratuita de las tácticas y técnicas que usan los atacantes, elaborada por la organización sin ánimo de lucro MITRE a partir de incidentes reales y actualizada dos veces al año. Las tácticas son los objetivos del atacante, como el acceso inicial, el descubrimiento o la exfiltración; las técnicas son las formas de lograrlos, cada una con un identificador, por ejemplo T1021 para servicios remotos. Los defensores la usan como lenguaje común: para describir una alerta, comparar herramientas y ver qué técnicas cubren sus controles y cuáles no. No es una lista que completar, y ningún producto cubre todas las técnicas. NetSenX indica en una alerta la técnica de ATT&CK cuando una detección corresponde a una, y muestra en una vista de cobertura qué técnicas abordan sus detecciones activadas.

Describen un ataque con tres niveles de detalle. Una táctica es el objetivo del atacante en un momento dado, el porqué: el movimiento lateral, por ejemplo, consiste en pasar de una máquina a otras. Una técnica es cómo lo consigue, como usar servicios remotos, y una subtécnica lo concreta más, como el escritorio remoto o los recursos administrativos compartidos de SMB. Un procedimiento es la forma concreta en que lo hace un grupo determinado: qué herramienta, qué comando, en qué orden. En conjunto se llaman TTP. La distinción importa para la defensa: bloquear un procedimiento, como el hash del archivo de una herramienta, se elude con facilidad, mientras que detectar una técnica, como un puesto que de repente abre sesiones de administración hacia muchos servidores, funciona sea cual sea la herramienta. La detección de red trabaja sobre todo a nivel de técnica, y por eso las alertas de NetSenX nombran técnicas y no herramientas.

El reconocimiento es la recogida de información por parte del atacante antes de actuar. En MITRE ATT&CK es la primera táctica y abarca lo que ocurre fuera de su red: escanear sus direcciones IP públicas en busca de servicios abiertos, recopilar nombres de empleados y formatos de correo de su web y de las redes sociales, investigar a sus proveedores y buscar contraseñas filtradas. Gran parte de ello es invisible para usted, porque usa fuentes públicas. Lo que sí puede hacer es reducir lo que encuentra: cerrar los servicios expuestos a internet que no use, limitar al mínimo los detalles públicos sobre su informática y comprobar si direcciones de la empresa aparecen en filtraciones conocidas. Los escaneos de sus direcciones públicas aparecen en los registros del cortafuegos, aunque en internet son un ruido de fondo constante. Una vez dentro, los atacantes hacen una segunda ronda de descubrimiento, que es una táctica distinta y mucho más fácil de ver desde la red.

El desarrollo de recursos es la preparación por parte del atacante de las herramientas y la infraestructura de un ataque: alquilar servidores, registrar dominios parecidos, comprar o robar cuentas, conseguir malware o certificados de firma de código, o comprar el acceso a una víctima a un intermediario de acceso inicial. Ocurre en el lado del atacante antes de que nada le llegue a usted, así que hay poco que detectar directamente. Sus huellas aparecen después, y eso es útil: un dominio registrado la semana pasada que se parece al de su proveedor, un destino en servidores en la nube recién alquilados, un certificado emitido días antes de la conexión. Los feeds de inteligencia de amenazas y los avisos publican ese tipo de infraestructura. Registre las erratas habituales de su propio dominio y configure DMARC, para que sea más difícil abusar de su nombre. NetSenX no observa cómo los atacantes montan su infraestructura; ve a sus equipos conectarse a ella, como un beaconing hacia un servidor externo nuevo.

El acceso inicial es la táctica de conseguir un primer punto de apoyo en su red. Las vías de entrada habituales son el phishing que lleva a alguien a ejecutar un archivo o introducir una contraseña, la explotación de una vulnerabilidad en un sistema expuesto a internet como una pasarela VPN o un cortafuegos, el inicio de sesión en servicios remotos con contraseñas robadas o adivinadas, el abuso del acceso de un proveedor y las descargas ocultas desde sitios web comprometidos. Los avisos de CISA sobre ransomware citan estas vías una y otra vez. La mayoría de las defensas están fuera de un sensor de red: parchear primero los equipos expuestos a internet, autenticación multifactor (MFA) en todo inicio de sesión remoto, filtrado del correo y cierre de los servicios que no necesita. El acceso inicial en sí suele verse solo en parte en la red, pero lo que viene después normalmente sí: la máquina comprometida contacta con el servidor del atacante. NetSenX detecta ese beaconing en todos los planes, incluido Free.

La ejecución es la táctica de hacer funcionar el código del atacante en un sistema: una macro en un documento, un script que arranca un usuario engañado, un comando enviado por una herramienta de administración remota o una tarea programada. Ocurre dentro del equipo, así que la defensa principal también está ahí: detección y respuesta en endpoints (EDR), listas blancas de aplicaciones, bloqueo de macros en archivos procedentes de internet y limitación de las herramientas de scripting para los usuarios corrientes. Un sensor de red no ve arrancar un proceso. Ve las consecuencias que cruzan la red, y a menudo basta para dar la alarma: el programa nuevo descarga su siguiente fase, después llama a un servidor a intervalos regulares o la máquina empieza a escanear a sus vecinas. NetSenX lo detecta en todos los planes; no puede decirle qué programa del equipo lo hizo, que es una pregunta para las herramientas de endpoint.

La persistencia es la forma en que los atacantes conservan su acceso a pesar de reinicios, cambios de contraseña y limpiezas: cuentas nuevas, tareas programadas y servicios, herramientas de acceso remoto instaladas como si fueran legítimas, web shells en servidores expuestos a internet, configuraciones de VPN o cortafuegos modificadas y tokens de sesión robados para servicios en la nube. La mayor parte de la persistencia vive en los equipos y en los sistemas de identidad, así que se encuentra con herramientas de endpoint, revisiones del directorio y comparaciones de configuración. Compruebe con regularidad si hay cuentas de administrador que nadie sabe explicar, software de acceso remoto que nadie aprobó y reglas de reenvío en los buzones. Lo que la persistencia suele necesitar es una conexión de vuelta al atacante, y eso sí se ve en la red: un equipo que sigue llamando al mismo servidor externo, incluso semanas después de cerrar un incidente. NetSenX detecta ese beaconing en todos los planes.

La escalada de privilegios es el atacante convirtiendo un acceso limitado en más poder: de usuario corriente a administrador local, y de ahí a administrador del dominio o de la nube. Aprovecha vulnerabilidades sin parchear, servicios mal configurados, contraseñas guardadas en scripts o navegadores y cuentas con más permisos de los que requiere su función. Ocurre sobre todo dentro de los equipos y del directorio, así que la prevención consiste en parchear, quitar los permisos de administrador local a las cuentas de uso diario, usar cuentas de administrador separadas solo para administrar y revisar periódicamente quién pertenece a los grupos privilegiados. Un sensor de red ve poco de la escalada en sí. Ve lo que el atacante hace con los nuevos permisos, que normalmente implica la red: sesiones hacia el controlador de dominio, conexiones de administración a muchos servidores, acceso a las copias de seguridad. NetSenX detecta ese movimiento lateral en todos los planes, incluido Free.

