Tema 8
El reconocimiento activo confirma qué sistemas existen, cómo responden y qué superficie técnica presentan. A diferencia del OSINT, interactúa con objetivos autorizados, por lo que debe ejecutarse con alcance claro, intensidad controlada y documentación precisa.
Después del reconocimiento pasivo, llega el momento de interactuar con los activos autorizados. El reconocimiento activo busca confirmar qué hosts están vivos, qué direcciones responden, qué nombres resuelven, qué rutas existen y qué superficie inicial está disponible.
Esta fase genera tráfico hacia el objetivo. Por eso debe ejecutarse con cuidado: respetar ventanas de prueba, limitar intensidad, registrar origen de las pruebas y coordinar con los responsables cuando corresponda.
El objetivo no es explotar vulnerabilidades todavía. El objetivo es construir un mapa confiable de activos y exposición para que la enumeración y el análisis posteriores sean más precisos.
El reconocimiento activo es la recopilación de información mediante interacción directa con sistemas dentro del alcance. Puede incluir consultas DNS, solicitudes HTTP, pings, conexiones TCP, sondas UDP, traceroute y otros métodos de descubrimiento.
Ejemplos de preguntas que intenta responder:
OSINT usa fuentes públicas. El reconocimiento activo toca directamente activos autorizados. Esta diferencia cambia el riesgo, la visibilidad y la necesidad de coordinación.
| Aspecto | OSINT | Reconocimiento activo |
|---|---|---|
| Interacción | Indirecta, mediante fuentes públicas | Directa, contra activos autorizados |
| Visibilidad | Baja para el objetivo | Puede generar logs y alertas |
| Precisión | Variable, puede estar desactualizada | Más cercana al estado actual |
| Riesgo operativo | Bajo | Depende de intensidad y técnica |
| Requisito | Marco ético y alcance de investigación | Autorización explícita para interactuar |
Antes de enviar tráfico al objetivo, hay que confirmar condiciones operativas. Esta preparación evita impactos innecesarios y facilita explicar cualquier alerta generada durante la prueba.
El reconocimiento activo puede ser liviano o agresivo. La intensidad depende de la cantidad de paquetes, frecuencia, paralelismo, profundidad de probes y cantidad de objetivos.
En una prueba profesional conviene empezar con baja intensidad y aumentar solo si el alcance y el entorno lo permiten.
| Nivel | Características | Uso recomendado |
|---|---|---|
| Bajo | Pocas solicitudes, tiempos amplios, sin paralelismo alto | Primer contacto, sistemas sensibles, producción |
| Moderado | Mayor cobertura con límites de velocidad razonables | Ventanas autorizadas y servicios estables |
| Alto | Escaneos rápidos, muchos objetivos o alto paralelismo | Laboratorio o autorización explícita |
| Especial | Pruebas que podrían afectar disponibilidad | Solo con aprobación específica y plan de pausa |
Descubrir hosts significa identificar qué direcciones o nombres están activos. No todos los sistemas responden igual: algunos bloquean ICMP, otros solo responden en ciertos puertos y otros están detrás de intermediarios.
Métodos habituales:
En una red local o de laboratorio, ARP permite descubrir equipos en el mismo segmento. Como ARP opera a nivel de enlace, suele ser más confiable que ICMP dentro de la misma red.
Este método es útil en laboratorios, redes internas autorizadas y segmentos donde la máquina evaluadora está conectada directamente. No funciona para descubrir hosts a través de routers o internet.
ICMP se usa para diagnóstico de red. En reconocimiento activo, puede ayudar a detectar hosts vivos y rutas, pero muchas organizaciones lo filtran parcial o totalmente.
Respuestas ICMP útiles:
La ausencia de respuesta no debe interpretarse como prueba definitiva de que el host no existe.
Cuando ICMP está filtrado, las conexiones TCP a puertos comunes pueden confirmar actividad. Si un host responde en 80, 443, 22, 25, 445 u otro puerto, existe actividad aunque no responda a ping.
| Respuesta | Interpretación posible | Cuidado |
|---|---|---|
| Conexión aceptada | Puerto abierto y servicio escuchando | Debe enumerarse con cuidado |
| Conexión rechazada | Host activo, puerto cerrado | El rechazo también confirma existencia |
| Timeout | Filtrado, pérdida o host sin respuesta | No concluyente por sí solo |
| Redirección HTTP | Servicio web activo o detrás de proxy | Registrar destino y cabeceras |
UDP es más difícil de interpretar porque muchos servicios no responden si la solicitud no tiene el formato esperado. Además, firewalls pueden descartar paquetes silenciosamente.
