Análisis, escaneo y sniffing de red

Qué es el análisis de red y escaneo

El análisis de red es el proceso de inspeccionar, monitorear y evaluar el tráfico de una red de computadoras para comprender su funcionamiento, detectar anomalías y optimizar su rendimiento. Incluye la observación de protocolos, puertos, direcciones IP, cantidad de tráfico, patrones de comunicación y otros indicadores.

El escaneo de red es una técnica específica dentro del análisis que consiste en explorar la red para identificar dispositivos, servicios activos, puertos abiertos y posibles vulnerabilidades. Los escaneos pueden ser pasivos (solo observando el tráfico) o activos (interactuando directamente con los sistemas para obtener información).

El sniffing de red es la captura de paquetes que circulan por una red para inspeccionar su contenido, ya sea para diagnóstico, monitoreo o ataque y su objetivo principal es ver exactamente qué datos se transmiten, incluyendo protocolos, cabeceras y a veces datos de aplicación (como HTTP o FTP).

En pocas palabras:

• Análisis → "Qué está pasando en la red y cómo funciona".

• Escaneo → "Quién está ahí y qué servicios tienen".

• Sniffing → "Qué información específica circula por la red".

Si pusiéramos una comparación con el tráfico real de vehículos, el análisis se encarga de saber la estructura de carreteras, entradas y salidas así como cuantos vehículos hay circulando y a donde van. El escaneo de red sería ir con un vehículo viendo a donde van los otros coches o de donde vienen. El sniffing seria como un control de policía que intercepta y pregunta a los conductores.

Las organizaciones dependen cada vez más de sistemas interconectados y servicios en línea. La necesidad de analizar y escanear redes surge por diversas razones:

• Seguridad: Detectar accesos no autorizados, intentos de intrusión y vulnerabilidades antes de que puedan ser explotadas.

• Rendimiento: Identificar cuellos de botella, sobrecarga de ancho de banda o problemas de latencia.

• Mantenimiento: Monitorizar el estado de los dispositivos de red y asegurar que los servicios críticos funcionen correctamente.

• Cumplimiento normativo: Garantizar que la red cumpla con políticas internas y regulaciones externas (por ejemplo, GDPR, ISO 27001).

Algunos ejemplos de uso en empresas

1. Detección de intrusos: identificar un equipo desconocido intentando conectarse al servidor de la empresa.

2. Resolución de problemas de rendimiento: analizar por qué un servidor web responde lentamente a ciertos usuarios.

3. Monitoreo de ancho de banda: controlar el uso de internet en oficinas para garantizar que aplicaciones críticas tengan prioridad.

4. Auditorías de seguridad: realizar escaneos de red periódicos para detectar puertos abiertos o servicios no autorizados.

5. Soporte a TI: determinar qué dispositivos están conectados a la red y qué software utilizan para planificar actualizaciones o mantenimiento.

Ventajas y desventajas

Ventajas	Desventajas
Prevención de incidentes: permite anticipar problemas de seguridad o fallos de red.	Consumo de recursos: algunos escaneos activos pueden generar carga adicional en la red o los servidores.
Optimización de recursos: mejora el rendimiento de la infraestructura de red y el uso de ancho de banda.	Riesgo de detección como ataque: escaneos agresivos pueden ser interpretados como intentos de intrusión por sistemas de seguridad.
Visibilidad completa: proporciona un mapa detallado de dispositivos, servicios y conexiones dentro de la organización.	Complejidad de interpretación: analizar grandes volúmenes de datos de red requiere conocimientos técnicos y experiencia.
Soporte a decisiones: facilita la planificación de actualizaciones de hardware, segmentación de red y políticas de seguridad.	Privacidad y cumplimiento: escanear redes que incluyen datos personales puede tener implicaciones legales si no se realiza bajo normas claras.

Herramientas existentes

Algunas herramientas de análisis y escaneo de red existentes y más comunes incluyen:

• Wireshark: captura y analiza paquetes de red en tiempo real, útil para diagnóstico y resolución de problemas.

• tcpdump: herramienta de línea de comandos para capturar tráfico de red y filtrar por protocolos, IPs o puertos.

• Nmap: escaneo de puertos y detección de servicios y sistemas operativos en la red.

• Nagios / Zabbix: monitorización continua de dispositivos y servicios, alertas en caso de fallos.

• Cilium / Oryx: monitoreo avanzado basado en eBPF para entornos de alta performance y contenedores.

• Snort / Suricata: sistemas de detección y prevención de intrusiones (IDS/IPS*).

Un IDS (Intrusion Detection System) es un sistema de detección de intrusiones que analiza el tráfico de red o eventos del sistema para identificar actividad sospechosa o maliciosa por lo que detecta ataques o comportamientos anómalos y generar alertas.

Mientras que un IPS (Intrusion Prevention System) es un sistema de prevención de intrusiones que también analiza el tráfico de red o eventos para identificar amenazas y detectar y prevenir ataques, actuando automáticamente para bloquear o mitigar amenazas.

• Si quieres ver como implementar un IPS con Snort ves a la siguiente página.

Algunas otras herramientas útiles que investigar sobre escaneo de red:

1. Advanced IP Scanner

2. Fing

3. AngryIP scanner

Referencias:

• https://4geeks.com/es/lesson/escaneo-de-redes-para-pentesting