Análisis de tráfico de red con tcpdump

Antes de leer un log hay que entender qué ocurre cuando escribes una dirección en el navegador. Casi nada viaja con el nombre del sitio: la red trabaja con direcciones IP, y traducir nombre → IP es trabajo del DNS.

1.1El analizador de protocolos

Primero, la unidad básica: un paquete es la porción de datos en que se divide toda comunicación de red. Nada viaja "entero" por Internet: un correo, una página web o un vídeo se trocean en miles de paquetes que viajan por separado y se reensamblan en el destino. Cada paquete lleva, además de su trozo de datos, cabeceras con la información de entrega: de dónde viene, a dónde va, por qué protocolo.

Un analizador de protocolos (o packet sniffer) captura y registra ese tráfico que pasa por una interfaz de red. Es la herramienta básica del analista para ver qué está ocurriendo realmente «en el cable» cuando algo falla. tcpdump es el más portátil: vive en la línea de comandos de casi cualquier sistema Unix (Wireshark es su equivalente con interfaz gráfica).

1.2DNS, UDP e ICMP

Estos tres protocolos son los protagonistas del caso. Un protocolo es simplemente un conjunto de reglas que ambas máquinas acuerdan para entenderse — el "idioma" de cada tipo de conversación:

1.3Los puertos identifican servicios

Una dirección IP localiza una máquina; el puerto localiza el servicio dentro de ella. Un mismo servidor puede atender la web, el correo y el DNS a la vez — el puerto es lo que dirige cada paquete al servicio correcto. Por convención, ciertos números están reservados a servicios concretos, y esa convención es oro para el analista: ver el número de puerto en un log te dice inmediatamente de qué servicio se está hablando.

1.4El modelo de capas: dónde encaja cada cosa

Un paquete no es plano: es una cebolla de cabeceras. Cada capa del modelo TCP/IP resuelve un problema distinto y envuelve a la anterior — a esto se le llama encapsulación. tcpdump te deja inspeccionar cualquier capa. Saber en qué capa vive un protocolo te dice qué filtro usar y qué cabecera leer.

1.5TCP vs UDP, y las banderas que delatan

A diferencia del UDP (la "postal" sin confirmación), TCP es el protocolo de transporte fiable y con conexión: antes de enviar datos, ambas máquinas establecen la conexión con un handshake de tres pasos — literalmente un "apretón de manos": el cliente dice SYN («¿podemos hablar?»), el servidor responde SYN-ACK («sí, ¿y tú me oyes?») y el cliente confirma con ACK («te oigo, empecemos»). Solo entonces fluyen los datos, con confirmación de cada entrega.

Las banderas (flags) son marcas de un bit en la cabecera TCP que indican el propósito de cada segmento. Cuentan la historia completa de la conexión — quién quiso hablar, quién aceptó, quién colgó — y por eso son la base de muchas detecciones de seguridad (escaneos, conexiones rechazadas, resets).

1.6Puertos que todo analista reconoce

Cada uno de estos números corresponde a un servicio distinto. No hace falta memorizarlos todos de golpe, pero sí reconocer los más comunes: ver un puerto en un log es como ver un uniforme — te dice al instante con qué tipo de servicio estás tratando y si debería estar ahí.

1.7Anatomía completa del comando tcpdump

La estructura siempre es la misma: opciones que cambian cómo se captura y se muestra, seguidas de una expresión de filtro que decide qué se captura.

tcpdump [opciones] [expresión de filtro]
#         └─ cómo capturar/mostrar      └─ qué capturar (BPF)

1.8Expresiones de filtro (BPF)

En una red activa pasan miles de paquetes por segundo; sin filtro, el log es un océano de ruido donde la aguja se pierde. El filtro BPF (Berkeley Packet Filter) resuelve esto de forma elegante: la expresión que escribes se compila y ejecuta dentro del kernel — el núcleo del sistema operativo — de modo que los paquetes que no interesan se descartan antes siquiera de llegar a tcpdump. Por eso filtrar bien es mucho más eficiente que capturarlo todo y luego usar grep: es la diferencia entre pedirle al cartero que solo te suba las cartas de un remitente, o recibir todo el correo del edificio y revisarlo sobre a sobre. Se construye con tres tipos de primitiva combinables con and, or y not.

1.9Recetario de comandos para ciberseguridad

Comandos que cubren la mayoría de tareas de monitorización e investigación. Pégalos y adapta IPs y puertos.

