Resumen

  • LightScope instala un sensor en puertos TCP sin uso de máquinas de producción. Su modo señuelo reenvía las conexiones seleccionadas a otro equipo.
  • En RIPE 93, Kapitanski mostró que los escáneres eligen de forma distinta entre servidores activos. El registro oficial del estudio cubre dos meses y 235 despliegues.

Análisis

Una dirección sin servicios permite contar quién toca una puerta vacía. Un servidor activo plantea otra pregunta: ¿a cuál de las máquinas reales elige el escáner y qué intenta después del primer paquete? Eric Kapitanski diseñó LightScope para observar ese segundo momento.

El espacio de direcciones sin uso ha servido como telescopio de Internet, pero se reduce a medida que escasea IPv4. Además, un escáner puede tratar de forma distinta una zona vacía y un servidor que atiende a usuarios. LightScope traslada la observación al servidor activo sin mirar el tráfico de sus servicios legítimos.

El sensor usa puertos TCP libres. En modo pasivo registra un SYN que llega a uno de ellos. En el modo señuelo, el operador selecciona un grupo de puertos —Kapitanski mencionó entre 10 y 26 en despliegues habituales— y el software reenvía la conexión a un señuelo remoto. El servidor de producción funciona como puerta y relé; el servicio señuelo vive en otra máquina.

Esa separación deja fuera de la captura el tráfico destinado a los servicios en funcionamiento. Si el escáner entra por uno de los puertos seleccionados, el sistema remoto permite observar el siguiente tramo: intentos de acceso y comandos dirigidos al señuelo. El sensor acerca la medición a una máquina real sin convertir su servicio principal en objeto de prueba.

La ficha oficial del artículo para IMC 2026 describe dos meses de datos de 235 despliegues de LightScope. En su charla, Kapitanski presentó escáneres que cambiaban de comportamiento entre servidores individuales, incluso dentro de la misma red. Una medición agregada podía reconocer a un escáner y aun así pasar por alto cuáles de esos servidores elegía para una segunda fase.

La dirección del sensor forma parte de la evidencia. Una dirección oscura muestra barridos; un puerto libre de un servidor activo muestra elecciones entre extremos reales; el señuelo remoto registra qué ocurre después de la conexión. Contar paquetes y reconstruir la secuencia posterior son mediciones distintas.

Kapitanski dijo que su muestra se concentra sobre todo en redes educativas de Estados Unidos; una mezcla más amplia de operadores y regiones cambiaría el alcance que puede atribuirse a ese patrón. La presentación también marca dos límites: no recoge tráfico UDP ni respuestas de retorno indirecto. Una vista centrada en TCP no cubre todos los métodos de exploración.

Para un operador, la decisión concreta empieza por los puertos: cuáles quedan bajo observación, cuáles pueden reenviar conexiones, quién accede a los registros del señuelo y durante cuánto tiempo se guardan los identificadores o comandos intentados. El puerto estaba libre; al activar un sensor, pasa a tener una política y un responsable.

Fuentes