Stealth es la táctica de ocultar la actividad maliciosa o hacer que parezca normal. Desde la versión 19 de MITRE ATT&CK, publicada en abril de 2026, asume buena parte de la antigua táctica Defense Evasion, que se dividió en Stealth y Defense Impairment. Stealth abarca técnicas como hacerse pasar por archivos o servicios legítimos, ocultar artefactos y ofuscar archivos para que herramientas y personas los pasen por alto. Las herramientas basadas en firmas tienen dificultades aquí, porque cada pieza parece normal por separado. Lo que sigue viéndose es un comportamiento que no encaja con la historia de un equipo: un ritmo regular hacia un destino nuevo, o un puesto que de repente habla con muchos servidores. Si asigna sus detecciones a ATT&CK, actualice las referencias a Defense Evasion. NetSenX busca ese comportamiento desde la red en todos los planes; nunca descifra el tráfico, así que juzga patrones, no contenidos.

Defense Impairment es la táctica de desactivar, degradar o interferir en los controles de seguridad. MITRE ATT&CK la introdujo en la versión 19, en abril de 2026, al dividir la antigua táctica Defense Evasion en Stealth y Defense Impairment. Ejemplos típicos son apagar el antivirus o los agentes de endpoint, detener o borrar registros y cambiar reglas del cortafuegos para que pase el tráfico del atacante. En el equipo, la defensa es la protección contra manipulación de las herramientas de seguridad, una alerta cuando un agente deja de informar y permisos de administrador limitados a pocas personas. La red aporta una visión independiente: un servidor cuyo agente de endpoint se ha callado sigue teniendo que usar la red, y NetSenX sigue vigilando su comportamiento, como el beaconing, los escaneos y las subidas, en todos los planes. No ve el estado del propio agente; eso lo muestra la consola de endpoints, y conviene revisarla a diario.

El acceso a credenciales es la táctica de robar contraseñas, hashes, tickets y tokens para que el atacante pueda iniciar sesión como alguien legítimo. Las técnicas habituales son extraer credenciales de la memoria de un ordenador, leer contraseñas guardadas en navegadores o scripts, adivinar o rociar contraseñas contra servicios de inicio de sesión, capturarlas en la red con trucos de adversary-in-the-middle y pedir tickets de servicio para descifrarlos sin conexión. Las defensas son la autenticación multifactor (MFA), contraseñas largas y únicas para las cuentas de servicio, menos inicios de sesión de administrador en puestos corrientes y protección de endpoints contra la extracción de memoria. Una parte se ve en la red, como muchas conexiones fallidas desde un equipo hacia servicios de inicio de sesión o trucos con ARP en un segmento; la mayoría ocurre en los equipos y en el directorio. NetSenX ve la parte de red y, sobre todo, para qué se usan después las credenciales robadas: sesiones nuevas entre equipos.

El descubrimiento es el atacante, ya dentro, averiguando qué contiene su red: qué equipos existen, qué servicios ofrecen, qué carpetas compartidas guardan archivos, quiénes son los administradores y dónde están las copias de seguridad. Las técnicas típicas son escanear rangos de direcciones internas, enumerar recursos compartidos, consultar el directorio y leer la configuración de la máquina en la que está. A diferencia del reconocimiento desde fuera, el descubrimiento interno cruza su red, lo que lo convierte en una de las fases más visibles: un equipo que de repente se conecta a muchas direcciones internas en puertos SMB, RDP o de bases de datos. Las consultas al directorio aparecen en los registros de identidad más que en un sensor de flujos. La segmentación limita lo que el descubrimiento puede alcanzar. NetSenX detecta los escaneos internos en todos los planes, incluido Free, y desde el plan Pro los vincula con las sesiones que siguen.

La recopilación es el atacante reuniendo los datos que quiere antes de sacarlos: copiar archivos de carpetas compartidas a un solo sitio, comprimirlos en archivos, leer buzones, exportar una base de datos, hacer capturas de pantalla. A menudo se manifiesta como un equipo que de repente lee mucho más de los servidores de archivos o de las bases de datos que nunca, a veces de noche, seguido de una pausa mientras se crean los archivos comprimidos. Los registros de auditoría de archivos y bases de datos muestran qué se leyó, y las herramientas de endpoint ven la creación de archivos comprimidos. En la red, la recopilación parece sesiones nuevas desde ese equipo hacia muchos servidores de archivos, y el siguiente paso, la exfiltración, un volumen saliente inusual desde él. Limite quién puede leer qué, sobre todo las cuentas de servicio con acceso amplio a archivos. NetSenX detecta sesiones nuevas entre equipos y volúmenes salientes inusuales por equipo en todos los planes; no ve qué archivos se leyeron dentro de sesiones cifradas.

El mando y control es la táctica que usan los atacantes para comunicarse con los sistemas que han comprometido: enviar órdenes, recibir resultados y entregar más herramientas. Las técnicas incluyen contactos regulares por protocolos web, canales cifrados, servicios en la nube o plataformas de mensajería legítimos usados como repetidores, túneles por DNS u otros protocolos, puertos no estándar y proxies que ocultan el servidor real. Como el canal tiene que existir para que el atacante actúe, es una de las cosas que mejor se detectan, incluso cuando el contenido está cifrado: la cadencia, el destino y el ritmo lo delatan. Bloquear destinos maliciosos conocidos ayuda, pero no atrapa los nuevos. NetSenX detecta el beaconing en todos los planes y el tunelado DNS, y desde el plan Starter compara los handshakes TLS con huellas de malware conocido allí donde el agente captura paquetes, en Linux o como sensor SPAN/TAP.

Impact es el objetivo final del atacante hecho visible: cifrar datos para pedir un rescate, borrar sistemas, detener servicios, corromper copias de seguridad, desfigurar webs o manipular datos y procesos industriales. En ATT&CK también incluye impedir la recuperación, como borrar las instantáneas de volumen y los catálogos de copias de seguridad. En esta fase la contención es urgente y las pruebas corren peligro. La prevención está antes: copias desconectadas a las que el atacante no llegue, separación entre TI y producción y alertas sobre los pasos previos. El cifrado en sí ocurre en los equipos; cuando afecta a carpetas compartidas de red, un cliente lee y reescribe grandes cantidades de datos en poco tiempo. NetSenX no tiene una detección específica para la fase de cifrado y no la detiene; vigila las fases anteriores, como el beaconing, los escaneos, el movimiento lateral y los volúmenes salientes inusuales, en todos los planes.

