Tema 14
Para detectar bien hay que mirar desde varios puntos. Los sensores de red observan comunicaciones; los sensores de host observan lo que ocurre dentro de sistemas. Juntos aportan una visión más completa.
En los temas anteriores vimos qué son IDS e IPS y qué métodos de detección pueden utilizar. Ahora veremos dónde se obtiene la información. Un sensor puede mirar tráfico de red, eventos de un sistema, procesos, archivos, conexiones, logs o actividad de usuarios.
No existe un único sensor que vea todo. Un sensor de red puede detectar escaneos y conexiones sospechosas, pero quizá no vea qué proceso dentro del equipo generó la conexión. Un sensor de host puede ver procesos y archivos, pero quizá no observe todo el tráfico lateral de la red.
La defensa mejora cuando combinamos ambos mundos: red y host.
Un sensor de seguridad es un componente que recolecta información para detectar, alertar, bloquear o investigar actividad sospechosa. Puede ser un dispositivo físico, una máquina virtual, un agente instalado en un sistema o un servicio nativo de nube.
Un sensor puede cumplir varias funciones:
Los sensores de red observan comunicaciones entre equipos. Pueden analizar paquetes completos, flujos, metadatos, protocolos, direcciones, puertos, certificados o patrones de tráfico.
Son útiles para detectar:
NIDS significa Network Intrusion Detection System, o sistema de detección de intrusos de red. Observa tráfico de red y genera alertas cuando detecta actividad sospechosa.
Normalmente trabaja fuera de línea, recibiendo una copia del tráfico desde un puerto espejo, TAP, sensor virtual o mecanismo equivalente. Esto reduce el riesgo de interrumpir la comunicación, pero también limita su capacidad de bloqueo directo.
Usos comunes de NIDS:
NIPS significa Network Intrusion Prevention System, o sistema de prevención de intrusos de red. Observa tráfico de red y puede bloquearlo porque está ubicado en línea.
Un NIPS puede descartar paquetes, cerrar sesiones o impedir que cierto tráfico llegue al destino. Es útil cuando se necesita prevenir ataques de forma automática, pero requiere mayor cuidado operativo.
Consideraciones importantes:
Los sensores de host observan lo que ocurre dentro de un sistema: procesos, archivos, usuarios, conexiones locales, logs, servicios, cambios de configuración y actividad del sistema operativo.
Son útiles porque aportan contexto que la red no siempre muestra. Por ejemplo, pueden indicar qué proceso generó una conexión, qué archivo se ejecutó o qué usuario inició una acción.
Eventos que puede observar un sensor de host:
HIDS significa Host Intrusion Detection System, o sistema de detección de intrusos de host. Su objetivo es detectar actividad sospechosa dentro de un sistema.
Un HIDS puede revisar logs, integridad de archivos, cambios de configuración, procesos y eventos de seguridad. Normalmente alerta, pero no siempre bloquea.
Ejemplos de alertas HIDS:
HIPS significa Host Intrusion Prevention System, o sistema de prevención de intrusos de host. Además de detectar, puede bloquear acciones dentro del sistema.
Puede impedir ejecución de procesos, bloquear modificaciones de archivos, detener conexiones, impedir cambios de registro o aplicar políticas locales.
Como cualquier control preventivo, debe ajustarse con cuidado. Un HIPS mal configurado puede bloquear procesos legítimos y afectar aplicaciones críticas.
| Tipo | Observa | Fortaleza | Limitación |
|---|---|---|---|
| NIDS | Tráfico de red | Buena visibilidad de comunicaciones. | No siempre identifica proceso o usuario. |
| NIPS | Tráfico de red en línea | Puede bloquear ataques en tránsito. | Puede afectar disponibilidad si está mal ajustado. |
| HIDS | Eventos del sistema | Da contexto local del host. | No ve todo el tráfico de la red. |
| HIPS | Acciones dentro del host | Puede bloquear actividad local peligrosa. | Puede generar impacto en aplicaciones. |
La telemetría defensiva es el conjunto de datos recolectados para observar, detectar, investigar y responder. No se limita a alertas; incluye eventos, métricas, logs, flujos y contexto.
Fuentes de telemetría:
La visibilidad de red muestra comunicaciones. La visibilidad de host muestra actividad interna del sistema. Ambas responden preguntas distintas.
| Pregunta | Mejor fuente |
|---|---|
| ¿Qué equipos se comunicaron? | Sensor de red, firewall, NetFlow. |
| ¿Qué proceso inició la conexión? | Sensor de host o EDR. |
| ¿Qué regla permitió o bloqueó tráfico? | Firewall. |
| ¿Qué usuario ejecutó una acción? | Host, identidad, EDR o logs de sistema. |
| ¿Hubo movimiento lateral? | Combinación de red, host e identidad. |
La ubicación define qué ve el sensor. Un sensor en el perímetro observa entrada y salida de internet, pero puede no ver tráfico lateral entre servidores. Un sensor entre DMZ y red interna ve un flujo más específico y crítico.
Puntos recomendados:
No siempre es posible instalar sensores de host en todos los sistemas desde el primer día. Conviene priorizar activos críticos.
Buenos candidatos para HIDS/HIPS o agentes avanzados:
Una capacidad común en HIDS es el monitoreo de integridad de archivos. Consiste en detectar cambios en archivos, directorios o configuraciones importantes.
Ejemplos:
Este control es útil para detectar manipulación, persistencia o cambios no autorizados.
En nube y contenedores, la telemetría puede venir de agentes, logs de plataforma, flujos de red, grupos de seguridad, servicios administrados, registros de auditoría y herramientas específicas de runtime.
Aspectos a considerar:
Un punto ciego es una zona, activo o tipo de actividad que no está siendo observado. Los puntos ciegos pueden aparecer por falta de sensores, tráfico cifrado, mala ubicación, logs desactivados o integración incompleta.
Preguntas para detectar puntos ciegos:
Un NIDS detecta que una estación de trabajo intenta conectarse a muchos servidores por SMB. El sensor de red muestra origen, destinos y puertos. Pero no indica qué proceso lo generó.
Un sensor de host en esa estación puede aportar:
Combinando ambas fuentes, la investigación pasa de "un equipo se comporta raro" a "este proceso ejecutado por este usuario generó estas conexiones".
Los sensores de red y de host se complementan. Los primeros muestran cómo se comunican los sistemas; los segundos explican qué ocurre dentro de cada equipo. Una defensa con buena telemetría combina ambos enfoques y reduce puntos ciegos.
En el próximo tema estudiaremos gestión de alertas: severidad, falsos positivos, correlación, priorización y escalamiento.