Aun así, UDP es importante porque servicios como DNS, SNMP, NTP, DHCP, VoIP y algunos protocolos industriales pueden usarlo.
El DNS activo confirma resolución actual de nombres, registros y relaciones. A diferencia de revisar fuentes históricas, aquí se consulta el estado presente de registros autorizados.
La enumeración DNS más intrusiva, como intentos de transferencia de zona o fuerza bruta de subdominios, debe respetar reglas de compromiso e intensidad acordada.
Traceroute y técnicas similares ayudan a observar caminos de red, saltos intermedios y posibles puntos de filtrado. No siempre muestran una ruta completa, porque muchos equipos bloquean o limitan respuestas.
Puede ser útil para:
Muchas pruebas se concentran en IPv4 y olvidan IPv6. Eso puede dejar fuera una superficie expuesta. Si el alcance incluye dominios o redes con IPv6, debe revisarse explícitamente.
Mapear superficie expuesta significa organizar qué activos están accesibles, desde dónde, por qué protocolos y con qué posibles roles. El resultado debe ser una vista accionable, no una lista desordenada.
| Activo | Exposición | Observación | Prioridad inicial |
|---|---|---|---|
| app.ejemplo.local | HTTPS público | Aplicación principal con login | Alta |
| api.ejemplo.local | HTTPS público | API usada por aplicación móvil | Alta |
| vpn.ejemplo.local | Acceso remoto | Portal de autenticación | Alta |
| old.ejemplo.local | HTTP público | Posible sistema heredado | Media |
Muchos activos no responden directamente desde su servidor final. Pueden estar detrás de CDN, WAF, proxies, balanceadores, gateways de API o servicios de protección DDoS.
Señales de intermediarios:
Identificar intermediarios ayuda a interpretar resultados y a no asumir que se está hablando con el servidor de origen.
No todos los activos descubiertos merecen la misma atención. La priorización inicial permite enfocar la enumeración posterior en lo que tiene más probabilidad de impacto.
Aunque esta fase no busca explotación, debe documentarse. La evidencia ayuda a justificar por qué se eligieron ciertos objetivos y permite reproducir el mapa de superficie.
Un falso negativo ocurre cuando se concluye que un activo no existe o no está expuesto, pero en realidad sí lo está. En reconocimiento activo, esto puede pasar por filtrado, rate limiting, geobloqueo, reglas de firewall, horarios, DNS dividido o servicios que solo responden con ciertas cabeceras.
Para reducir falsos negativos:
Un falso positivo ocurre cuando se interpreta como activo relevante algo que no lo es. Puede ser una página genérica del proveedor, un dominio aparcado, una IP compartida, una respuesta de CDN o un sistema fuera del alcance.
En redes internas autorizadas, el reconocimiento activo puede revelar estaciones, servidores, impresoras, controladores de dominio, dispositivos de red, cámaras, sistemas industriales o servicios administrativos.
Cuidados especiales:
En superficie externa se revisan activos accesibles desde internet. Suele incluir dominios, subdominios, aplicaciones web, APIs, VPN, correo, DNS, portales de acceso y servicios publicados.
Aspectos prioritarios:
Una matriz simple permite pasar de datos técnicos a decisiones de enumeración.
| Categoría | Ejemplos | Siguiente paso |
|---|---|---|
| Host activo con web | HTTP/HTTPS responde | Enumerar tecnologías, rutas, cabeceras y autenticación |
| Host activo sin puertos comunes | ICMP o TCP cerrado confirma vida | Revisar filtrado, puertos no estándar o alcance |
| Subdominio sin resolución | Registro histórico o certificado antiguo | Marcar como histórico o pendiente |
| Servicio remoto | VPN, RDP, SSH, portal SSO | Enumerar versión, política de acceso y MFA sin fuerza bruta |
| Proveedor externo | CDN, SaaS, hosting compartido | Confirmar límites antes de cualquier prueba adicional |
Un flujo ordenado para esta fase puede ser:
El reconocimiento activo transforma la información pública y el alcance acordado en un mapa técnico verificable. Permite saber qué existe, cómo responde y qué merece enumeración más profunda.
En el próximo tema profundizaremos en escaneo de puertos, detección de servicios y fingerprinting, donde pasaremos de descubrir hosts a entender con mayor precisión qué servicios ofrece cada sistema.