NetSenX: planes y puesta en marcha

Todos los planes, incluido Free, detectan beaconing, escaneos, movimiento lateral y volumen saliente inusual, explican cada alerta en lenguaje claro y mantienen un mapa de red; los planes superiores añaden informes, integraciones y supervisión especializada. Free cuesta 0 € para un máximo de 3 dispositivos con 30 días de historial de alertas, además de seguimiento de plazos NIS2, registro de auditoría e inicio de sesión en dos pasos. Free y Solo cubren los ordenadores en los que está instalado el agente; un sensor de red en un puerto SPAN o TAP está disponible a partir de Starter. Starter, a 49 € al mes para un máximo de 10 dispositivos, añade informes PDF, acciones de respuesta manuales, gestión de equipos y huella TLS donde el agente captura paquetes. Solo, por 19 € al mes, ofrece la detección, los informes y las acciones de respuesta de Starter para exactamente un ordenador, aquel en el que está instalado el agente, y un usuario, sin gestión de equipos ni ampliación de dispositivos. Pro, a 99 € para un máximo de 25 dispositivos, añade visibilidad de Shadow AI, supervisión pasiva de protocolos OT, la API, Slack y webhooks, y el inventario criptográfico NQCI, que requiere captura de paquetes en Linux o un sensor SPAN o TAP. Business, a 249 € para un máximo de 100 dispositivos, añade exportación al SIEM y simulación de brechas y ataques. Enterprise, desde 999 €, añade dispositivos ilimitados, políticas de detección propias, marca blanca, despliegue local e inicio de sesión único. Precios mensuales sin IVA. Informes: Free: Sin informes (instrucciones de uso de la Ley de IA incluidas). Solo y Starter: Informes operativos (incidente NIS2, RGPD, mensual, MITRE); paquete de auditoría con facturación anual. Pro, Business y Enterprise: Todos los informes, incluido el paquete de auditoría.

Usted elige: un agente conectado a un puerto SPAN o TAP vigila un segmento de red completo, o bien instala el agente en los equipos que quiera supervisar. El agente funciona como servicio del sistema en Linux y macOS; en Linux el instalador solo acepta un paquete firmado con la clave de publicación de NetSenX, y los agentes de macOS se configuran junto con el soporte de NetSenX. El panel es un servicio alojado en la UE; hay una opción local (on-premises) en el plan Enterprise.

Usted elige el despliegue: un único puerto SPAN/TAP en su switch cubre todo un segmento de red y cuenta como un dispositivo, o instala el agente de NetSenX en los hosts que elija. Ambos están documentados; sin módulos de kernel. En Linux, el instalador solo instala un paquete cuya firma coincide con la clave de publicación de NetSenX y rechaza cualquier otro; los agentes para macOS se configuran junto con el soporte de NetSenX.

El agente de NetSenX funciona en Linux y macOS, y un solo agente en un puerto SPAN o TAP vigila todos los dispositivos de ese segmento, sea cual sea su sistema operativo. En Linux, el agente se instala como servicio del sistema con un comando de una línea desde el panel, y el instalador solo acepta un paquete firmado con la clave de publicación de NetSenX. En macOS se instala desde un paquete firmado y funciona como servicio en segundo plano; los agentes de macOS se configuran junto con el soporte de NetSenX. Si su empresa también tiene ordenadores con otros sistemas, o impresoras, cámaras, móviles y máquinas donde no puede funcionar ningún agente, ponga un agente en un host conectado a un puerto espejo: verá su tráfico sin instalar nada en ellos. Suele ser la forma más sencilla de cubrir una oficina mixta. El agente no ve el tráfico de los segmentos que no copia ni la actividad dentro de un ordenador que nunca toca la red.

