Señales de intrusión
Cómo saber si hay alguien dentro de su red
Hay alguien dentro de su red cuando un atacante tiene acceso operativo a al menos uno de sus equipos o cuentas y lo usa para explorar, pasar a otros sistemas o llevarse datos. Rara vez salta una alarma. Las señales son pequeños cambios de comportamiento: un equipo que contacta un destino nuevo a intervalos regulares, una cuenta que inicia sesión donde nunca lo había hecho, un servidor que envía al exterior muchos más datos de lo normal. La mayoría se pueden comprobar hoy mismo, gratis, con registros que el administrador ya tiene.
El dato que conviene tener presente
El 7 de febrero de 2024, la CISA, la NSA y el FBI, junto con agencias asociadas, informaron en el aviso conjunto AA24-038A de que actores de Volt Typhoon habían mantenido el acceso a los entornos de TI de algunas víctimas durante al menos cinco años, apoyándose sobre todo en las propias herramientas de administración de las víctimas y no en malware.
Lo que sale de su red después de las 18:00
Una noche de ejemplo en la red de una pequeña empresa: seis tipos de dispositivo y cuatro tipos de destino. Mueva el reloj para ver qué sale, cuánto y qué flujos generarían una alerta. El tamaño por sí solo no es la señal: la gran transferencia de la copia de seguridad es normal; una pequeña subida desde un PC que suele estar apagado, no.
Datos de ejemplo, no una detección capturada
| Dispositivo | Destino | Volumen | ¿Habría alerta? |
|---|---|---|---|
| PC de contabilidad | Destinos desconocidos | 180 MB | Sí: volumen inusual de datos salientes |
| Servidor ERP | Servicios de negocio conocidos | 20 MB | No: habitual en este dispositivo |
| Televisor de la sala de reuniones | Servicios de negocio conocidos | 3 MB | No: habitual en este dispositivo |
| Grabador de videovigilancia | Servicios de negocio conocidos | 30 MB | No: habitual en este dispositivo |
| Portátil de un desarrollador | Destinos desconocidos | 1 MB | Sí: beaconing de mando y control |
Ver la noche habitual de cada dispositivo como tabla
| Dispositivo | Su noche habitual |
|---|---|
| PC de contabilidad | Ocupado en horario de oficina con servicios de negocio y algunas herramientas de IA; tranquilo de noche. |
| Servidor ERP | Algo de sincronización con servicios de negocio cada hora, de día y de noche. |
| Televisor de la sala de reuniones | Pequeñas actualizaciones de su fabricante. |
| Grabador de videovigilancia | Un flujo constante hacia la nube de su fabricante. |
| Portátil de un desarrollador | Servicios de negocio y herramientas de IA en horario de oficina; tranquilo de noche. |
| Servidor de copias de seguridad | Una copia grande a su proveedor habitual cada noche. |
Lo que un sensor de red no ve aquí: los nombres y el contenido de los archivos dentro de sesiones cifradas, ni qué programa del dispositivo envió los datos. Eso lo ve la protección de endpoints (EDR).
Señales a vigilar y comprobaciones gratuitas para hoy
Ninguna de estas señales demuestra por sí sola una intrusión. Cada una se comprueba con poco esfuerzo, y dos o más a la vez merecen una investigación.
01Destinos de salida nuevos o poco habituales
Un equipo que empieza a contactar un dominio o una dirección IP que nadie más usa en la empresa, sobre todo si se registró hace poco. Comprobación: exporte desde el cortafuegos o el servidor DNS los destinos más frecuentes de los últimos 30 días y revise los que solo contactó un equipo.
02Conexiones a intervalos regulares
El malware que informa a su operador suele conectarse cada pocos minutos, de día y de noche, con mensajes pequeños de tamaño parecido. Comprobación: en los registros del cortafuegos o del proxy, ordene por hora las conexiones de un equipo a un mismo destino y busque un ritmo constante fuera del horario laboral.
03Inicios de sesión a horas o desde lugares extraños
Inicios de sesión correctos de noche, desde países donde no tiene personal o con cuentas que normalmente nunca inician sesión de forma interactiva, como las cuentas de servicio. Comprobación: revise los inicios de sesión correctos de los últimos 30 días en su directorio o proveedor de identidad, filtrados fuera del horario laboral.
