# Cómo saber si hay alguien dentro de su red

> Las señales de que un intruso ya está en la red de la empresa, las comprobaciones gratuitas para hoy y el papel de la detección de red.

Source page: https://netsenx.com/es/is-someone-inside-your-network

Última revisión: 6 de noviembre de 2026

Hay alguien dentro de su red cuando un atacante tiene acceso operativo a al menos uno de sus equipos o cuentas y lo usa para explorar, pasar a otros sistemas o llevarse datos. Rara vez salta una alarma. Las señales son pequeños cambios de comportamiento: un equipo que contacta un destino nuevo a intervalos regulares, una cuenta que inicia sesión donde nunca lo había hecho, un servidor que envía al exterior muchos más datos de lo normal. La mayoría se pueden comprobar hoy mismo, gratis, con registros que el administrador ya tiene.

## El dato que conviene tener presente

El 7 de febrero de 2024, la CISA, la NSA y el FBI, junto con agencias asociadas, informaron en el aviso conjunto AA24-038A de que actores de Volt Typhoon habían mantenido el acceso a los entornos de TI de algunas víctimas durante al menos cinco años, apoyándose sobre todo en las propias herramientas de administración de las víctimas y no en malware.

Fuente: [CISA, NSA, FBI and partners — Joint advisory AA24-038A (PRC state-sponsored actors, Volt Typhoon), 7 February 2024](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-038a)

## Lo que sale de su red después de las 18:00

**Datos de ejemplo, no una detección capturada**

Una noche de ejemplo en la red de una pequeña empresa: seis tipos de dispositivo y cuatro tipos de destino. Mueva el reloj para ver qué sale, cuánto y qué flujos generarían una alerta. El tamaño por sí solo no es la señal: la gran transferencia de la copia de seguridad es normal; una pequeña subida desde un PC que suele estar apagado, no.

| Dispositivo | Su noche habitual |
|---|---|
| PC de contabilidad | Ocupado en horario de oficina con servicios de negocio y algunas herramientas de IA; tranquilo de noche. |
| Servidor ERP | Algo de sincronización con servicios de negocio cada hora, de día y de noche. |
| Televisor de la sala de reuniones | Pequeñas actualizaciones de su fabricante. |
| Grabador de videovigilancia | Un flujo constante hacia la nube de su fabricante. |
| Portátil de un desarrollador | Servicios de negocio y herramientas de IA en horario de oficina; tranquilo de noche. |
| Servidor de copias de seguridad | Una copia grande a su proveedor habitual cada noche. |

### 03:00 El PC de contabilidad sube datos de noche

Volumen inusual de datos salientes: este PC normalmente no envía nada de noche, y nunca a este destino. NetSenX compara las subidas de cada equipo con sus propios destinos, volúmenes y horas habituales, así que la subida destaca aunque sea pequeña al lado de la copia de seguridad.

### 00:00 El portátil del desarrollador se reporta cada cinco minutos

Beaconing de mando y control: conexiones pequeñas y regulares a un destino nuevo, toda la noche. El volumen es mínimo; lo delata la regularidad. En todos los planes, también en Free.

### 02:00 El servidor ERP envía un archivo a un servidor en la nube alquilado

Volumen inusual de datos salientes hacia un destino que este servidor nunca ha usado. Los servidores en la nube alquilados aparecen además en la cola de revisión de la nube, para que los revise.

Lo que un sensor de red no ve aquí: los nombres y el contenido de los archivos dentro de sesiones cifradas, ni qué programa del dispositivo envió los datos. Eso lo ve la protección de endpoints (EDR).

## Señales a vigilar y comprobaciones gratuitas para hoy

Ninguna de estas señales demuestra por sí sola una intrusión. Cada una se comprueba con poco esfuerzo, y dos o más a la vez merecen una investigación.

1. **Destinos de salida nuevos o poco habituales** Un equipo que empieza a contactar un dominio o una dirección IP que nadie más usa en la empresa, sobre todo si se registró hace poco. Comprobación: exporte desde el cortafuegos o el servidor DNS los destinos más frecuentes de los últimos 30 días y revise los que solo contactó un equipo.
2. **Conexiones a intervalos regulares** El malware que informa a su operador suele conectarse cada pocos minutos, de día y de noche, con mensajes pequeños de tamaño parecido. Comprobación: en los registros del cortafuegos o del proxy, ordene por hora las conexiones de un equipo a un mismo destino y busque un ritmo constante fuera del horario laboral.
3. **Inicios de sesión a horas o desde lugares extraños** Inicios de sesión correctos de noche, desde países donde no tiene personal o con cuentas que normalmente nunca inician sesión de forma interactiva, como las cuentas de servicio. Comprobación: revise los inicios de sesión correctos de los últimos 30 días en su directorio o proveedor de identidad, filtrados fuera del horario laboral.
4. **Un equipo que habla con muchos** Un puesto que se conecta a decenas de equipos internos por puertos de administración como SMB (445), RDP (3389), SSH (22) o WinRM (5985 y 5986) está escaneando o moviéndose lateralmente. Comprobación: en los datos de flujo del cortafuegos o del switch, cuente los destinos internos distintos por equipo de origen en esos puertos.
5. **Volumen de salida inusual** Un servidor que de repente sube gigabytes, a menudo de noche o a un almacenamiento en la nube que normalmente no usa. Comprobación: compare los bytes salientes de cada equipo esta semana con su propia media.
6. **Nuevas cuentas de administrador, tareas y servicios** Cuentas añadidas a grupos de administradores, nuevas tareas programadas o servicios y herramientas de acceso remoto que nadie aprobó. Comprobación: liste los miembros de los grupos privilegiados y las tareas y servicios creados recientemente en sus servidores, y averigüe quién añadió cada uno.