Está diseñado para no hacerlo, y la forma más segura de no cargar un servidor es no instalarlo en él: un agente en un host conectado a un puerto espejo vigila todo el segmento sin tocar los servidores que hay en él. Un puerto espejo copia el tráfico dentro del switch, así que los servidores supervisados no procesan nada adicional y el camino de la red no cambia: el sensor solo recibe una copia. Si instala el agente en un servidor, lee metadatos de las conexiones y algunos campos de protocolo, como la hora, el volumen, los destinos, las respuestas DNS y, donde se capturan paquetes, el intercambio TLS. Nunca descifra el tráfico y no hace de proxy ni bloquea conexiones. Como con cualquier software nuevo en un servidor con mucha carga, vigile su consumo de recursos los primeros días y empiece con un piloto en un host menos crítico. Consulte al soporte de NetSenX antes de desplegarlo en enlaces de tráfico muy alto.

El modo básico ve conexiones, horas y volúmenes; la captura de paquetes lee además los campos no cifrados del intercambio TLS, que algunas funciones necesitan. En macOS, el agente funciona en un modo básico que observa las conexiones del Mac en el que está instalado. Eso basta para las detecciones principales, como beaconing, escaneos, movimiento lateral y volumen saliente inusual. La captura de paquetes significa que el agente copia los propios paquetes para leer algunos campos de protocolo, sin descifrar nada. Está disponible donde el agente funciona en Linux o como sensor en un puerto SPAN o TAP. Dos funciones dependen de ella: la huella TLS, desde el plan Starter, que reconoce clientes de malware conocidos por su intercambio, y el inventario criptográfico NQCI, activo desde el plan Pro, que muestra el intercambio de claves vulnerable a la computación cuántica y el híbrido. Si necesita alguna de ellas, prevea un agente en Linux o un sensor en un puerto espejo.

NQCI es visible en todos los planes como vista previa, está activo desde el plan Pro y necesita el sensor de captura de paquetes, desactivado por defecto. Necesita dos cosas. Primero, un plan Pro, Business o Enterprise. Segundo, un agente que capture paquetes: un agente en Linux con la captura de paquetes activada, o un agente en un host conectado a un puerto SPAN o TAP. El modo básico de macOS no ve los intercambios TLS, así que no puede alimentar el inventario. Una vez en marcha, NQCI muestra qué conexiones que cruzan el segmento supervisado usan intercambio de claves vulnerable a la computación cuántica y cuáles ya usan intercambio híbrido poscuántico, además de las versiones de servidores SSH que ve. Sigue en vista previa. No ve la criptografía dentro de las aplicaciones ni en los discos, no migra nada y no hace su trabajo de cumplimiento normativo por usted; le da un primer inventario desde la red.

Sí, las alertas y el inventario de dispositivos empiezan en cuanto circula tráfico, pero las comparaciones con el comportamiento normal de cada host mejoran a medida que NetSenX aprende su red. El primer día verá aparecer dispositivos en el mapa de red, y patrones claros, como escaneos o llamadas regulares al exterior, generarán alertas. Lo que tarda más es lo que depende del historial: saber que el servidor de finanzas nunca habla con cierto host, o que una gran transferencia a las 2:00 es inusual para esa máquina pero normal para el servidor de copias. Las primeras semanas requieren más atención por su parte, mientras confirma y marca la actividad normal. No existe un modelo ya hecho que conozca su red el día cero. La cota de falsos positivos, parte de la NetSenX Math Guarantee, solo se muestra cuando sus propios datos etiquetados la respaldan; hasta entonces, el panel lo dice en lugar de mostrar una cifra.

Es un inventario actualizado de los dispositivos que NetSenX ve en sus segmentos supervisados, con quién habla con quién, y está incluido en todos los planes, también en Free. Para cada dispositivo muestra el nombre que anuncia en la red, su dirección, cuándo se vio por primera y última vez y sus conexiones con otros dispositivos y con destinos externos. Los destinos en la nube y en servicios de alojamiento pasan a una cola de revisión, para que decida si un servidor que habla con una máquina en la nube recién alquilada es algo esperado. El mapa se construye de forma pasiva a partir del tráfico: NetSenX nunca escanea ni sondea los dispositivos, lo que es seguro para impresoras, cámaras y equipos industriales. La contrapartida es que un dispositivo que nunca envía tráfico, o que está en un segmento que no copia, no aparece. Muchos clientes usan el mapa la primera semana para encontrar servidores olvidados, dispositivos desconocidos y equipos que no deberían estar ahí.

