Seguridad de red

    Detección de anomalías de red: detecte el tráfico sospechoso en un minuto

    Cada minuto FlowPro NG revisa los flujos de red de todas las fuentes en busca de 17 tipos de comportamiento sospechoso: escaneos, inundaciones, exfiltración de datos, tráfico hacia servidores de control y movimiento de un atacante dentro de la red. Sin agentes ni espejado de tráfico.
    Probar 14 días gratisDemo en línea
    flowpro.local/flowpro
    Colector de flujos con detección de anomalías en FlowPro NG

    Un ataque en la red puede no dejar ningún log. Pero siempre deja rastro en el tráfico.

    Una cámara infectada que contacta con el mismo servidor cada pocos minutos. Un equipo que de noche prueba SMB y RDP en decenas de direcciones internas. Un servidor que envía gigabytes de datos hacia fuera. Nada de esto aparece en los logs de las aplicaciones, pero en los flujos se ve con claridad.

    A mano no encontrará nada entre millones de flujos. La detección de anomalías los revisa por usted, los compara con los umbrales configurados y muestra solo lo que merece atención, con su nivel de severidad.

    Qué obtiene

    Detección de anomalías de red en FlowPro NG

    Escaneos y reconocimiento

    Escaneos de puertos horizontales y verticales y ráfagas de conexiones fallidas (TCP RST). Detecta tanto a un atacante externo como a un equipo infectado que explora la red interna.

    Inundaciones y ataques de amplificación

    Inundaciones SYN, UDP e ICMP, amplificación DNS y amplificación mediante NTP, SSDP y Memcached. Ve quién es el objetivo y de dónde viene el tráfico.

    Exfiltración y canales ocultos

    Volumen de salida inusualmente alto desde una dirección, túneles DNS (muchos flujos DNS con paquetes grandes) y túneles ICMP (pings con carga inusualmente grande).

    Atacante dentro de la red

    Beaconing (conexiones a intervalos regulares y tamaño constante, típicas de servidores de control de malware), movimiento lateral por SMB, RDP, SSH y WinRM, fuerza bruta contra SSH, RDP, FTP y Telnet.

    Minería, países de riesgo, fuera de horario

    Tráfico en puertos típicos de pools de minería, tráfico hacia países de riesgo según GeoIP y actividad inusual fuera del horario laboral (22:00–06:00).

    Umbrales, severidad y lista blanca

    Active o desactive cada detección y defina su umbral y los límites de severidad media, alta y crítica. Añada un servidor de copias o una sonda de monitorización a la lista blanca para que no genere falsos positivos.

    • NetFlow v5
    • NetFlow v9
    • IPFIX
    • sFlow
    • ClickHouse
    • GeoIP
    • DDoS
    • SMB
    • RDP
    • SSH
    • WinRM
    • DNS
    • NTP
    • ICMP

    Cómo funciona

    En marcha en pocos pasos

    1. 01

      Instale FlowPro NG

      En un servidor Ubuntu 24.04 con un solo comando desde el repositorio APT. El colector de flujos y la detección de anomalías forman parte de todas las licencias, incluida la gratuita.

    2. 02

      Envíe flujos desde su router

      En el router o firewall, active la exportación NetFlow, IPFIX o sFlow hacia la dirección de FlowPro NG (puerto UDP 12051).

    3. 03

      Las detecciones se ejecutan cada minuto

      Las 17 detecciones arrancan con umbrales predeterminados. Los hallazgos aparecen en el Dashboard y en la pestaña Anomalías del Colector de flujos, con un mapa de orígenes y destinos.

    4. 04

      Ajústelo a su red

      En la pestaña Detección, ajuste umbrales y severidades y complete la lista blanca. Cada red es distinta y unos pocos cambios en los primeros días reducen mucho los falsos positivos.

    FAQ

    Preguntas frecuentes

    ¿Qué es la detección de anomalías de red?

    Analiza el tráfico de red en busca de comportamientos distintos de lo habitual: volumen, número de conexiones, puertos o destinos inusuales. En FlowPro NG trabaja con resúmenes de conexiones (NetFlow, IPFIX, sFlow), no con el contenido de los paquetes, así que basta con la exportación del router.

    ¿Qué diferencia hay entre la detección de anomalías y un IDS?

    Un IDS (Suricata en FlowPro NG) inspecciona el contenido de los paquetes en busca de firmas conocidas y necesita tráfico espejado. La detección de anomalías observa el comportamiento de los flujos, funciona en enlaces que no se pueden espejar y detecta también ataques sin firma conocida. Funcionan mejor juntos.

    ¿FlowPro NG detecta un ataque DDoS?

    Sí, detecta inundaciones SYN, UDP e ICMP y ataques de amplificación mediante DNS, NTP, SSDP y Memcached. FlowPro NG detecta el ataque y muestra los orígenes y el objetivo, pero no bloquea el tráfico por sí mismo. El bloqueo se hace en el firewall o con su proveedor de internet.

    ¿Cómo reducir los falsos positivos?

    Cada detección tiene un umbral y límites de severidad ajustables y se puede desactivar. Los equipos que se comportan de forma inusual pero legítima, como un servidor de copias o un escáner de vulnerabilidades, se añaden a la lista blanca. Los cambios se aplican en la siguiente evaluación de cada minuto.

    ¿La detección de anomalías es gratuita?

    Sí. Las 17 detecciones forman parte del Colector de flujos en la versión gratuita de FlowPro NG para 1 fuente de flujos. Los datos se quedan en su servidor, solo salen la comprobación de licencia y el estado técnico de la instancia.

    Soluciones relacionadas

    Análisis NetFlowQuién se comunica con quién en su red, cuánto y hacia dónde. NetFlow, IPFIX y sFlow desde routers y firewalls, sin espejado de tráfico.Detección de intrusiones (IDS)Suricata IDS inspecciona el tráfico de red paquete a paquete y avisa de intentos de intrusión, malware y exploits. Incluye DNS, HTTP, TLS y FTP.HoneypotUn señuelo que atrae a los atacantes. Vea quién ataca, qué contraseñas prueba y qué comandos ejecuta antes de que llegue a sus servidores reales.
    Cómo se compara FlowPro NG con Wazuh, Elastic, Splunk y Flowmon

    Pruébelo en su propia red

    La prueba Enterprise de 14 días desbloquea todos los módulos. La instala en su propio servidor, sin tarjeta de crédito.

    Prueba gratuitaDemo en línea