La cyber kill chain es un modelo publicado por Lockheed Martin en 2011 que describe una intrusión en siete etapas: reconocimiento, preparación del arma, entrega, explotación, instalación, mando y control, y acciones sobre los objetivos. Su mensaje es que el atacante tiene que acertar en cada etapa, mientras que al defensor le basta con romper una. MITRE ATT&CK es más detallado y se adapta mejor a lo que ocurre después del primer punto de apoyo, con muchas tácticas y cientos de técnicas, por lo que la mayoría de los equipos usan la kill chain para explicar un ataque a la dirección y ATT&CK para planificar la detección. Ambos llevan a la misma conclusión práctica: los ataques tienen pasos, y cada paso es una ocasión de darse cuenta. Para una pequeña empresa, las etapas finales, mando y control, movimiento dentro de la red y salida de datos, son donde la detección de red como NetSenX aporta más.

Empiece por los ataques a los que más probablemente se enfrentará, no por toda la matriz. Tome dos o tres avisos públicos recientes que encajen con su sector, por ejemplo un aviso de CISA sobre un grupo de ransomware, enumere las técnicas que citan y pregúntese en cada una: la evitaríamos, la veríamos y dónde la veríamos. Anote la respuesta por técnica: endpoint, identidad, correo, red o nada. Los huecos que importan son los pasos en los que todas las respuestas son nada. Después pruebe uno o dos con un ejercicio sencillo en lugar de fiarse de la tabla. No aspire a una cobertura total; aspire a tener al menos una señal fiable en cada fase de un ataque típico. NetSenX nombra en sus alertas la técnica de ATT&CK cuando corresponde y muestra en una vista de cobertura qué técnicas abordan sus detecciones activadas, lo que completa la columna de red de este ejercicio.

Normalmente la misma secuencia. El atacante asegura su punto de apoyo para que sobreviva a un reinicio, contacta con su propio servidor para recibir instrucciones, explora para saber qué contiene la red, roba o eleva credenciales, se desplaza a sistemas más valiosos como los servidores de archivos, el controlador de dominio y el servidor de copias de seguridad, reúne datos, los envía fuera y solo entonces, si es ransomware, cifra. Algunos pasos duran minutos, otros semanas. La mayoría cruzan la red: contactos regulares con un servidor externo nuevo, un equipo que escanea rangos internos, sesiones nuevas de administrador entre máquinas, subidas inusuales. Por eso la detección de red es valiosa tras el primer punto de apoyo, aunque la entrada fuera invisible. NetSenX detecta beaconing, escaneos, movimiento lateral y volúmenes salientes inusuales en todos los planes, incluido Free, en los segmentos que supervisa.

En parte. La detección y respuesta en endpoints (EDR) ve lo que ocurre en cada máquina donde funciona, como el arranque de una herramienta de administración remota o la extracción de credenciales, y un buen EDR detecta así buena parte del movimiento lateral. Se le escapan los equipos sin agente, como impresoras, cámaras, dispositivos y servidores no gestionados, los agentes que los atacantes han desactivado y el movimiento que usa herramientas legítimas con contraseñas válidas, que parece normal en cada máquina por separado. La red ve la relación entre equipos: un puesto de trabajo que de pronto abre sesiones de administración hacia servidores que nunca había usado. Por eso ambos funcionan mejor juntos. NetSenX detecta el movimiento lateral y los escaneos en todos los planes, incluido Free, y desde el plan Pro correlaciona equipos en una sola historia; no ve lo que se ejecuta dentro de un equipo, que sigue siendo tarea del EDR.

Porque nada impide a un atacante que entra llegar a todo. En una red plana, cada ordenador, impresora y servidor está en el mismo segmento y puede conectarse con todos los demás, así que un portátil infectado llega directamente al servidor de archivos, al de copias de seguridad, al sistema contable y a las máquinas de producción. La segmentación divide la red en zonas, como puestos de trabajo, servidores, copias de seguridad, invitados, impresoras y cámaras, y producción, con reglas de cortafuegos que solo permiten las conexiones que cada zona necesita. No tiene que ser perfecta para ayudar: separar las copias de seguridad y los servidores más importantes de los puestos corrientes ya bloquea los caminos más dañinos. Las redes planas también dificultan la detección, porque todo habla con todo. El mapa de red de NetSenX, en todos los planes, muestra quién habla realmente con quién, un buen punto de partida para trazar sus zonas.

Porque se comportan igual: contactan con un servidor a intervalos regulares, de día y de noche, para buscar actualizaciones, informar de su estado o descargar configuración. Lo hacen los agentes de copia de seguridad, los antivirus, las herramientas de gestión remota, la sincronización horaria y muchas aplicaciones de negocio. Por eso las reglas sencillas basadas solo en la regularidad generan mucho ruido. Lo que distingue al malware es el contexto: un destino que nadie más en la empresa usa, un dominio registrado hace poco o un servidor alquilado, un dispositivo sin motivo para ejecutar ese software, un ritmo que empezó un día concreto o un tráfico que no encaja con el programa que el equipo debería ejecutar. NetSenX valora el beaconing frente a la historia propia de cada equipo y a su destino, explica cada alerta y le permite marcar software conocido como falso positivo, con la decisión guardada en el registro de auditoría.

El tunelado DNS consiste en ocultar datos u órdenes dentro de consultas DNS, las que hace cada dispositivo para convertir nombres en direcciones. Como casi todas las redes dejan pasar el DNS, los atacantes lo usan como canal: los datos se codifican en subdominios largos y de aspecto aleatorio de un dominio que controlan, y su servidor de nombres responde con instrucciones. Es lento, pero atraviesa cortafuegos que bloquean todo lo demás, y se usa tanto para mando y control como para robar datos en pequeñas porciones. Las señales son muchos subdominios únicos y largos bajo un mismo dominio, tipos de registro inusuales como TXT y un equipo que hace muchas más consultas DNS de lo normal. Obligar a todos los dispositivos a usar sus propios resolvedores y registrar sus consultas lo hace visible. NetSenX detecta el tunelado DNS; no ve las consultas que los dispositivos envían cifradas a resolvedores fuera de su red.

Sí, si nadie mira el DNS. Los datos que salen en consultas DNS no aparecen como una subida grande, porque cada consulta lleva solo unas decenas de bytes, y muchos cortafuegos dejan pasar el DNS sin inspeccionarlo. Se ven en el patrón: un equipo que envía miles de consultas a subdominios del mismo dominio desconocido, con nombres largos y de aspecto aleatorio que nunca se repiten, a menudo a un ritmo constante. Para hacerlo visible, permita que los dispositivos usen solo sus propios resolvedores DNS, bloquee en el cortafuegos el DNS directo a internet, guarde los registros de los resolvedores y revise los dominios con un número inusual de subdominios únicos. Los servicios de filtrado DNS añaden listas de dominios de tunelado conocidos. NetSenX detecta el tunelado DNS en los segmentos supervisados; otras técnicas basadas en DNS, como los dominios generados por algoritmos, no forman parte hoy de aquello sobre lo que alerta.

