Tema 4
La red no solo conecta sistemas: también ofrece caminos para observar, engañar, interrumpir y propagarse. Comprender estas amenazas es fundamental para diseñar controles eficaces y para interpretar incidentes con criterio técnico.
Las amenazas de red aprovechan el hecho de que los sistemas necesitan comunicarse. Cada protocolo, servicio publicado, relación de confianza y flujo entre segmentos crea una oportunidad potencial de abuso. Algunas amenazas buscan espiar el tráfico, otras manipular rutas o identidades, otras interrumpir disponibilidad y otras expandirse dentro de la infraestructura.
En seguridad defensiva no alcanza con saber que estas técnicas existen. Es necesario entender qué condiciones las facilitan, qué señales pueden delatarlas y qué controles reducen su probabilidad o su impacto.
En este tema veremos cinco familias de amenazas que aparecen una y otra vez en incidentes reales: sniffing, spoofing, ataques Man in the Middle, denegación de servicio y movimiento lateral.
Una amenaza de red puede analizarse desde varios ángulos. Esta clasificación ayuda a pensarla mejor:
El sniffing consiste en observar paquetes que circulan por una red para extraer información útil. Puede utilizarse con fines legítimos de diagnóstico, pero también como técnica ofensiva cuando se realiza sin autorización.
Un atacante busca detectar datos sensibles como credenciales, sesiones, nombres de hosts, relaciones entre sistemas, protocolos utilizados, metadatos de tráfico y comportamiento de usuarios.
El sniffing resulta más viable cuando:
La captura de tráfico no siempre revela inmediatamente contenido legible, pero incluso los metadatos pueden ser muy valiosos. Saber quién se comunica con quién, en qué horarios, mediante qué protocolos y contra qué servicios ayuda a preparar ataques posteriores.
| Dato observado | Utilidad para el atacante | Impacto potencial |
|---|---|---|
| Credenciales en claro | Acceso directo a servicios | Compromiso de cuentas |
| Cookies o tokens | Secuestro de sesión | Acceso no autorizado |
| Consultas DNS | Mapeo de servicios internos y externos | Reconocimiento avanzado |
| Patrones de tráfico | Identificación de activos críticos | Priorización de objetivos |
| Protocolos inseguros | Detección de oportunidades inmediatas | Explotación rápida |
El cifrado no elimina todos los riesgos, pero reduce drásticamente el valor del tráfico capturado para un atacante oportunista.
El spoofing consiste en falsificar un identificador para hacerse pasar por otro actor dentro de la comunicación. Según la capa, el identificador suplantado puede ser una dirección MAC, una IP, un nombre DNS, un remitente de correo o incluso un servicio aparentemente legítimo.
La finalidad del spoofing puede ser variada:
| Tipo | Qué se suplanta | Para qué se usa |
|---|---|---|
| MAC spoofing | Dirección física | Evitar controles locales o imitar un host confiable |
| IP spoofing | Dirección IP de origen | Ocultar origen, generar confusión o apoyar ataques volumétricos |
| ARP spoofing | Resolución IP-MAC en LAN | Redirigir tráfico local hacia el atacante |
| DNS spoofing | Resolución de nombres | Enviar a la víctima hacia un destino falso |
| Email spoofing | Remitente aparente | Fraude, phishing o ingeniería social |
Un ataque Man in the Middle, o MITM, ocurre cuando un atacante logra colocarse entre dos extremos que creen estar comunicándose directamente. Desde esa posición puede observar, redirigir, bloquear o modificar el tráfico.
El MITM puede construirse de varias maneras: mediante ARP spoofing en una LAN, DNS manipulado, redes Wi-Fi falsas, proxies engañosos, certificados mal gestionados o servicios intermediarios no confiables.
Sus efectos posibles incluyen:
Los ataques de denegación de servicio, o DoS, buscan impedir que una red, un servicio o una aplicación respondan correctamente. Esto puede lograrse saturando recursos, explotando debilidades del protocolo o forzando a los sistemas a procesar más carga de la que pueden manejar.
Cuando la agresión proviene de muchas fuentes coordinadas se habla de DDoS. En ambos casos, el objetivo principal es afectar la disponibilidad.
Los impactos más comunes son:
| Tipo | Mecanismo general | Objetivo |
|---|---|---|
| Volumétrico | Envío masivo de tráfico | Saturar el ancho de banda |
| Protocolo | Abuso de características de TCP, ICMP u otros | Agotar recursos de red o estado |
| Aplicación | Solicitudes dirigidas a funciones costosas | Consumir recursos del servicio |
| Reflexión o amplificación | Uso de terceros para aumentar el volumen | Multiplicar impacto sobre la víctima |
En disponibilidad, la preparación previa es decisiva. Durante un ataque volumétrico importante, improvisar suele ser demasiado tarde.
El movimiento lateral ocurre cuando un atacante, luego de obtener un acceso inicial, intenta avanzar hacia otros sistemas dentro de la infraestructura. No busca solo entrar; busca expandir control, alcanzar activos de mayor valor y consolidar permanencia.
En muchos incidentes graves, el daño principal no proviene del primer acceso, sino de lo que el atacante logra hacer después dentro de la red.
El movimiento lateral se ve favorecido por:
Desde un punto de vista general, el avance lateral suele seguir una secuencia parecida:
Cuanto menos segmentada está la red y menos visibles son los flujos internos, más sencillo resulta este proceso.
No todos los ataques dejan la misma huella, pero existen señales que pueden orientar una detección temprana.
Estas amenazas no se resuelven con una sola herramienta. La defensa efectiva combina arquitectura, endurecimiento, cifrado, autenticación, monitoreo y respuesta.
| Amenaza | Controles prioritarios | Objetivo defensivo |
|---|---|---|
| Sniffing | Cifrado, segmentación, Wi-Fi segura | Reducir valor del tráfico capturado |
| Spoofing | Validación, controles L2/L3, autenticación | Evitar suplantación de identidad técnica |
| MITM | TLS, verificación de certificados, protección LAN | Impedir la interceptación confiable |
| DoS | Mitigación, redundancia, filtrado, capacidad | Sostener disponibilidad |
| Movimiento lateral | Segmentación, mínimo privilegio, monitoreo interno | Contener expansión dentro de la red |
Las amenazas de red no deben verse como una lista aislada de técnicas, sino como formas recurrentes de abuso sobre la conectividad. Algunas buscan espiar, otras engañar, otras interrumpir y otras expandir el alcance del ataque. Comprenderlas permite diseñar defensas más coherentes y reaccionar mejor ante señales tempranas.
En el próximo tema veremos los principios de segmentación, aislamiento y zonas de confianza, que son fundamentales para limitar estas amenazas y reducir su impacto.