Integridad del flujo TCP
Violaciones de la máquina de estados, de la secuencia y del reensamblado TCP: señales tempranas de secuestro de sesión y de evasión del IDS.
- Anomalía de marca de tiempo TCP Segmentos cuya opción de marca de tiempo TCP entra en conflicto con el contexto de la sesión.
- Retransmisiones excesivas El mismo segmento retransmitido por encima del umbral.
- FIN/segmento fuera de ventana FIN o segmentos fuera de la ventana de recepción TCP.
- Número de secuencia incorrecto Paquetes con un seq inesperado durante el handshake o el cierre.
- ACK no válido Paquetes con un número de ACK incoherente con el estado de la sesión.
- Evasión en el handshake Manipulación del seq/ack del handshake de tres vías que rompe el reensamblado del IDS.
- Anomalía en el reenvío de SYN SYN repetidos con seq distintos durante el establecimiento de la conexión.
- Exceso de SYN distintos Intentos de conexión con muchos SYN / SYN-ACK diferentes.
- Sospecha de inyección de RST RST inyectados fuera de compás con el flujo de la sesión.
- Solapamiento en el reensamblado Segmentos con contenido distinto que se solapan en el mismo desplazamiento.
Decodificación de paquetes
Integridad de la decodificación de paquetes y cabeceras (suma de comprobación, opciones, longitud). Casi siempre ruido, a veces falsificación o toma de huellas.
- Error de suma de comprobación TCP Paquetes TCPv4 con una suma de comprobación no válida.
- Error de suma de comprobación UDP Paquetes UDPv4 con una suma de comprobación no válida.
- Anomalía en la longitud de opciones TCP Longitud del campo de opciones TCP fuera de especificación.
- Anomalía en la longitud de cabecera Longitud de cabecera TCP/IP demasiado pequeña o contraria a la especificación.
Anomalía de protocolo
Desviaciones del protocolo de aplicación: enmascaramiento de puertos, túneles y señales de canal encubierto.
- Protocolo en un solo sentido Protocolo de aplicación observado en una sola dirección.
- Protocolo no coincidente Protocolo de aplicación distinto del esperado para ese puerto o dirección.
- Primeros datos en sentido contrario Los primeros datos circulan en dirección opuesta a la esperada.
- Protocolo inesperado Un protocolo que no puede aparecer legítimamente en esta sesión.
- Degradación de STARTTLS No se pasa a TLS tras negociar STARTTLS.
Conformidad HTTP
Violaciones del protocolo HTTP: contrabando de peticiones, elusión del WAF y superficie de ataque por cabecera Host.
- Desincronización de respuestas (contrabando) Flujo HTTP en el que no se pueden emparejar peticiones y respuestas.
- Cuerpo de petición inesperado Un cuerpo presente en un método que no debería llevarlo.
- Línea de petición incompleta Una línea de petición que no termina según la especificación.
- Carácter no conforme Caracteres contrarios a la especificación en el método o el URI.
- Anomalía en la cabecera Host Peticiones con la cabecera Host ausente o mal formada.
Anomalía TLS
Anomalías del handshake y de los registros TLS: superficie de degradación, escaneo y exploits (Heartbleed).
- Anomalía en registros TLS Registros o tráfico TLS mal formados.
- Anomalía en el tipo de registro TLS Un tipo de registro TLS no permitido.
- Alerta de error TLS Un error TLS (alerta) durante el handshake.
- Handshake TLS no válido Violación de la longitud o la estructura de los mensajes del handshake.
- Sospecha de Heartbleed Heartbeat anómalo dirigido a filtrar memoria (CVE-2014-0160).
Anomalía DNS
Anomalías en las respuestas DNS: envenenamiento de caché, suplantación y señales de reflexión.
- Respuesta DNS no solicitada Una respuesta DNS que llega sin consulta previa.
Correo (SMTP)
Anomalías de la sesión SMTP: spam, abuso de retransmisión y sondeo de servidores de correo.
- DATA de SMTP rechazado El servidor ha rechazado el comando DATA.
- Falta el saludo SMTP La sesión continúa sin el saludo del servidor (220).
- Respuesta SMTP no válida Una respuesta SMTP fuera de especificación.
Patrones de ataque web
Patrones de ataque a aplicaciones web: peticiones sospechosas de nginx clasificadas en reconocimiento, inyección y RCE.
- Escaneo de archivos secretos Peticiones sospechosas dirigidas a .env, .git, archivos de configuración y de claves.
- Recorrido de rutas Acceso a archivos mediante ../, codificaciones y rutas del sistema.
- Inyección SQL Cargas útiles SQL con UNION, information_schema y basadas en booleanos o tiempo.
- Scripting entre sitios Etiquetas script, manejadores de eventos y cargas útiles que acceden a las cookies.
- Sondeo de ejecución remota de código Cargas útiles de shell, ejecución de comandos, deserialización y JNDI.
- Asalto a páginas de administración Accesos repetidos a wp-login, phpMyAdmin y rutas de consolas de administración.
- UA de bot o escáner malicioso User-Agents de herramientas de ataque como sqlmap, nikto y masscan.
- Otras peticiones sospechosas El resto de peticiones is_suspicious que no encajan en los patrones anteriores.
Anomalía por ML
Detección de anomalías por aprendizaje automático: un autocodificador no supervisado que capta la desviación respecto de la línea base aprendida.
- Anomalía del autocodificador Kitsune Un conjunto de autocodificadores no supervisados que marca IP anómalas por su error de reconstrucción frente a lo normal.
Escaneo heurístico
Heurísticas basadas en reglas: escáneres, fuerza bruta, bots y anomalías de ritmo bloqueados por reglas explícitas.
- Detección heurística srct Coincidencias con las reglas de escáner de reconocimiento, fuerza bruta de administración, UA de bot, inundación de 4xx, diversidad de JA3 y escaneo TCP breve.
Huella JA3
Análisis de la huella del cliente TLS (JA3): rotación de huellas, botnets y detección de automatización.
- Rotación JA3 / botnet Un mismo origen que rota muchas huellas JA3 entre sus conexiones TLS.
Controla estas versiones en tus propios servidores
InfraGuard recopila las versiones de software instaladas en cada servidor y señala las que tienen vulnerabilidades conocidas. Autoalojado: nada sale de tu red.