Puede, y la visibilidad baja. DNS sobre HTTPS (DoH) envía las consultas de nombres dentro de tráfico web cifrado corriente a un resolvedor, a menudo público, de modo que su propio servidor DNS y sus registros nunca las ven. Los navegadores y algunos sistemas operativos pueden activarlo por su cuenta, y el malware puede usarlo para ocultar tanto sus consultas como datos tunelados. Lo que sí puede hacer: configurar por directiva navegadores y dispositivos para que usen su propio resolvedor, bloquear en el cortafuegos los resolvedores DoH públicos conocidos cuando encaje con su entorno y revisar cualquier dispositivo que envíe tráfico cifrado constante a un resolvedor DoH ignorando su servidor DNS. Un sensor de red ve la conexión con el resolvedor, su ritmo y su volumen, pero no los nombres que lleva dentro. NetSenX nunca descifra el tráfico, así que no puede leer consultas DoH; aun así puede señalar el patrón de beaconing.

La exfiltración lenta consiste en robar datos en pequeñas cantidades durante mucho tiempo, de modo que ninguna transferencia por separado parezca inusual: unos cientos de megabytes cada hora de comer durante un mes, o un goteo constante de noche, a menudo hacia un servicio de almacenamiento en la nube que mucha gente usa legítimamente. Las alarmas sencillas de ancho de banda no la ven, porque buscan picos. Se detecta comparando cada equipo con su propia historia a lo largo de días y semanas: un servidor que nunca subía nada a mediodía ahora lo hace a diario, o un puesto envía un poco al mismo destino nuevo a la misma hora. Los registros del almacenamiento en la nube y del proxy pueden mostrarlo por usuario. Vigile el total enviado por equipo y destino en una semana, no solo por hora. NetSenX valora el volumen saliente frente a los destinos, volúmenes y horas habituales de cada equipo, en todos los planes.

Porque hacen la pregunta equivocada. Una alarma de ancho de banda pregunta si un enlace está más ocupado que un límite fijo; el robo de datos suele estar pensado para quedarse por debajo. Los atacantes envían por partes, de noche o en horas punta en las que unos cientos de megabytes se pierden entre copias de seguridad y videollamadas, y hacia servicios de almacenamiento en la nube que también usa su plantilla, así que las listas de destinos tampoco los señalan. Un límite fijo salta además con cada transferencia legítima grande, y la gente deja de leer las alarmas. La pregunta útil es por equipo: ¿está esta máquina enviando más, a otro destino o a otra hora de lo que suele? Eso requiere una referencia por equipo y no por enlace. NetSenX mantiene esa referencia y detecta volúmenes salientes inusuales por equipo en todos los planes, incluido Free.

Cobalt Strike es una herramienta comercial para ejercicios autorizados de red team que los delincuentes usan de forma masiva, a menudo en versiones crackeadas, para controlar máquinas comprometidas. En la red, su implante, llamado beacon, contacta con un servidor de equipo a un intervalo configurado, normalmente por HTTPS, a veces por DNS o entre equipos internos mediante SMB. Las señales incluyen conexiones regulares con variación hacia un destino que nadie más usa, ajustes por defecto o apenas cambiados en peticiones web y certificados, huellas de cliente TLS que coinciden con las publicadas para configuraciones conocidas y conexiones SMB entre puestos que normalmente no hablan entre sí. Muchos operadores cambian la configuración precisamente para evitar estas señales, así que el comportamiento importa más que los indicadores. NetSenX detecta beaconing y movimiento lateral en todos los planes, y desde el plan Starter compara los handshakes TLS con huellas de malware conocido allí donde el agente captura paquetes, en Linux o como sensor SPAN/TAP.

A menudo sí, salvo que sepa quién lo hace. En la red de una empresa hay algunos escáneres legítimos, como un escáner de vulnerabilidades, una herramienta de inventario, un sistema de gestión de red o el controlador de una impresora que busca dispositivos, y deberían estar identificados, programados y documentados. Un puesto de trabajo corriente, una impresora o una cámara que de repente se conecta a muchas direcciones internas o muchos puertos en poco tiempo es otra cosa: es una de las señales más claras de que alguien está cartografiando la red tras entrar, y suele llegar pronto, antes del daño real. Mantenga una lista de escáneres aprobados y sus direcciones para que una alerta se pueda comprobar en segundos, e investigue todo lo demás el mismo día. NetSenX detecta los escaneos en todos los planes, incluido Free, también desde dispositivos sin agente, cuando los vigila desde un puerto SPAN o un TAP.

Mire en dos sitios: los registros del objetivo y el patrón en la red. Los registros del objetivo, en un servidor de archivos, un equipo de escritorio remoto, un servidor SSH o el controlador de dominio, muestran los inicios de sesión fallidos y los nombres de cuenta probados; muchos fallos en muchas cuentas desde un mismo origen es password spraying, muchos en una sola cuenta es fuerza bruta. La red muestra el origen: un equipo que abre una y otra vez conexiones cortas hacia un servicio de inicio de sesión, a menudo en varios servidores. La fuerza bruta contra el escritorio remoto o SSH dentro de la LAN no es normal; indica una máquina comprometida o una prueba no autorizada. Bloquee o ralentice los fallos repetidos, exija autenticación multifactor (MFA) donde pueda e investigue el equipo de origen. NetSenX ve las conexiones repetidas entre equipos en los segmentos supervisados y detecta los escaneos y el movimiento lateral que suelen acompañarlas; el recuento de inicios de sesión fallidos está en el registro del servidor.

Compare el tráfico saliente de cada servidor con su propia normalidad y fíjese bien en los destinos de almacenamiento en la nube. Muchos servidores nunca necesitan enviar mucho a internet, así que un servidor de bases de datos o de archivos que sube gigabytes a un servicio de intercambio de archivos o de almacenamiento en la nube ya es inusual por sí mismo; los avisos sobre ransomware describen herramientas como Rclone usadas exactamente así antes del cifrado. Pasos prácticos: limite qué servidores pueden salir a internet, registre las conexiones salientes en el cortafuegos o el proxy y revise cada semana los volúmenes por servidor hacia almacenamiento en la nube. Si usa oficialmente un servicio en la nube, separe en el proxy sus destinos legítimos de las cuentas personales cuando pueda. NetSenX detecta volúmenes salientes inusuales por equipo, con destino y hora, en todos los planes; no ve el contenido de las subidas cifradas ni a qué cuenta fueron.

PsExec y herramientas parecidas ejecutan órdenes en un ordenador remoto copiando un pequeño servicio a través de sus recursos compartidos administrativos e iniciándolo, y los protocolos de gestión remota como WinRM y el escritorio remoto hacen un trabajo similar. Los administradores los usan a diario, y por eso el antivirus suele dejarlos pasar: la herramienta está firmada y es legítima, solo falla el contexto. Los atacantes los usan para extenderse de una máquina a muchas, desplegar ransomware en todos los servidores a la vez o ejecutar scripts con credenciales de administrador robadas. Lo que los delata es quién los usa, desde dónde y cuándo: un puesto de trabajo que a la 1:30 abre sesiones de administración hacia servidores que nunca había usado, o una cuenta que toca decenas de equipos en minutos. Limite qué máquinas pueden administrar a otras. NetSenX detecta estas sesiones nuevas de administración entre equipos como movimiento lateral en todos los planes.