En todos los planes, las alertas aparecen en el panel y se envían por correo; desde el plan Pro también pueden ir a Slack, a un webhook o a sus propios sistemas mediante la API, y desde el plan Business a su SIEM. El correo encaja en un equipo pequeño: envíe las alertas a un buzón compartido o a dos personas, para que alguien las vea cuando el administrador no está. Un webhook permite reenviar alertas a un sistema de tickets, una herramienta de chat o un servicio de guardias que ya use su proveedor de TI. La exportación al SIEM coloca las detecciones de red junto a sus registros. Sea cual sea el canal, cada alerta lleva la misma explicación en lenguaje claro: qué pasó, en qué host y por qué se generó. Decida de antemano quién lee las alertas de noche y en fin de semana: NetSenX detecta a cualquier hora, pero no presta un servicio atendido por personas que le llame.

Depende del plan: el plan Free guarda 30 días de historial de alertas, cada plan superior más tiempo y Enterprise sin límite de tiempo; la tabla de precios indica el periodo exacto de cada plan. El historial de alertas importa más de lo que parece. Cuando se descubre un incidente, investigadores y aseguradoras preguntan cuándo empezó, y la respuesta suele estar semanas atrás; si su historial es más corto que el tiempo que el atacante pasó en la red, las pruebas han desaparecido. El registro de auditoría, que guarda quién cambió qué y qué se hizo con cada alerta, se conserva aparte, con su propio periodo por defecto en cada plan. Elija el plan pensando en el incidente y no solo en el número de dispositivos: una empresa que debe notificar según NIS2 o responder a las preguntas de una aseguradora puede necesitar más historial del que sugiere su tamaño. Si cancela un plan de pago, la cuenta sigue en el plan Free con sus periodos de conservación.

Sí. Las alertas de tunelizado DNS están incluidas en todos los planes, también en Free y Starter. El tunelizado DNS esconde datos u órdenes dentro de consultas DNS, normalmente como nombres largos y de aspecto aleatorio enviados a un mismo dominio. NetSenX alerta sobre ese patrón. Otras detecciones relacionadas con DNS todavía se están midiendo y aún no generan alertas, por lo que NetSenX no afirma detectar otros tipos de abuso de DNS. Con independencia de NetSenX, puede reducir el riesgo enviando todo el DNS a través de sus propios resolvedores, bloqueando el DNS directo a internet desde los puestos y conservando los registros de los resolvedores. Recuerde que el DNS cifrado enviado por HTTPS a un proveedor externo no es visible como DNS para ningún sensor de red.

Marque como esperada exactamente esa tarea, en lugar de desactivar la detección: el servidor de copias, su destino y su franja horaria, nada más amplio. Una copia nocturna mueve muchos datos, a menudo hacia un proveedor de almacenamiento externo, lo que para cualquier herramienta que vigila volúmenes parece un robo de datos. La primera vez que salte una alerta, confirme que es la copia: compare el host, el destino y el horario con su software de copias. Después marque esa alerta como falso positivo en NetSenX, para que se reconozcan las alertas similares de esa tarea. Mantenga la detección activa para todos los demás hosts: la misma transferencia desde un puesto de trabajo, o desde el servidor de copias hacia un destino nuevo, debe seguir generando una alerta, porque los atacantes también sacan datos de noche. Anote la decisión y revísela cuando cambie su configuración de copias. NetSenX guarda cada decisión en el registro de auditoría, así que podrá mostrar después por qué se cerró una alerta.

