Tema 10
Las redes transportan datos, autenticaciones, servicios y decisiones críticas. Esta unidad explica cómo pueden ser observadas, manipuladas o saturadas por atacantes que buscan interceptar tráfico, suplantar identidades o interrumpir la comunicación.
La red es el medio por el que circulan datos, credenciales, órdenes, respuestas y servicios. Si un atacante consigue observarla, manipularla o degradarla, puede afectar simultáneamente confidencialidad, integridad y disponibilidad. Por eso los ataques de red siguen siendo una parte central del panorama ofensivo.
Algunos buscan escuchar el tráfico de forma pasiva. Otros se apoyan en engaños para redirigir comunicaciones. Otros saturan recursos hasta impedir que el servicio responda. Todos tienen algo en común: explotan la dependencia que existe entre sistemas y conectividad.
Atacar una red no implica solamente “tumbar Internet”. Incluye cualquier acción orientada a interferir, espiar, manipular o suplantar la comunicación entre dispositivos, usuarios y servicios.
El sniffing es la captura o inspección de tráfico que circula por una red. Puede tener fines legítimos, como diagnóstico y monitoreo, pero también puede usarse con intención maliciosa para observar comunicaciones, credenciales, cookies, consultas o datos sensibles.
Su peligrosidad depende de qué se esté transmitiendo y de si esa información viaja protegida o no.
Si el tráfico no está correctamente protegido, el atacante puede extraer información de alto valor:
Aun cuando el contenido vaya cifrado, los metadatos pueden revelar estructura del entorno, patrones de uso y servicios críticos.
El spoofing es la suplantación de una identidad técnica para engañar a sistemas o usuarios. Esa identidad puede ser una dirección IP, una dirección MAC, un servidor DNS, un remitente de correo o cualquier elemento usado para generar confianza o enrutar tráfico.
El objetivo suele ser obtener una posición ventajosa en la comunicación, saltar controles o inducir a la víctima a confiar en una fuente falsa.
| Tipo | Qué suplanta | Objetivo habitual |
|---|---|---|
| IP spoofing | Dirección IP de origen | Ocultar origen o engañar filtros y respuestas |
| ARP spoofing | Mapeo IP-MAC en redes locales | Redirigir tráfico dentro de la LAN |
| DNS spoofing | Respuestas de resolución de nombres | Enviar a la víctima a un destino falso |
| Email spoofing | Remitente aparente del correo | Phishing y fraude de identidad |
En redes locales, el ARP spoofing o ARP poisoning consiste en enviar respuestas ARP falsas para asociar la dirección IP de un equipo legítimo con la dirección MAC del atacante. De ese modo, el tráfico destinado a otro host puede redirigirse hacia el equipo controlado por el adversario.
Esto puede utilizarse para espiar, modificar o bloquear tráfico dentro de la red local, y es una técnica clásica para habilitar escenarios de man-in-the-middle.
El DNS spoofing busca alterar la relación entre un nombre de dominio y la dirección a la que debería resolver. Si la víctima cree estar accediendo a un servicio legítimo pero es enviada a un destino controlado por el atacante, puede entregar credenciales, descargar malware o navegar por una réplica falsa.
Este tipo de ataque demuestra que la confianza en un nombre conocido no alcanza si la resolución fue alterada o secuestrada.
Un ataque man-in-the-middle, o MITM, ocurre cuando el atacante logra ubicarse entre dos partes que creen estar comunicándose directamente entre sí. Desde esa posición, puede observar, modificar o redirigir el tráfico.
El valor del MITM está en la posición intermedia. Si esa posición se consigue y la protección es insuficiente, el atacante puede:
Existen múltiples caminos para colocarse en medio de una comunicación:
Las redes inalámbricas abiertas o mal configuradas pueden facilitar sniffing y MITM, especialmente si los usuarios confían en cualquier red disponible y no validan el contexto. Los atacantes pueden crear puntos de acceso con nombres convincentes o aprovechar redes sin protección fuerte.
En estos entornos, el usuario puede no advertir que todo su tráfico está pasando por infraestructura controlada por terceros.
Un ataque de denegación de servicio o DoS busca impedir que un servicio atienda correctamente a usuarios legítimos. Esto puede lograrse saturando recursos de red, CPU, memoria, conexiones o lógica de aplicación.
El objetivo no es necesariamente penetrar el sistema, sino volverlo inaccesible o inestable. Esto afecta principalmente la disponibilidad, aunque también puede generar impacto reputacional, económico y operativo.
Cuando la denegación de servicio se ejecuta de forma distribuida desde múltiples sistemas coordinados, se habla de DDoS o denegación de servicio distribuida. Esto hace que el volumen de tráfico o solicitudes sea mucho mayor y más difícil de bloquear desde un único punto.
Las botnets suelen ser un componente importante de este tipo de ataques, ya que permiten generar tráfico desde miles de orígenes comprometidos.
| Tipo | Qué satura o explota | Ejemplo conceptual |
|---|---|---|
| Volumétrico | Ancho de banda o capacidad del enlace | Gran cantidad de tráfico para congestionar la red |
| De protocolo | Recursos asociados a conexiones o manejo de protocolos | Consumo de tablas de estado o conexiones parciales |
| De aplicación | Lógica o recursos del servicio | Peticiones costosas a páginas o APIs específicas |
En algunos escenarios, un DDoS no busca solamente tumbar el servicio, sino crear caos mientras se ejecuta fraude, exfiltración o intrusión por otro vector.
En ciertos DDoS, el atacante aprovecha servicios intermedios para amplificar el volumen de respuesta hacia la víctima. También puede reflejar tráfico de forma que parezca provenir de otra fuente. Estas estrategias aumentan la potencia del ataque y complican atribución y filtrado.
Este tipo de técnica muestra cómo una mala configuración de servicios abiertos puede ser explotada incluso cuando el verdadero objetivo es un tercero.
La defensa frente a ataques de red combina arquitectura, monitoreo y protocolos seguros:
La preparación previa es determinante. Un ataque de saturación no se improvisa bien en tiempo real si la arquitectura no estaba pensada para resistirlo.
Los ataques de red muestran que la comunicación misma puede ser el objetivo o el vehículo del compromiso. Observar, desviar o saturar tráfico permite al atacante obtener información, suplantar confianza e interrumpir servicios críticos. Proteger la red implica cuidar tanto la confidencialidad e integridad del tránsito como la disponibilidad de la conectividad.
En el próximo tema se abordarán las vulnerabilidades en sistemas operativos, servicios y configuraciones inseguras, ampliando el análisis hacia la superficie técnica del entorno.