Sí, y es habitual. Con credenciales válidas, un atacante puede iniciar sesión en el escritorio remoto, la VPN, SSH, las carpetas compartidas y los servicios en la nube como cualquier empleado, y usar las herramientas de administración ya instaladas. El antivirus no tiene nada que detectar, porque no hay archivo malicioso, y cada inicio de sesión por separado puede parecer normal. Lo que lo delata es el patrón: una cuenta que inicia sesión desde un ordenador que nunca había usado, a una hora inusual, en muchos sistemas en poco tiempo; un puesto de trabajo que de repente habla con servidores; una cuenta de servicio usada de forma interactiva. La autenticación multifactor (MFA), las cuentas de administrador separadas y los límites sobre qué máquinas pueden conectarse con cuáles son las defensas principales. NetSenX ve la parte de red, sesiones nuevas entre equipos y escaneos, en todos los planes; no ve los eventos de inicio de sesión de su directorio, que muestran los registros de identidad.

Con ambos, porque cada uno ve lo que el otro no ve. Los registros de autenticación del directorio, los servidores y la VPN muestran qué cuenta inició sesión dónde, con qué método y si falló; son la mejor fuente para credenciales robadas, pero solo para sistemas que registran, conservan los registros y los envían a un sitio donde alguien los lee. Los flujos de red muestran qué equipo se conectó a cuál, en qué puerto, con qué frecuencia y cuánto, para cada dispositivo de un segmento supervisado, incluidos los que no guardan registros: impresoras, dispositivos de red, servidores no gestionados. No muestran nombres de cuenta. En la práctica, una sesión nueva entre dos equipos que nunca habían hablado es una señal de red, y la cuenta que hay detrás es una cuestión de identidad. NetSenX cubre la parte de red en todos los planes; combínelo con los registros de inicio de sesión de su directorio o con un SIEM, al que NetSenX puede exportar desde el plan Business.

La detección basada en grafos trata su red como un mapa de quién habla con quién: cada equipo es un punto, cada conexión una línea, y el mapa se compara a lo largo del tiempo con su forma habitual. El movimiento lateral aparece como líneas nuevas que no encajan, como un puesto de trabajo conectado de repente a varios servidores, una cadena de saltos de una máquina a la siguiente o un grupo de equipos que llegan todos a la misma dirección externa nueva. La ventaja es el contexto: una conexión nueva aislada puede ser inofensiva, mientras que un camino nuevo desde el portátil de un usuario, a través de un servidor de archivos, hasta el servidor de copias de seguridad no lo es. El enfoque lleva años estudiándose en la investigación académica. Desde el plan Pro, NetSenX correlaciona los equipos en un grafo así, de modo que un escaneo seguido de sesiones remotas nuevas, o varios equipos con beaconing hacia un mismo destino, aparecen como una sola historia en lugar de alertas sueltas.

A menudo sí, por diseño. Una regla describe algo ya conocido: el hash de un archivo, un dominio, una secuencia de eventos que alguien ya vio. Es precisa y barata, y funciona bien contra el malware corriente. Falla cuando los atacantes cambian un detalle, usan herramientas legítimas o recorren su red por un camino para el que nadie escribió una regla, como un servidor nuevo, una cuenta olvidada de un proveedor o una cadena de saltos inusual. La detección basada en el comportamiento hace otra pregunta: ¿está este equipo haciendo algo que no había hecho antes, comparado con su propia historia y con equipos parecidos? Detecta caminos nuevos, pero necesita tiempo para aprender lo normal, y sus alertas requieren criterio. La mayoría de los entornos maduros combinan ambas cosas. NetSenX detecta comportamientos en la red, como el beaconing, los escaneos, el movimiento lateral y los volúmenes salientes inusuales, y explica cada alerta, para que pueda distinguir un camino de ataque nuevo de un proceso de negocio nuevo.

Una impresora que de repente se conecta a cientos de direcciones internas en minutos está mal configurada o comprometida. Algunas impresoras y sus controladores buscan legítimamente dispositivos o carpetas de destino para escanear, pero ese patrón es regular y limitado; cartografiar rangos enteros de direcciones no lo es. Las impresoras funcionan con sistemas operativos completos, a menudo con firmware antiguo, contraseñas de fábrica, interfaces web y libretas de direcciones guardadas, así que un atacante puede hacerse con una y usarla como base discreta desde la que escanear, retransmitir conexiones o guardar herramientas, sabiendo que nadie mira sus registros. Actualice el firmware, cambie la contraseña de fábrica, desactive los servicios que no necesite y ponga las impresoras en un segmento propio que llegue al servidor de impresión, pero no a todos los ordenadores. NetSenX detecta los escaneos en todos los planes, desde un puerto SPAN o un TAP, sin ningún software en la impresora.

Conteniendo primero y eliminando después, en una única acción coordinada. Averigüe con discreción todo lo que pueda: qué equipos y cuentas están implicados, cómo entra y sale el atacante y dónde están sus herramientas. Después actúe a la vez: aísle los equipos afectados en el switch o el cortafuegos, bloquee sus destinos externos, desactive o restablezca las cuentas comprometidas desde un dispositivo limpio y cierre la vía de entrada, como una cuenta VPN o un servicio expuesto. Actuar por partes alerta al atacante, que puede cambiar de equipo o empezar a dañar sistemas. Llame a una empresa de respuesta a incidentes si aún no lo ha hecho y lleve un registro. Tras la contención, reconstruya las máquinas afectadas y vigile de cerca durante semanas. NetSenX no expulsa atacantes; muestra desde la red qué equipos están implicados y adónde se conectan, que es lo que necesita un plan de contención, y después detecta la actividad renovada.

A veces en menos de una hora, a veces a lo largo de semanas. Los grupos que usan herramientas automatizadas y contraseñas de administrador robadas pueden llegar a los servidores muy rápido tras el primer punto de apoyo, mientras que otros esperan, exploran y copian datos antes de actuar. Los fabricantes de seguridad publican mediciones del llamado breakout time, pero describen a sus propios clientes y métodos, así que tome cualquier cifra aislada con cautela. La conclusión práctica es la misma en todos los casos: suponga que tendrá poco tiempo tras la primera señal. Decida de antemano quién puede aislar un equipo de noche, asegúrese de que las alertas llegan a alguien que las lee y mantenga la segmentación entre puestos y servidores para que el camino del atacante sea más largo. NetSenX detecta los pasos que suelen seguir al punto de apoyo, beaconing, escaneos y movimiento lateral, en todos los planes, y de ahí sale el tiempo para reaccionar.

Busque señales en el ordenador y en la red, y reduzca el riesgo en cualquier caso. En el ordenador: herramientas de acceso remoto inesperadas, ventanas que piden volver a introducir los datos bancarios, extensiones del navegador que usted no instaló, software de seguridad desactivado. En la red: el ordenador contactando con un servidor externo desconocido a intervalos regulares, de día y de noche, que es como los troyanos bancarios y de acceso remoto se mantienen en contacto con sus operadores. También importan los avisos de su banco sobre dispositivos nuevos o beneficiarios cambiados. Lo más seguro es un ordenador dedicado, o una cuenta de usuario aparte usada solo para la banca, sin correo, con las actualizaciones al día y aprobación de dos personas para pagos por encima de un límite. NetSenX detecta el beaconing de ese ordenador en todos los planes; no ve lo que ocurre en el navegador ni sustituye los controles de seguridad del banco.

Mirando lo que envió hacia fuera el servidor de base de datos, no la base de datos en sí. Una exportación del ERP con clientes, precios o nóminas es grande, y el servidor donde está suele hablar con la aplicación ERP, el sistema de copias de seguridad y unos pocos usuarios, no con internet. Las señales son una transferencia saliente grande desde ese servidor, o desde un puesto de trabajo que acaba de sacar una exportación voluminosa, sobre todo de noche o hacia almacenamiento en la nube; un archivo de volcado de la base de datos que aparece en una carpeta compartida; o una sesión remota nueva hacia el servidor poco antes. Limite el acceso a internet de los servidores de bases de datos y registre las exportaciones en el propio ERP. NetSenX detecta volúmenes salientes inusuales por equipo, con destino y hora, en todos los planes; no ve qué tablas iban dentro de una transferencia cifrada.

Normalmente sí, cuando ya conoce la copia de seguridad. Una copia o una sincronización legítima con la nube va de equipos conocidos a destinos conocidos a horas regulares, con volúmenes parecidos noche tras noche, y empieza el día en que se configuró la tarea. Un robo suele diferir al menos en algo: un equipo que nunca sube datos, un destino nuevo, una hora inusual o un volumen muy superior a lo normal de ese equipo. Cuando el robo usa el mismo proveedor en la nube que sus copias, difieren la cuenta y el destino exacto, algo que muestran mejor un proxy o los registros del proveedor que los datos de flujos. NetSenX compara las subidas de cada equipo con su propia historia y explica la alerta, de modo que la copia nocturna sigue siendo reconocible; si aun así salta, márquela una vez como falso positivo y la decisión queda guardada en el registro de auditoría.

La mayor parte del tráfico de los puestos de trabajo hacia el controlador de dominio es inofensivo: inicios de sesión, directivas de grupo, sincronización horaria y resolución de nombres ocurren a todas horas, también de noche. Lo que no es normal es que un puesto abra una sesión remota interactiva hacia el controlador de dominio, como el escritorio remoto o la administración remota, o use sus recursos compartidos administrativos, sobre todo desde el ordenador de alguien ajeno a TI y a una hora en la que nadie trabaja. Es un paso típico antes de que un atacante se haga con el directorio, cree cuentas o despliegue ransomware en todas partes. Limite el acceso administrativo a los controladores de dominio a unas pocas máquinas de administración dedicadas. NetSenX detecta estas sesiones nuevas de administración entre equipos como movimiento lateral en todos los planes y, desde el plan Pro, las vincula con el escaneo que a menudo las precede.

El ARP spoofing es un dispositivo de su red local que anuncia falsamente que es el router u otro equipo, para que el tráfico destinado a ellos pase por él. Permite a un atacante leer tráfico sin cifrar, capturar credenciales o manipular conexiones, y solo funciona desde dentro del mismo segmento, por ejemplo desde un PC comprometido o un dispositivo conectado a una toma libre. En switches gestionables, la inspección dinámica de ARP junto con el DHCP snooping lo bloquea; la seguridad de puertos y 802.1X limitan quién puede conectarse; cifrar los servicios internos limita el daño. Sin switches gestionables, busque una dirección MAC que reclame varias direcciones IP, sobre todo la de la puerta de enlace. Un sensor en el segmento ve esos anuncios contradictorios, y el mapa de red de NetSenX muestra los dispositivos de los segmentos supervisados, así que un recién llegado llama la atención.

Depende de la seguridad de la wifi y de lo que vaya cifrado por encima. En una red abierta, o en una en la que todos comparten la misma contraseña, una persona conectada puede, con algo de esfuerzo, ver o desviar el tráfico de otros usuarios; WPA3 dificulta mucho la escucha pasiva, y WPA2 o WPA3 Enterprise con credenciales individuales separa mejor a los usuarios. El aislamiento de clientes en las redes de invitados impide directamente que los dispositivos hablen entre sí. En la práctica, hoy la mayor parte del tráfico va protegida por HTTPS, así que los riesgos mayores son las redirecciones a páginas de inicio de sesión falsas y los ataques a dispositivos que aún usan protocolos sin cifrar, como impresoras o cámaras antiguas. Mantenga a los invitados en una red aislada y a la plantilla con credenciales individuales. NetSenX no gestiona la wifi; en los segmentos supervisados muestra qué dispositivos hablan con cuáles y detecta los escaneos de un recién llegado.

Muy poco: a menudo de minutos a horas, según cuántos datos haya y cuántas máquinas cifren a la vez. Cuando empieza el cifrado, uno o varios clientes leen y reescriben grandes cantidades de datos en las carpetas compartidas de red en poco tiempo, y los usuarios empiezan a encontrar archivos que no se abren. En ese momento la contención es lo primero: desconecte los equipos que están cifrando, deje sin conexión o en solo lectura las carpetas afectadas y, si hace falta, proteja el servidor de copias de seguridad cortándole el acceso a la red. Decida de antemano quién puede hacerlo sin preguntar. La ventana real está antes, en los días de beaconing, escaneos y movimiento lateral previos al cifrado. NetSenX no tiene una detección específica para la fase de cifrado en sí; vigila esos pasos anteriores en todos los planes, incluido Free.

No solo desde la red. Un sensor de red ve qué equipo envió cuánto, adónde y cuándo, y a veces el protocolo y el nombre del servidor; el programa que abrió la conexión solo se conoce en el propio equipo. Para saberlo, use detección y respuesta en endpoints (EDR) o el registro de conexiones del propio sistema operativo en los servidores importantes, y registre juntos los eventos de procesos y de red para poder asociar después una transferencia con su proceso. Los cortafuegos y proxies que autentican a los usuarios pueden añadir la cuenta. En la práctica, la alerta de red le dice qué servidor y qué minuto mirar, lo que agiliza encontrar el proceso. NetSenX detecta volúmenes salientes inusuales por equipo, con hora y destino, en todos los planes; no nombra el proceso ni el usuario que hay detrás.

