Escaneo y IDS
Escaneo es uno de los seis tipos de ataque del duelo de cartas, y IDS es la defensa que lo contrarresta. Aquí encontrarás qué representan en la seguridad real, cómo se enfrentan en el juego y todas sus 18 cartas.
El ataque: Escaneo
El escaneo es el reconocimiento: descubrir qué máquinas están encendidas en una red, qué puertos están abiertos, qué servicios y versiones responden. Herramientas como nmap hacen este trabajo rápido. Un escaneo por sí solo no rompe nada, pero casi siempre es el primer paso de un ataque: le dice al atacante dónde mirar y qué vulnerabilidades buscar.
La defensa: IDS
Un IDS (Intrusion Detection System) analiza el tráfico de red o los eventos de los sistemas y señala lo que se parece a un ataque: escaneos de puertos, firmas de exploits conocidos, comportamientos anómalos. Por sí solo solo avisa (un IPS también puede bloquear); su valor está en que quien defiende se entere pronto, a menudo ya en la fase de reconocimiento, cuando el atacante todavía está mirando.
Quién frena a quién
- IDS contra Escaneo: la mitad de daño. Los escaneos dejan en el tráfico huellas reconocibles, y ese es justo el trabajo para el que está hecho un IDS.
- Escaneo contra MFA: daño doble. Un escaneo no intenta entrar en ninguna cuenta, solo mira qué responde: el segundo factor no tiene nada que ver.
- Escaneo contra EDR: daño doble. El EDR vigila los programas de los ordenadores, mientras que el escaneo llega desde fuera e interroga los servicios de red.
- Brute force contra IDS: daño doble. Cada intento es un inicio de sesión normal en la página correcta: un ataque lento y distribuido se parece al tráfico normal.
- DDoS contra IDS: daño doble. El IDS ve el ataque y da la alarma, pero detectarlo no basta: la conexión sigue saturada.
En todas las demás combinaciones el daño es normal.
Los combos con Escaneo
- Kill chain (Escaneo → Exploit o Brute force, +2 de daño): primero se descubre qué está expuesto y luego se ataca el punto débil encontrado.
- Reconocimiento (Escaneo → Phishing, +2 de daño): saber quién trabaja dónde y con qué sistemas hace creíble el phishing.
Cartas de ataque Escaneo (7)
Ping sweep
Descubre qué máquinas están encendidas en una red. Poco daño, pero información: robas una carta.
Port scan
No cuesta nada: útil para abrir una combo.
Escáner de vulnerabilidades
Coges de tu mazo el primer ataque.
Nmap agresivo
Escaneo completo de puertos, servicios y versiones. Robas una carta.
Banner grabbing
Lee la versión de los servicios expuestos. Durante 2 turnos las defensas del rival reciben +1 de daño.
Shodan
Robas 2 cartas y las defensas del rival quedan expuestas durante 2 turnos.
Bucket público
Un almacenamiento en la nube dejado abierto a todos: bastan una dirección y un navegador. Se evita con acceso privado por defecto y controles de configuración. Además, 1 de daño directo al core.
Cartas de defensa IDS (11)
IDS por firmas
Intrusion Detection System: reconoce escaneos y ataques conocidos en el tráfico.
Revisión de logs
Alguien lee de verdad los logs cada mañana. Las cosas raras se notan.
Honeypot
Contraataque: quien la golpea pierde 2 de integridad.
SOC 24/7
Un equipo que vigila alertas y logs día y noche.
Telemetría de endpoints
Cada proceso que arranca en un equipo se registra y se envía a los analistas: nada permanece oculto mucho tiempo. Contraataque: quien la golpea pierde 1 de integridad.
Correlación de eventos
Mil líneas de registro inofensivas, juntas, cuentan un ataque: es el trabajo del SIEM. Desgaste: al inicio del turno, la defensa rival más fuerte pierde 1.
Sensor señuelo
Un sensor que se hace pasar por un servidor real: quien lo toca se delata y queda registrado. Contraataque: quien la golpea pierde 1 de integridad. Regenera: +1 de resistencia al inicio del turno.
SOC automatizado
Analistas y automatización (SOAR) detectan y responden en segundos. Regenera: +1 de resistencia al inicio del turno. Desgaste: al inicio del turno, la defensa rival más fuerte pierde 1.
Deception grid
Contraataque: quien la golpea pierde 3 de integridad.
Guardrails para modelos de lenguaje
Filtros en entradas y salidas, permisos mínimos y registro de lo que hace el modelo. Regenera: +1 de resistencia al inicio del turno. Armadura: −1 a cada golpe recibido.
IA defensiva autónoma
Un sistema que aprende el comportamiento normal y reacciona solo, siempre con una persona que puede detenerlo. Contraataque: quien la golpea pierde 2 de integridad. Regenera: +1 de resistencia al inicio del turno. Desgaste: al inicio del turno, la defensa rival más fuerte pierde 1.
Guías relacionadas (en inglés)
Para aprender la parte técnica están los laboratorios simulados: