3 · Infraestructura·8 min de lectura
Cincuenta mil ataques diarios, medidos cada quince minutos durante semanas. Nadie los leyó.
Una sonda vigila por dentro el servidor de un cliente. Corre cada quince minutos, mide diez cosas y manda el parte hacia afuera. Entre esas diez, desde el primer día, viene ésta:
"ataque": { "por_dia": 39168, "en_ventana": 272, "ventana_min": 10 }
Ese renglón lleva semanas llegando. Puntual, correcto, completo. Y no tenía un solo aviso detrás. Ni una alerta, ni un detector, ni una regla que lo mirara. Se guardaba y ahí se quedaba.
No es que faltara la herramienta. La herramienta funcionaba perfectamente. Faltaba que alguien mirara — y eso es peor, porque desde fuera se ve idéntico a estar vigilando.
Lo que había del otro lado#
Cuando por fin lo abrimos, resultó que esos intentos son el registro de seguridad. Medido en seis horas:
4625 FALLO de inicio de sesion 12,489 (~49,956/dia)
4624 Inicio de sesion correcto 966 ( ~3,864/dia)
4634 Cierre de sesion 944
4672 Privilegios especiales 237
4625 es un intento fallido. Es el 82% de todo lo que el servidor anota. Lo demás junto no llega a 11,000 al día.Por eso el registro de seguridad —que ya estaba subido a 512 MB, no a los 20 de fábrica— sólo cubría 4.9 días. Un incidente de hace una semana ya no se podía investigar: el dato se había sobrescrito con los intentos de entrar.
Y al mirar de dónde venían, la sorpresa:
85.239.151.18 5,233 intentos (42%)
109.205.211.106 1,520
94.26.68.38 1,503
109.205.211.107 1,472
109.205.211.108 1,412
94.26.68.37 1,201
221.7.193.109 140
Y contra qué:
ADMINISTRADOR 12,341 intentos
ADMINISTRATOR 140
Lo saben escribir en español porque el sistema lo está. Y ese nombre ya no existe: la cuenta de administrador se había renombrado meses atrás. Cincuenta mil golpes diarios contra una puerta tapiada.
Por qué el número no movía a nadie#
Aquí está lo que nos costó entender, y es la parte incómoda.
«Cincuenta mil ataques diarios» lleva meses siendo verdad. Es enorme, es alarmante, y precisamente por eso no sirve: un dato que es igual de grave hoy que hace tres meses deja de leerse como una alarma y empieza a leerse como el clima. Llueve. Siempre llueve.
Nosotros mismos lo habíamos escrito en otra parte —que un aviso que nunca se apaga enseña a ignorar la lista donde algún día va a aparecer el que sí importa— y aun así caímos: pusimos el número en el parte y dimos el trabajo por hecho.
Un número no es una alarma. Una alarma es un número más una acción posible.
Lo que sí mueve#
El acceso remoto estaba abierto a internet porque alguien lo necesitaba para trabajar. Ésa es siempre la razón real, y es la que ningún contador de ataques responde: ¿quién se queda fuera si lo cierro?
Así que en vez de vigilar los ataques, medimos las dos mitades a la vez. La sonda ahora clasifica cada inicio de sesión según por dónde entró:
CUENTA VIA VECES (ultimas 24 h)
contabilidad3 directo 9
planta5 directo 9
planta5 tunel 4
planta2 lan 5
planta3 lan 4
directo = entró por el puerto expuesto. tunel = por la red privada. lan = desde la oficina, no le afecta.Ese cuadro cambió el plan de inmediato. Creíamos que cerrar el puerto afectaba a una persona. Eran cuatro — y tres de ellas ya tenían la red privada funcionando y seguían entrando por fuera, porque su acceso directo apuntaba a la dirección vieja y la usaban por costumbre.
Estar inscrito en algo no es usarlo. Si hubiéramos cerrado ese día, el lunes había cuatro llamadas y una de ellas justificada.
El hallazgo, ahora#
Con las dos mitades juntas, el detector dice esto:
El acceso remoto abierto a internet recibe 38,736 intentos de entrada
al dia. Todavia lo necesitan 3 cuenta(s): contabilidad3, adminlocal,
Marina. Mientras siga abierto, esa es la puerta por la que se toca
todos los dias.
La primera cifra lleva meses sin cambiar. La segunda baja cada vez que alguien migra, y el día que llegue a cero el hallazgo deja de ser una queja y se convierte en una instrucción: ya no le sirve a nadie, ciérralo.
Lo que aprendimos#
La desidia no es no medir. Es medir y archivar.
Un sistema que recolecta datos que nadie lee es más peligroso que uno que no recolecta nada, porque produce la sensación de estar vigilando. El tablero está verde, la sonda reporta, el número está ahí — y nadie ha mirado en semanas.
La prueba de que una medición sirve no es que exista ni que sea correcta. Es que alguien pueda hacer algo distinto después de leerla. Si nadie puede, no es una alarma: es decoración con cara de rigor.
Y la pregunta que ahora le hacemos a cada medida nueva antes de darla por terminada: si esto se dispara mañana, ¿qué hace exactamente la persona que lo lee? Cuando la respuesta es "nada", falta la otra mitad.
Caso real, anonimizado. Las cuentas y los nombres de máquina fueron sustituidos; las direcciones de los atacantes son reales —son infraestructura de ataque, no de nadie— y las cifras son las que medimos.