Tiempo de lectura: 4 minutos.
El firewall no basta
Un firewall decide quién puede pasar: qué puertos y qué direcciones están permitidos. Pero un ataque también puede viajar por un puerto permitido. Si el servidor web está abierto a internet, por ese mismo puerto llegan los clientes y los intentos de explotarlo. El sistema de detección de intrusos (IDS) mira qué hace ese tráfico, no solo de dónde viene.
Tres formas de reconocer un ataque
La guía del NIST sobre estos sistemas describe tres métodos, y cada uno falla de una manera distinta:
- Firmas. Comparan el tráfico con patrones de ataques conocidos. Son precisas, pero no ven lo nuevo ni lo que el atacante modificó para esquivarlas.
- Anomalías. Aprenden cómo es la actividad normal y alertan cuando algo se desvía. Pueden ver lo nuevo, pero generan ruido, y si el intruso ya estaba dentro durante el aprendizaje, lo aprenden como normal.
- Análisis de protocolos. Conocen cómo debería comportarse cada protocolo y detectan usos extraños de comandos legítimos. Son finos, pero costosos.
Los productos actuales combinan varios métodos. Ninguno ve el contenido del tráfico cifrado, que hoy es la mayor parte: ahí el sensor trabaja con metadatos, como quién se conecta con quién, cuándo y cuántos datos envía.
¿Alertar o bloquear?
Un sensor puede conectarse de dos maneras. En línea, el tráfico lo atraviesa y puede bloquearlo: es el modo de sistema de prevención de intrusos (IPS). En paralelo, recibe una copia del tráfico desde el switch y solo puede avisar: es el modo IDS.
Bloquear suena mejor, pero tiene costos. Un falso positivo en un IPS deja sin servicio a los usuarios; todo el tráfico depende de la capacidad del equipo; y si el equipo falla, hay que decidir si el tráfico sigue pasando sin inspección o se corta. La práctica sensata es gradual: primero solo detectar, luego ajustar las reglas durante semanas, y después activar el bloqueo para las reglas de alta confianza.
Herramientas de código abierto
Los motores más usados son Suricata, mantenido por la fundación OISF, y Snort 3, mantenido por Cisco Talos. Un dato práctico: las versiones abiertas de Snort 2 llegaron a su fin de vida en octubre de 2026 y ya no reciben reglas nuevas, aunque muchos tutoriales todavía las enseñan. Un sensor con Snort 2 dejará de reconocer los ataques que vengan.
Detectar también es una obligación en Ecuador
Desde mayo de 2026, la Ley Orgánica para el Fortalecimiento de la Ciberseguridad de Ecuador, exige a las entidades públicas procedimientos de gestión de incidentes con monitoreo y detección (art. 20-F), y a los servicios esenciales e infraestructura crítica, mecanismos de monitoreo, detección y respuesta (art. 20-K). Los incidentes se notifican en un máximo de 72 horas desde su detección (art. 20-G), así que la hora de una alerta se vuelve un dato legal.
Al mismo tiempo, un sensor ve direcciones, usuarios y a veces contenido de comunicaciones: datos personales. Vigilar la red para protegerla es legítimo, pero la Ley Orgánica de Protección de Datos Personales pide hacerlo con finalidad clara, guardando solo lo necesario, por un tiempo definido e informando al personal.
Preguntas frecuentes
¿Un IDS reemplaza al antivirus o al firewall? No. Cada uno cubre una capa distinta. El IDS de red ve lo que pasa por la red; el antivirus y los agentes de host ven lo que pasa dentro de cada equipo.
¿Por qué mi IDS genera miles de alertas? Casi siempre por falta de ajuste: reglas que no aplican al entorno o variables de red mal configuradas. El ajuste es un trabajo continuo, no un paso de la instalación.
¿Puedo instalar Suricata en casa para aprender? Sí, en un laboratorio propio. Lo que no se puede hacer es probar ataques contra sistemas ajenos para ver si los detecta: eso exige autorización escrita del dueño del sistema.
¿Qué hago si el IPS bloquea un servicio legítimo? Restablecer el servicio primero, pasar la regla a modo de solo alerta y ajustarla antes de volver a bloquear.
Fuentes
- Scarfone, K. y Mell, P. (2007). Guide to intrusion detection and prevention systems (IDPS) (NIST SP 800-94). https://doi.org/10.6028/NIST.SP.800-94
- OISF. (2026). Suricata 8.0.7 documentation. https://docs.suricata.io/
- Cisco Talos. (2026). Snort Blog. https://blog.snort.org/
- Asamblea Nacional del Ecuador. (2026, 22 de mayo). Ley Orgánica para el Fortalecimiento de la Ciberseguridad. Registro Oficial, Quinto Suplemento N.º 290.
- Asamblea Nacional del Ecuador. (2021, 26 de mayo). Ley Orgánica de Protección de Datos Personales. Registro Oficial, Quinto Suplemento N.º 459.
Licencia y nota
Texto publicado bajo licencia CC BY-SA 4.0. Contenido educativo.
Opiniones personales del autor.