04Un equipo que habla con muchos
Un puesto que se conecta a decenas de equipos internos por puertos de administración como SMB (445), RDP (3389), SSH (22) o WinRM (5985 y 5986) está escaneando o moviéndose lateralmente. Comprobación: en los datos de flujo del cortafuegos o del switch, cuente los destinos internos distintos por equipo de origen en esos puertos.
05Volumen de salida inusual
Un servidor que de repente sube gigabytes, a menudo de noche o a un almacenamiento en la nube que normalmente no usa. Comprobación: compare los bytes salientes de cada equipo esta semana con su propia media.
06Nuevas cuentas de administrador, tareas y servicios
Cuentas añadidas a grupos de administradores, nuevas tareas programadas o servicios y herramientas de acceso remoto que nadie aprobó. Comprobación: liste los miembros de los grupos privilegiados y las tareas y servicios creados recientemente en sus servidores, y averigüe quién añadió cada uno.
Qué hace NetSenX hoy
- Observa cómo se comporta cada equipo en la red y señala el beaconing C2, los escaneos, el movimiento lateral y el volumen inusual de datos salientes, en todos los planes, también el Free.
- Ve dispositivos sin agente, como impresoras, cámaras y controladores, porque un agente en un puerto SPAN o TAP vigila todo el segmento.
- Explica cada alerta en lenguaje claro y enumera las características de red que determinaron su puntuación, para que un equipo pequeño distinga una intrusión de una nueva copia de seguridad.
- Registra alertas, decisiones de los analistas y cambios de configuración en un registro de auditoría, y sigue los plazos del artículo 23 de NIS2 si el incidente resulta significativo.
Qué no hace NetSenX
NetSenX no ve lo que ocurre dentro de un equipo sin pasar por la red, como un proceso malicioso que no se conecta a ningún sitio; eso le corresponde a la protección de los equipos (EDR). Nunca descifra el tráfico, así que no puede leer el contenido de una sesión cifrada. No sustituye la respuesta a incidentes: aislar y reconstruir un equipo sigue siendo tarea de su equipo o de su proveedor de respuesta. Una alerta es un motivo para investigar, no la prueba de una intrusión.
Preguntas de los compradores
¿Cómo sé si la red de mi empresa está comprometida?
Busque comportamientos que han cambiado: destinos de salida nuevos, conexiones a intervalos regulares, inicios de sesión a horas extrañas, un equipo que se conecta a muchos otros y un volumen de salida inusual. Cada uno se comprueba en los registros del cortafuegos, del DNS y del directorio. Dos o más a la vez merecen una investigación; la monitorización continua de la red los vigila todos los días, no solo el día en que alguien mira.
¿Puede un atacante pasar años dentro de una red sin que nadie lo note?
Sí. En el aviso conjunto AA24-038A del 7 de febrero de 2024, la CISA, la NSA y el FBI informaron de que actores de Volt Typhoon habían mantenido el acceso a los entornos de TI de algunas víctimas durante al menos cinco años. Los atacantes que usan las mismas herramientas de administración que su equipo de TI dejan pocas firmas, y por eso importa el comportamiento en la red.
¿Qué comprobaciones gratuitas puedo hacer hoy?
Exporte desde el cortafuegos o el servidor DNS los destinos de salida más frecuentes y revise los poco habituales; revise los inicios de sesión correctos fuera del horario laboral; cuente con cuántos equipos internos contacta cada puesto en los puertos de SMB, RDP, SSH y WinRM; y compare el volumen de salida de cada servidor con su propia media.
¿NetSenX sustituye al antivirus o al EDR?
No. NetSenX añade la visión de red: ve los dispositivos sin agente y el movimiento entre equipos. La protección de los equipos sigue cubriendo lo que ocurre dentro de cada máquina. El plan Free no tiene límite de tiempo ni pide tarjeta de crédito, así que primero puede ver lo que encuentra en su propia red.
Fuentes
- CISA, NSA, FBI and partners — Joint advisory AA24-038A (PRC state-sponsored actors, Volt Typhoon), 7 February 2024
- CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)
- MITRE ATT&CK — Lateral Movement (TA0008)
Esta página es información general y no constituye asesoramiento jurídico. Compruebe sus obligaciones con su autoridad nacional o con su asesor jurídico.
Páginas relacionadas
Pruebe NetSenX en su propia red
Empiece con el plan Free para un máximo de 3 dispositivos o reserve una demo de 20 minutos.