# detección de escaneo de puertos: solo paquetes SYN
tcpdump -nn 'tcp[tcpflags] & tcp-syn != 0 and tcp[tcpflags] & tcp-ack == 0'

# conexiones rechazadas / resets (puertos cerrados)
tcpdump -nn 'tcp[tcpflags] & tcp-rst != 0'

# peticiones HTTP en claro: ver GET/POST y cabeceras
tcpdump -nn -A -s 0 'tcp port 80'

# quién habla con un host sospechoso (entrante y saliente)
tcpdump -nn host 198.51.100.23

# tráfico que SALE de mi red hacia Internet (posible exfiltración)
tcpdump -nn 'src net 192.168.1.0/24 and not dst net 192.168.1.0/24'

# todas las consultas DNS (cazar dominios maliciosos / túneles)
tcpdump -nn -s 0 'udp port 53'

# ARP: detectar envenenamiento / spoofing en la LAN
tcpdump -nn -e arp

# captura forense continua, rotando cada hora, sin perder bytes
tcpdump -i eth0 -s 0 -G 3600 -w cap-%Y%m%d-%H.pcap

# filtrar la salida en vivo buscando una palabra clave
tcpdump -nn -l port 80 | grep "POST"

Comandos mínimos para capturar el tráfico que necesitas. tcpdump requiere privilegios de administrador — poner la tarjeta de red en "modo escucha" para ver todo el tráfico es una capacidad sensible (la misma que usaría un atacante para espiar), así que el sistema la reserva a root. Por eso casi siempre va precedido de sudo.

# listar interfaces disponibles
tcpdump -D

# capturar en una interfaz, sin resolver nombres
tcpdump -i en0 -nn

# solo tráfico DNS (puerto 53)
tcpdump -nn udp port 53

# solo mensajes de error ICMP
tcpdump -nn icmp

# guardar la captura a un archivo para analizarla luego
tcpdump -i en0 -w incidente.pcap

# leer un archivo guardado aplicando un filtro
tcpdump -nn -r incidente.pcap 'udp port 53 or icmp'

Cada evento del caso ocupa cuatro líneas: las dos primeras son la consulta UDP que sale del navegador hacia el DNS; la tercera y la cuarta son la respuesta de error ICMP que vuelve.

13:24:32.192571 IP tu-equipo.52444 > 203.0.113.2.domain:
   35084+ A? yummyrecipesforme.com. (38)
13:24:32.197543 IP 203.0.113.2 > tu-equipo:
   ICMP 203.0.113.2 udp port 53 unreachable

3.1Qué significa cada token

Reconstrucción del incidente tal como llega al analista, y cómo se investiga con tcpdump.

Del síntoma observable a la hipótesis de causa. El puerto 53 inalcanzable tiene dos explicaciones principales.

5.1Hipótesis A · ataque DoS

Un ataque de denegación de servicio (DoS, Denial of Service) inunda un dispositivo de red —como el servidor DNS— con un aluvión de tráfico o peticiones para colapsarlo o impedir que atienda el tráfico legítimo. Si el DNS está saturado, no puede responder a las consultas del puerto 53 y aparece el error observado.

5.2Hipótesis B · firewall

Un firewall (cortafuegos) es el dispositivo o software que filtra el tráfico de red según reglas: qué puertos, IPs y protocolos se permiten o se bloquean — el portero del edificio con su lista de admitidos. Los firewalls permiten bloquear el tráfico de puertos concretos: alguien del equipo pudo cambiar la configuración y bloquear el puerto 53 —por error o como medida frente a un ataque—, dejando el DNS inalcanzable desde fuera. El servidor estaría perfectamente sano, pero nadie puede llegar hasta él.

5.3Próximos pasos del troubleshooting

• Verificar si el servidor DNS está funcionando (responde a consultas locales).
• Si el DNS está sano, revisar las reglas del firewall por si bloquean el puerto 53.
• Contactar al administrador del sistema para inspeccionar señales de ataque.
• Documentar cada hallazgo con su marca de tiempo para la cadena de custodia (el registro riguroso de qué evidencia se recogió, cuándo y quién la manejó; sin él, las pruebas podrían no ser válidas si el caso llega a una investigación formal).

El entregable de la actividad. Se estructura en dos partes: resumen del problema y análisis con causa raíz.

6.1Checklist de un buen informe

• Identifica los protocolos implicados (DNS, UDP, ICMP) y cítalos por su nombre.
• Apóyate en evidencia del log: la marca de tiempo, el error literal, el puerto.
• Relaciona puerto con servicio: 53 = DNS es lo que cierra el razonamiento.
• Propón próximos pasos concretos y verificables.
• Indica al menos una causa raíz, dejando claro que es una hipótesis a confirmar.