Un ataque a la cadena de suministro le llega a través de alguien en quien confía: un fabricante de software cuya actualización se manipula, un proveedor de TI cuya herramienta de gestión remota se usa de forma abusiva, un proveedor con acceso VPN a su red o un socio hackeado cuyo correo se usa para enviarle facturas maliciosas. Funciona porque el acceso o el software son legítimos, y por eso superan los controles que aplica a los desconocidos. Las defensas son saber qué proveedores tienen acceso y a qué, dar a cada uno el mínimo acceso necesario y cuentas propias con autenticación multifactor (MFA), desactivar el acceso cuando no se usa y preguntar por su seguridad en los contratos. NIS2 incluye la seguridad de la cadena de suministro entre las medidas de gestión de riesgos de ciberseguridad del artículo 21. NetSenX no puede ver cómo se fabrica una actualización manipulada; ve lo que el acceso o el software del proveedor hace después en su red, como beaconing o sesiones nuevas.

Un zero-day es una vulnerabilidad que los atacantes explotan antes de que el fabricante publique una corrección, así que parchear aún no sirve y no existen firmas. Los zero-days son caros y se usan a menudo contra sistemas expuestos a internet, como pasarelas VPN, cortafuegos y servidores de transferencia de archivos. Por eso la detección se basa en lo que ocurre tras la explotación: un dispositivo que de repente habla con servidores externos nuevos, un servidor web que empieza a escanear la red interna, sesiones de administrador nuevas, datos que salen. Reduzca la exposición manteniendo el mínimo de servicios accesibles desde internet, poniendo las interfaces de gestión detrás de una VPN y siguiendo los avisos de los fabricantes y el catálogo Known Exploited Vulnerabilities de CISA, para parchear en cuanto aparezca una corrección. NetSenX no detecta la explotación en sí; detecta el comportamiento que la sigue, como el beaconing, los escaneos y los volúmenes salientes inusuales, en todos los planes.

Ambos adivinan contraseñas, en direcciones opuestas. La fuerza bruta prueba muchas contraseñas contra una sola cuenta, lo que suele bloquearla y se ve con claridad en los registros del objetivo. El password spraying prueba una o dos contraseñas comunes, como una estación del año y un año, contra muchas cuentas, quedándose por debajo de los límites de bloqueo, y a menudo reparte los intentos en horas o entre varios servicios. El spraying es más habitual contra VPN, correo web e inicios de sesión en la nube, donde los nombres de cuenta son fáciles de adivinar. Las defensas son las mismas para ambos: autenticación multifactor (MFA), prohibir las contraseñas comunes y alertas por inicios de sesión fallidos en muchas cuentas desde un mismo origen. Dentro de la empresa, cualquiera de los dos aparece en la red como un equipo que abre una y otra vez conexiones cortas hacia servicios de inicio de sesión. NetSenX muestra esas conexiones entre equipos; el recuento de fallos y las cuentas probadas están en los registros del servidor o del proveedor de identidad.

El credential stuffing consiste en que los atacantes toman pares de correo y contraseña filtrados de otras webs y los prueban automáticamente en sus inicios de sesión, apostando a que la gente reutiliza contraseñas. Se dirige a servicios expuestos a internet, como el correo web, la VPN, los portales de clientes y las aplicaciones en la nube, y llega desde muchas direcciones a la vez, así que a menudo parece una mezcla normal de inicios de sesión con una tasa de fallos algo mayor. Las defensas son la autenticación multifactor (MFA), una política contra la reutilización de contraseñas, comprobar las direcciones de la empresa en recopilaciones de filtraciones conocidas y limitar la frecuencia en las páginas de inicio de sesión. Para las cuentas de sus clientes, ofrezca MFA y vigile los inicios de sesión fallidos en muchas cuentas. Un sensor de red dentro de la empresa ve poco de esto, porque ocurre en sus servicios públicos o en un proveedor en la nube. NetSenX ve para qué se usa después un inicio de sesión exitoso, si conduce a actividad en su red interna.

El Kerberoasting es un ataque contra Active Directory en el que cualquier usuario con sesión iniciada solicita tickets de servicio para las cuentas que ejecutan servicios, se los lleva y los descifra sin conexión para obtener las contraseñas de esas cuentas. No requiere permisos especiales, hace poco ruido y funciona mejor contra cuentas de servicio con contraseñas débiles y antiguas, que a menudo tienen privilegios amplios. Las defensas son contraseñas largas y aleatorias para las cuentas de servicio, preferiblemente cuentas de servicio administradas que rotan solas, tipos de cifrado fuertes para Kerberos y alertas en los registros del directorio cuando un equipo pide muchos tickets de servicio en poco tiempo. Las peticiones de tickets son eventos del directorio, visibles para la supervisión de identidades más que para un sensor de flujos. NetSenX no alerta sobre la actividad de Kerberos; ve para qué se usan después las cuentas descifradas, como sesiones de administración nuevas hacia servidores.

El pass-the-hash consiste en que un atacante usa el hash almacenado de una contraseña, obtenido de la memoria o del disco de un ordenador comprometido, para autenticarse como ese usuario sin llegar a conocer la contraseña. Funciona con la autenticación NTLM más antigua, todavía habitual en muchas redes, y permite al atacante pasar de máquina en máquina con la identidad de un administrador. Las defensas incluyen no iniciar sesión con cuentas de administrador del dominio en puestos corrientes, una contraseña de administrador local distinta en cada máquina, protecciones que impiden leer credenciales de la memoria, restringir o desactivar NTLM donde sea posible y protección de endpoints. El robo del hash ocurre en un equipo; su reutilización aparece en la red como conexiones de administración entre máquinas que normalmente no hablan entre sí. NetSenX detecta ese movimiento lateral en todos los planes; no inspecciona el propio protocolo de autenticación.

Una descarga drive-by infecta un ordenador cuando alguien simplemente visita una página web: un sitio legítimo comprometido, un anuncio malicioso o una página que se hace pasar por una actualización del navegador o un CAPTCHA y engaña al usuario para que ejecute algo. El aviso de CISA sobre el grupo de ransomware Interlock, AA25-203A del 22 de julio de 2025, describe descargas drive-by desde sitios legítimos comprometidos y la técnica ClickFix, en la que un falso mensaje convence al usuario de pegar y ejecutar un comando. Las defensas son navegadores y sistemas actualizados, filtrado DNS y web, impedir que los usuarios ejecuten scripts que pegan y enseñar que ninguna web necesita que usted ejecute un comando. Cuando algo se ejecuta, normalmente llama a casa: NetSenX detecta el beaconing resultante hacia un servidor externo nuevo en todos los planes.

Una botnet es una red de ordenadores, routers, cámaras y otros dispositivos infectados que un delincuente controla a distancia y alquila para enviar spam, hacer credential stuffing, lanzar ataques de denegación de servicio o servir de repetidor para otros delitos. Los propietarios rara vez lo notan, porque el dispositivo sigue funcionando; el coste es su ancho de banda, su dirección pública en listas de bloqueo y un atacante con un punto de apoyo en su red. Las señales son un dispositivo que contacta con un servidor de mando a intervalos regulares, ráfagas repentinas de conexiones salientes hacia muchas direcciones, correo enviado desde un dispositivo que no debería enviarlo o un aviso de su proveedor o de su CERT nacional. Actualice los dispositivos conectados a internet, cambie sus contraseñas de fábrica y bloquee el correo saliente salvo desde su servidor de correo. NetSenX detecta beaconing y volúmenes salientes inusuales por equipo en todos los planes, también en dispositivos que no pueden ejecutar un agente.