## Qué hace NetSenX hoy

- Observa cómo se comporta cada equipo en la red y señala el beaconing C2, los escaneos, el movimiento lateral y el volumen inusual de datos salientes, en todos los planes, también el Free.
- Ve dispositivos sin agente, como impresoras, cámaras y controladores, porque un agente en un puerto SPAN o TAP vigila todo el segmento.
- Explica cada alerta en lenguaje claro y enumera las características de red que determinaron su puntuación, para que un equipo pequeño distinga una intrusión de una nueva copia de seguridad.
- Registra alertas, decisiones de los analistas y cambios de configuración en un registro de auditoría, y sigue los plazos del artículo 23 de NIS2 si el incidente resulta significativo.

## Qué no hace NetSenX

NetSenX no ve lo que ocurre dentro de un equipo sin pasar por la red, como un proceso malicioso que no se conecta a ningún sitio; eso le corresponde a la protección de los equipos (EDR). Nunca descifra el tráfico, así que no puede leer el contenido de una sesión cifrada. No sustituye la respuesta a incidentes: aislar y reconstruir un equipo sigue siendo tarea de su equipo o de su proveedor de respuesta. Una alerta es un motivo para investigar, no la prueba de una intrusión.

## Preguntas de los compradores

### ¿Cómo sé si la red de mi empresa está comprometida?

Busque comportamientos que han cambiado: destinos de salida nuevos, conexiones a intervalos regulares, inicios de sesión a horas extrañas, un equipo que se conecta a muchos otros y un volumen de salida inusual. Cada uno se comprueba en los registros del cortafuegos, del DNS y del directorio. Dos o más a la vez merecen una investigación; la monitorización continua de la red los vigila todos los días, no solo el día en que alguien mira.

### ¿Puede un atacante pasar años dentro de una red sin que nadie lo note?

Sí. En el aviso conjunto AA24-038A del 7 de febrero de 2024, la CISA, la NSA y el FBI informaron de que actores de Volt Typhoon habían mantenido el acceso a los entornos de TI de algunas víctimas durante al menos cinco años. Los atacantes que usan las mismas herramientas de administración que su equipo de TI dejan pocas firmas, y por eso importa el comportamiento en la red.

### ¿Qué comprobaciones gratuitas puedo hacer hoy?

Exporte desde el cortafuegos o el servidor DNS los destinos de salida más frecuentes y revise los poco habituales; revise los inicios de sesión correctos fuera del horario laboral; cuente con cuántos equipos internos contacta cada puesto en los puertos de SMB, RDP, SSH y WinRM; y compare el volumen de salida de cada servidor con su propia media.

### ¿NetSenX sustituye al antivirus o al EDR?

No. NetSenX añade la visión de red: ve los dispositivos sin agente y el movimiento entre equipos. La protección de los equipos sigue cubriendo lo que ocurre dentro de cada máquina. El plan Free no tiene límite de tiempo ni pide tarjeta de crédito, así que primero puede ver lo que encuentra en su propia red.

## Fuentes

- [CISA, NSA, FBI and partners — Joint advisory AA24-038A (PRC state-sponsored actors, Volt Typhoon), 7 February 2024](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-038a)
- [CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)](https://www.ncsc.govt.nz/protect-your-organisation/identifying-and-mitigating-living-off-the-land-lotl-techniques/)
- [MITRE ATT&CK — Lateral Movement (TA0008)](https://attack.mitre.org/tactics/TA0008/)

Esta página es información general y no constituye asesoramiento jurídico. Compruebe sus obligaciones con su autoridad nacional o con su asesor jurídico.

## Páginas relacionadas

- [Cómo detectar el movimiento lateral y el beaconing C2](https://netsenx.com/es/detect-lateral-movement-c2-beaconing)
- [Who is really inside your network? (artículo en inglés)](https://netsenx.com/es/blog/2026-10-02_who-is-inside-your-network)
- [NDR, EDR o SIEM](https://netsenx.com/es/blog/2026-09-24_ndr-vs-edr-vs-siem)
- [Análisis del tráfico cifrado](https://netsenx.com/es/encrypted-traffic-analysis)
- [Precios y plan Free](https://netsenx.com/es/pricing)