Es la afirmación de que, entre las alertas que muestra la herramienta, la proporción de falsas alarmas se mantiene por debajo de un nivel indicado, con una confianza indicada, medida en su propia red. Para un equipo pequeño responde a la pregunta práctica: ¿cuánto de mi tiempo dedicado a alertas se perderá? NetSenX obtiene esa cota con un método split-conformal a partir del tráfico benigno que su equipo ha etiquetado en su propio tenant. La salvedad es honesta: una cota vale lo que valen los datos que la sostienen. Con pocas alertas etiquetadas, el método no puede respaldar una cota ajustada, así que el panel indica que aún no hay ninguna cota posible y qué falta, en lugar de mostrar una cifra tranquilizadora. A medida que marca alertas en las primeras semanas y meses, la cota se vuelve posible. Es una propiedad de sus datos, no una tasa fija que prometa NetSenX, y está incluida en todos los planes como parte de la NetSenX Math Guarantee.

Es una cota verificable de falsos positivos entre las alertas detectadas por el motor, calculada mediante predicción conformal (split-conformal) a partir del tráfico benigno que sus analistas han etiquetado en su propia red, con el nivel de confianza que usted elija. El panel muestra la cota solo cuando sus datos de calibración la respaldan; hasta entonces lo indica en lugar de mostrar una cifra. Describe un método y lo que sus datos respaldan hoy, no una tasa fija. Está incluida en todos los planes.

Garantiza un método, aplicado a sus datos, y visibilidad total de lo que ese método respalda actualmente. Una capa split-conformal deriva un límite de falsos positivos para las alertas que muestra el motor, a un nivel de confianza configurable, a partir de tráfico benigno etiquetado por analistas en su propio tenant. Un conjunto de calibración finito solo puede resolver un límite hasta cierta precisión, por lo que el panel muestra el límite que respaldan sus datos — y si aún no respaldan ninguno, lo indica explícitamente junto con lo que falta para cerrar esa brecha, en lugar de mostrar una cifra que no podemos respaldar. La metodología está documentada en nuestro Trust Center y puede revisarse de forma independiente.

No. NetSenX detecta y alerta a cualquier hora, pero es software: nadie en NetSenX vigila sus alertas las 24 horas ni responde por usted. La diferencia importa cuando describe su seguridad a una aseguradora, a un auditor o a un cliente. Decir que la detección funciona las 24 horas es cierto; decir que alguien responde las 24 horas solo es cierto si usted lo organiza. Opciones que funcionan en pequeñas y medianas empresas: enviar las alertas por correo a dos personas en lugar de a una; usar un webhook, desde el plan Pro, para llegar a un servicio de guardias de su proveedor de TI; acordar con un MSP o un MSSP que reciba las alertas y actúe fuera del horario de oficina; y tener a mano el teléfono de una empresa de respuesta a incidentes. Si necesita personas vigilando las 24 horas, un proveedor de managed detection and response (MDR) lo ofrece, y las alertas de NetSenX pueden enviársele.

No bloquea tráfico, no descifra sesiones, no protege los equipos, no filtra el correo, no gestiona identidades, no hace copias de seguridad ni presta un servicio de seguridad atendido por personas. NetSenX observa el comportamiento de la red y explica las alertas. Nunca lee el contenido de las sesiones cifradas, así que no puede decirle qué había en un archivo subido ni qué escribió alguien en una herramienta de IA. No ve lo que ocurre dentro de un ordenador sin tocar la red, los dispositivos que permanecen en silencio ni los segmentos que no copia. No ve los inicios de sesión en su VPN, su directorio o sus servicios en la nube, así que una contraseña robada pero válida, usada con normalidad, puede parecer trabajo corriente. No decide si un incidente debe notificarse ni presenta notificaciones a las autoridades. Para esos huecos necesita protección de equipos o EDR, seguridad del correo, autenticación multifactor y registros de identidad, copias probadas y personas que respondan. NetSenX trabaja junto a ellos.

Los clientes Enterprise reciben evidencias asociadas a SOC 2 Type I (in progress), ISO 42001 (gestión de IA) e ISO 27001. Cada control incluye artefactos con marca de tiempo, certificaciones de subencargados y una vista exportable para el auditor, actualizada en tiempo real.

Sí. La incorporación de Business y Enterprise incluye una transición estructurada: dos semanas en paralelo, mapeo de la taxonomía de alertas y migración de los playbooks del analista.