Cómo funciona FlowPro NG: de la recogida de datos a la alerta

FlowPro NG se ha convertido en un sistema bastante grande: recoge logs de servidores y equipos de red, analiza el tráfico de red, busca vulnerabilidades y controla el cumplimiento de NIS2. Quien lo ve por primera vez suele preguntar cómo encajan todas las piezas. Este artículo sigue el recorrido básico de los datos: de dónde vienen, dónde se guardan, cómo se convierten en una alerta y cómo le llega esa alerta.

Todas las capturas proceden de nuestra instancia de desarrollo. Los nombres de equipos, las direcciones y los nombres de personas se han sustituido por otros ficticios.

Un solo servidor, los datos se quedan en su casa

FlowPro NG no funciona en la nube. Todo el sistema se instala en un servidor propio con Ubuntu 26.04 LTS o 24.04 LTS, físico o virtual. Las bases de datos, los colectores y la interfaz web funcionan juntos, y ni los logs ni la información sobre el tráfico de su red salen de su infraestructura. El sistema solo se conecta a internet para actualizaciones, la verificación de la licencia y fuentes de datos centrales como la base de datos CVE o las listas de direcciones maliciosas.

El recorrido de los datos se resume en cinco pasos:

1. Recogida: agentes en servidores y estaciones de trabajo, syslog de los equipos de red y NetFlow de los routers.
2. Almacenamiento: los logs en Elasticsearch, los flujos de red en ClickHouse y la configuración en PostgreSQL.
3. Detección: reglas, análisis de anomalías de red, IDS Suricata, inteligencia de amenazas y otros módulos.
4. Centro de eventos: todas las alertas en un solo lugar, con prioridad y estado de gestión.
5. Respuesta: avisos por correo electrónico o chat, o un playbook automático.

Veámoslos uno por uno.

Instalación con un solo comando

En un servidor Ubuntu limpio basta con ejecutar el script de instalación y después el asistente de configuración:

curl -fsSL https://repo.net-service.io/flowpro/install.sh | sudo bash
sudo flowpro-setup

El script añade el repositorio e instala los paquetes. El asistente pregunta por el dominio, la zona horaria, el certificado de Let's Encrypt y las credenciales del administrador, y configura todo lo demás por sí solo. Para una prueba bastan 16 GB de RAM y un SSD de 100 GB. En producción recomendamos 32 GB de RAM o más y discos NVMe rápidos, porque Elasticsearch es el componente que más memoria y rendimiento de disco necesita.

Dashboard: lo que verá al iniciar sesión

La primera pantalla es el Dashboard. Muestra el número de eventos del día, las alertas activas, el estado de los dispositivos, un gráfico de eventos de las últimas 24 horas, el reparto por fuentes de datos y el estado del propio servidor (memoria, disco, CPU). Arriba aparece la puntuación de seguridad, un número de 0 a 100 que resume el estado de las distintas áreas de seguridad, con recomendaciones sobre qué mejorar primero.

Justo después de la instalación el dashboard está vacío. El sistema todavía no tiene datos con los que trabajar, así que la primera tarea es conectar las fuentes de datos.

De dónde vienen los datos

FlowPro NG recibe datos por tres vías. Pueden funcionar a la vez y la mayoría de las instalaciones usa las tres.

Agentes de sistema en servidores y estaciones de trabajo

En los servidores y estaciones de trabajo con Linux, Windows o macOS se instala un Elastic Agent. Recoge logs del sistema, eventos de seguridad, métricas (CPU, memoria, disco, red) y, según la configuración, cambios en archivos o el inventario del software instalado. Los agentes los gestiona un Fleet Server que funciona en el propio servidor de FlowPro NG, de modo que su configuración se cambia de forma centralizada, sin tener que pasar por cada equipo.

La instalación empieza en Infraestructura → Agentes de sistema. Para Linux, FlowPro NG genera un comando de una sola línea que se ejecuta en el servidor de destino. El script detecta el tipo de servidor, instala el agente y lo conecta. Para Windows y macOS un asistente le guía paso a paso.

Syslog de los equipos de red

Los routers, switches, cortafuegos y puntos de acceso suelen enviar sus logs por syslog. FlowPro NG los recibe en el puerto UDP 514, reconoce el formato del equipo y los guarda como cualquier otro log. Para MikroTik, Ubiquiti y Linux encontrará una configuración lista en Infraestructura → Agentes Syslog, con la dirección de su servidor ya rellenada.

NetFlow de los routers

Los logs cuentan qué ha pasado en un equipo. NetFlow (o IPFIX) cuenta quién se ha comunicado con quién en la red: dirección de origen y de destino, puertos, protocolo y volumen de datos. El router envía estos resúmenes al puerto UDP 12051 y FlowPro NG calcula con ellos estadísticas de tráfico y busca anomalías. La mayoría de los routers puede exportar NetFlow (en MikroTik se llama Traffic Flow) y en servidores Linux lo hace, por ejemplo, softflowd.

Infraestructura: todas las fuentes en un solo lugar

Cada agente conectado, equipo syslog y fuente NetFlow aparece en Infraestructura. Para cada uno ve el estado (en línea, fuera de línea), la dirección, el tipo de fuente, la criticidad y el número de eventos de las últimas 24 horas. Un equipo que empieza a enviar datos antes de estar registrado aparece en amarillo como nuevo. Con un clic lo añade al inventario.