Un troyano de acceso remoto es un malware que da a un atacante el control total de un ordenador: puede ver la pantalla, registrar las pulsaciones de teclado, abrir archivos, encender la cámara, ejecutar órdenes y usar la máquina como trampolín hacia la red. Suele llegar por adjuntos de phishing, descargas falsas de software o programas crackeados, y mantiene una conexión con su operador, abierta todo el tiempo o mediante contactos periódicos. En el ordenador, la protección de endpoints y el control de aplicaciones son las defensas principales. En la red, la conexión con el operador es la señal más fiable: tráfico pequeño y regular hacia un destino desconocido, a menudo por HTTPS o un puerto inusual, a veces retransmitido por un servicio en la nube legítimo. NetSenX detecta ese beaconing en todos los planes y, desde el plan Starter, compara los handshakes TLS con huellas de malware conocido allí donde el agente captura paquetes, en Linux o como sensor SPAN/TAP.

Un intermediario de acceso inicial es un delincuente que entra en empresas y vende ese acceso a otros en lugar de usarlo: credenciales de VPN, accesos de escritorio remoto, una web shell en un servidor o el control de un portátil infectado. Los grupos de ransomware y otros delincuentes compran ese acceso en mercados criminales y empiezan su ataque desde ahí, a veces semanas después. Para la víctima esto tiene dos consecuencias. La primera intrusión puede ser silenciosa y parecer ajena al daño posterior, y quien cifra puede no ser quien entró. Y el tiempo entre el acceso y el ataque es una oportunidad: cuentas usadas desde lugares inusuales, una herramienta de acceso remoto nueva o un servidor que llama a una dirección externa pueden detectarse antes de que llegue el comprador. NetSenX detecta el beaconing y las sesiones nuevas que suele producir ese acceso, en todos los planes; los registros de identidad muestran los inicios de sesión.

Una web shell es un pequeño script malicioso colocado en un servidor web, normalmente a través de una vulnerabilidad en una aplicación expuesta a internet, que permite a un atacante ejecutar órdenes en el servidor mediante peticiones web corrientes. Es una forma habitual de conservar el acceso a sistemas explotados, como servidores de transferencia de archivos, servidores de correo o gestores de contenidos, y se camufla en el tráfico web normal. Las señales son archivos de script nuevos o modificados en los directorios web, procesos del servidor web que abren intérpretes de órdenes y el propio servidor conectándose de repente a internet o a máquinas internas con las que nunca había hablado. Parchee rápido las aplicaciones expuestas, vigile los cambios en los directorios web y limite a qué puede llegar el servidor web. El archivo se ve en el equipo; NetSenX ve el comportamiento de red que sigue, como un servidor expuesto que escanea la red interna o envía volúmenes inusuales, en todos los planes.

El tunelado de protocolos consiste en ocultar un tipo de tráfico dentro de otro para que atraviese los cortafuegos y parezca inofensivo: órdenes o datos robados envueltos en consultas DNS, en peticiones web corrientes, en pings ICMP o dentro de una conexión SSH. Los atacantes lo usan para mantener abierto un canal de mando cuando las conexiones directas están bloqueadas, o para llegar a sistemas internos a través de un único equipo comprometido. Se manifiesta en protocolos que se comportan de forma rara: consultas DNS con nombres largos y aleatorios, pings que llevan muchos más datos de lo normal, una sesión SSH que dura días y mueve muchos datos o un equipo que reenvía conexiones para otros. Limite qué protocolos pueden salir de la red y desde qué equipos, y obligue a que el DNS pase por sus propios resolvedores. NetSenX detecta el tunelado DNS, el beaconing y los volúmenes salientes inusuales en todos los planes; nunca descifra el tráfico, así que un túnel cifrado se juzga por su patrón.

Porque generan confianza. Las herramientas de soporte y gestión remota están firmadas, se instalan a menudo y los cortafuegos las dejan pasar, así que el antivirus rara vez las señala, y su tráfico va a la nube del fabricante como cualquier sesión legítima. Los atacantes las instalan tras entrar, o abusan de las que ya hay, para conservar un acceso que sobreviva a un cambio de contraseña. Los avisos de CISA sobre grupos como Akira y Medusa describen exactamente este uso del software de acceso remoto. Mantenga una lista de las herramientas que su empresa usa de verdad, bloquee la instalación de otras, exija autenticación multifactor (MFA) en las que permita y elimine las que nadie necesita. En la red, una herramienta inesperada aparece como un equipo que se conecta con regularidad a un proveedor de acceso remoto que nunca había usado. NetSenX señala esos contactos regulares nuevos como beaconing en todos los planes; decidir si una herramienta está aprobada le corresponde a usted.

Un wiper destruye los datos en lugar de retenerlos a cambio de un rescate: sobrescribe archivos, estructuras de disco o firmware para que los sistemas no arranquen o los datos no se puedan recuperar. Se usa para sabotear, a veces disfrazado de ransomware con una nota de rescate que no lleva a ninguna parte, y las empresas pueden verse afectadas como daño colateral cuando se propaga a través de proveedores o redes compartidos. Como no hay nada que negociar, las copias de seguridad desconectadas y un plan de recuperación probado son la única respuesta real. Los pasos previos al borrado se parecen a los de otras intrusiones: acceso, mando y control, movimiento hacia muchas máquinas, a veces mediante herramientas de gestión centralizadas que reparten el wiper por todas partes a la vez. NetSenX no detecta el borrado en sí, que ocurre en los equipos; vigila los pasos anteriores, como el beaconing, los escaneos y el movimiento lateral, en todos los planes.

El cryptojacking consiste en que unos delincuentes usan sus ordenadores, servidores o cuentas en la nube para minar criptomonedas en su propio beneficio. Rara vez roba datos, pero cuesta electricidad y gasto en la nube, ralentiza los sistemas, desgasta el hardware y demuestra que alguien tiene una vía de entrada, a menudo un servidor expuesto a internet sin parchear o claves de la nube robadas. En el equipo se ve como una carga de procesador alta y sostenida de un proceso desconocido. En la red, los mineros mantienen una conexión de larga duración con un pool de minería, a menudo en puertos inusuales, con mensajes pequeños y regulares en ambos sentidos a todas horas. Bloquee en el cortafuegos los destinos de pools de minería conocidos cuando pueda, revise las facturas de la nube en busca de cómputo sin explicación y parchee los servidores expuestos. NetSenX señala como beaconing las conexiones regulares y persistentes hacia un destino externo nuevo en todos los planes; la carga de procesador corresponde a la supervisión de endpoints o de la nube.