Más allá del DNS caído, estos son los incidentes que un analista detecta con tcpdump a diario. Cada caso incluye la señal en el log, el diagnóstico y un informe resumido listo para adaptar.

AEscaneo de puertos (port scan)

Una sola IP intenta conectar a muchos puertos distintos del mismo host en pocos segundos. Es el reconocimiento previo a un ataque: el equivalente a un ladrón que recorre la calle probando todas las puertas y ventanas para ver cuáles están abiertas — todavía no ha entrado, pero está haciendo el mapa de por dónde podrá hacerlo. Por eso detectarlo a tiempo es valioso: es la advertencia temprana.

10:02:11.10 IP 198.51.100.7.51000 > 10.0.0.5.22: Flags [S]
10:02:11.10 IP 198.51.100.7.51001 > 10.0.0.5.23: Flags [S]
10:02:11.11 IP 198.51.100.7.51002 > 10.0.0.5.80: Flags [S]
10:02:11.11 IP 198.51.100.7.51003 > 10.0.0.5.443: Flags [S]
10:02:11.12 IP 10.0.0.5.443 > 198.51.100.7: Flags [R.]  # puerto cerrado

BSYN flood (DoS)

Variante agresiva: miles de SYN, a menudo con IP de origen falsificada, que agotan la tabla de conexiones del servidor para que no atienda a usuarios legítimos.

11:40:03.001 IP 203.0.113.9.4001 > 10.0.0.20.80: Flags [S]
11:40:03.001 IP 203.0.113.41.5500 > 10.0.0.20.80: Flags [S]
11:40:03.002 IP 203.0.113.88.6120 > 10.0.0.20.80: Flags [S]
# ... miles por segundo, mismo destino, sin ACK de vuelta

CARP spoofing (Man-in-the-Middle)

Primero, el protocolo: ARP (Address Resolution Protocol) es el que traduce, dentro de la red local, direcciones IP a direcciones MAC (el identificador físico único de cada tarjeta de red). Cuando tu equipo quiere hablar con la puerta de enlace, pregunta a gritos en la LAN: «¿quién tiene la IP 192.168.1.1?» y confía ciegamente en quien responda. Ahí está la debilidad: en el ARP spoofing (suplantación ARP), un atacante en la LAN responde mintiendo — «esa IP soy yo» — para que el tráfico de las víctimas pase por su máquina antes de llegar al destino real. Eso lo convierte en un ataque de Man-in-the-Middle (MitM, "hombre en el medio"): el atacante se sitúa entre tú y tu destino, pudiendo leer o alterar todo lo que pasa.

09:15:02 ARP, Reply 192.168.1.1 is-at aa:bb:cc:11:22:33
09:15:04 ARP, Reply 192.168.1.1 is-at de:ad:be:ef:00:01  # ¡otra MAC!
09:15:06 ARP, Reply 192.168.1.1 is-at de:ad:be:ef:00:01

DExfiltración / conexión a C2

Cuando un malware infecta un equipo, necesita "llamar a casa": comunicarse con el servidor de su dueño para recibir órdenes y enviar lo robado. Ese servidor se llama C2 (Command & Control, mando y control), y las llamadas periódicas de comprobación — «sigo vivo, ¿alguna orden?» — se llaman beaconing (de beacon, faro o baliza: una señal que se repite a intervalos regulares). La exfiltración es el robo en sí: sacar datos de la organización hacia fuera. En el log se ve así: un equipo interno mantiene conexiones salientes regulares a una IP externa desconocida.

02:00:00 IP 192.168.1.50.49210 > 185.22.x.x.443: Flags [P.], length 512
02:05:00 IP 192.168.1.50.49213 > 185.22.x.x.443: Flags [P.], length 512
02:10:00 IP 192.168.1.50.49217 > 185.22.x.x.443: Flags [P.], length 512
# intervalos regulares de 5 min, mismo destino, a una hora inusual

ECredenciales en texto plano

Un protocolo sin cifrar (FTP, Telnet, HTTP) transporta usuarios y contraseñas legibles. tcpdump las muestra directamente en el payload.

15:30:01 IP cliente.50122 > servidor.21: Flags [P.]
   USER pedro
15:30:02 IP cliente.50122 > servidor.21: Flags [P.]
   PASS Verano2026!   # credencial visible en claro

Tabla rápida de señales

Todos los términos de la guía. Escribe para filtrar.

Sin coincidencias para esa búsqueda.

Preguntas sobre el caso base y el catálogo. Haz clic en una opción para comprobar la respuesta.