Dónde se guardan los datos

Cada tipo de dato tiene su propia base de datos, porque se trabaja con él de forma distinta:

El tiempo que se conservan los datos se ajusta en Configuración → Bases de datos → Retención de datos, por separado para diez categorías (syslog, IDS, métricas, flujos de red y otras). El límite superior lo marca la licencia: 30 días en la versión gratuita, 6 meses en Core, un año en Security y sin límite en Enterprise.

Log Explorer: búsqueda en los eventos

Cuando necesite averiguar qué ha pasado en un servidor o un router, abra el Log Explorer. Funciona de forma parecida a un buscador: escribe una consulta (por ejemplo, el nombre de un equipo y parte del mensaje), elige el intervalo de tiempo y sobre los resultados ve un gráfico con el número de eventos a lo largo del tiempo. Con un clic en un campo del panel izquierdo acota aún más los resultados. Los resultados se pueden exportar, y una vista en directo muestra los eventos nuevos en tiempo real.

Análisis del tráfico de red

Los datos de NetFlow los procesa el Flow Collector. Su resumen muestra el tráfico actual en Mbps, los flujos por segundo, la carga de cada fuente y gráficos de tráfico a lo largo del tiempo.

En la pestaña Flujos puede buscar una comunicación concreta, por ejemplo todas las conexiones de una dirección en la última hora, con nombres DNS, números de sistema autónomo y estadísticas de protocolos y puertos.

La pestaña Anomalías recoge los resultados de la detección automática, que cada minuto revisa los flujos nuevos y busca más de quince tipos de comportamiento sospechoso: escaneos de puertos, ataques de fuerza bruta contra SSH, RDP o Telnet, comunicación con servidores de mando y control (beaconing), túneles a través de DNS o ICMP, exfiltración de datos, inundaciones SYN o actividad fuera del horario laboral.

Hay más información en Análisis NetFlow y Detección de anomalías de red.

Detección: cómo los datos se convierten en una alerta

Guardar los datos no basta, alguien tiene que leerlos. De eso se encargan los mecanismos de detección que funcionan en segundo plano:

• Reglas de detección sobre los logs. Los paquetes listos para Linux, Windows, MikroTik, Ubiquiti y FortiGate se activan por categorías, según los datos de los que disponga.
• Análisis de anomalías de red sobre NetFlow, descrito más arriba.
• IDS Suricata revisa el tráfico de red con miles de firmas de ataques (licencia Security).
• Inteligencia de amenazas compara las direcciones y dominios de su tráfico con listas de fuentes maliciosas conocidas.
• Otros módulos informan de sus propios hallazgos: una vulnerabilidad nueva en un dispositivo, un certificado a punto de caducar, un servicio caído, una dirección en una lista negra, un cambio en un archivo importante o un ataque al honeypot.

Centro de eventos: todo en un solo lugar

Las alertas de todas las fuentes llegan al Centro de eventos. Arriba están los recuentos por gravedad (crítica, alta, media, baja) y los filtros por estado y por fuente. Cada evento tiene una vista de detalle con la descripción, las direcciones y dispositivos afectados y un enlace a los logs relacionados. Los eventos se pueden confirmar, cerrar, comentar, marcar como falso positivo o gestionar en bloque.

Con una sola lista no tiene que recorrer diez pantallas distintas. Por la mañana abre el Centro de eventos, filtra las alertas nuevas críticas y altas y las va resolviendo.

Avisos y respuesta

Nadie vigila la pantalla día y noche, así que FlowPro NG puede reenviar los eventos importantes. En Configuración → Notificaciones se añaden canales: correo electrónico, Telegram, Slack, Microsoft Teams, ntfy o un webhook genérico para su propio sistema. Después, las reglas de enrutamiento deciden qué eventos (según fuente y gravedad) van a qué canal, si se envían al momento o como resumen diario y si se aplican horas de silencio. El mismo mensaje no se vuelve a enviar al mismo canal antes de 30 minutos.

Con la licencia Enterprise, los eventos pueden lanzar playbooks: acciones automáticas que, por ejemplo, bloquean durante un tiempo la dirección atacante en un router MikroTik, envían un aviso o llaman al webhook de su sistema de tickets. Cada playbook se puede probar antes en modo de prueba.

Qué añaden las licencias superiores

Lo básico descrito en este artículo, es decir, la recogida de logs, el Log Explorer, el Centro de eventos, la Infraestructura y el Flow Collector, forma parte de todas las licencias, también de la gratuita. Las licencias superiores añaden módulos y capacidad:

La comparación completa está en las páginas de precios y módulos.

Cómo empezar

1. Prepare un servidor con Ubuntu 26.04 LTS o 24.04 LTS (una máquina virtual sirve).
2. Instale FlowPro NG y active la prueba de 14 días.
3. Conecte las primeras fuentes: un agente en un servidor, el syslog del router principal y NetFlow.
4. Configure al menos un canal de avisos para que no se le escape nada importante.
5. Al cabo de unos días, revise el Centro de eventos y la puntuación de seguridad y active más módulos según las recomendaciones.

Si prefiere echar un vistazo primero, pruebe la demo en línea con datos de ejemplo. En los próximos artículos veremos en detalle los distintos módulos: la detección de intrusiones, la gestión de vulnerabilidades y la preparación para una auditoría NIS2.