Preparar la máquina y la red

Objetivo

Preparar, para cada sonda Scout, una máquina adecuada y una red que le permita comunicarse con RECON, para que la instalación funcione al primer intento y tus sistemas de seguridad no bloqueen el escaneo.

Capítulos del vídeo

Requisitos previos

• La lista de segmentos de red que quieres analizar: necesitas una sonda por cada VLAN o subred.
• Una máquina Linux (física o virtual) por sonda, conectada al segmento que debe analizar.
• Acceso root o sudo en esa máquina.
• La posibilidad de modificar las reglas de salida del firewall, o el contacto de quien las gestiona.

Qué hace la sonda en tu red

La sonda solo se comunica con RECON hacia fuera, pero dentro de la red genera tráfico de escaneo. Durante un escaneo ejecuta:

• barridos ARP e ICMP para encontrar los dispositivos;
• conexiones TCP a los puertos más comunes, hasta 1000 por host;
• consultas mDNS y NetBIOS para obtener los nombres;
• comprobaciones SMB, SSH, HTTP y TLS para reconocer sistemas y servicios.

En cada escaneo interno la sonda ejecuta también dos tipos de comprobaciones activas:

• Cuatro verificaciones de exploit de solo lectura, siempre activas y no desactivables: Zerologon, ProxyLogon, ProxyShell y SMBGhost. Comprueban si un sistema está expuesto de forma no destructiva: no escriben datos ni cambian el estado o la configuración de los sistemas comprobados.
• Una prueba de contraseñas predeterminadas, activa por defecto: la sonda prueba una lista reducida de credenciales conocidas en SSH (hasta 31 pares), FTP (hasta 11), MySQL, Microsoft SQL Server y PostgreSQL, y comprueba con comandos de solo lectura si Redis, MongoDB, Elasticsearch y Memcached responden sin autenticación. RECON no ofrece un interruptor para desactivarla.

Procedimiento

1. Prepara una máquina por sonda

   Basta con una pequeña máquina virtual dedicada. La guía de despliegue de Orizon indica como mínimo 1 CPU virtual, 2 GB de RAM y 8 GB de disco, y recomienda 2 CPU virtuales, 4 GB de RAM y 16 GB de disco. El programa de la sonda ocupa poco espacio en disco: el margen sirve sobre todo para la RAM durante los escaneos.

2. Comprueba el sistema operativo

   Necesitas Linux con systemd en un procesador x86 de 64 bits o ARM de 64 bits. En la máquina, ejecuta:

   systemctl --version
   uname -m

   Copiar

   El primer comando debe mostrar la versión de systemd; el segundo debe devolver x86_64 o aarch64. No se admiten Windows, macOS, las distribuciones sin systemd ni los sistemas de 32 bits; la guía de despliegue excluye también los contenedores Docker y Podman.

3. Permite la salida HTTPS hacia RECON

   En el firewall, permite solo el tráfico HTTPS saliente por el puerto 443 hacia recon.orizon.one. No hace falta nada de entrada: ni redirección de puertos, ni IP pública, ni VPN. Autoriza el nombre de host y no una dirección IP fija, porque las direcciones detrás del nombre pueden cambiar.

4. Añade la sonda a las excepciones de seguridad

   Si en la red tienes sistemas IDS, IPS o NAC, añade cada sonda a sus excepciones; de lo contrario pueden bloquear el escaneo y los resultados quedan incompletos. Haz lo mismo con los bloqueos SSH descritos más arriba.

5. Prueba la conexión con RECON

   Desde la máquina, ejecuta:

   curl -I https://recon.orizon.one

   Copiar

   La respuesta debe empezar con una línea de estado HTTP 200, por ejemplo HTTP/2 200. Si no llega ninguna respuesta, el instalador no puede descargar el programa de la sonda.

Resultado

La máquina está lista cuando:

• systemctl --version muestra systemd y uname -m devuelve x86_64 o aarch64;
• curl -I https://recon.orizon.one responde con HTTP 200;
• el firewall permite solo HTTPS saliente hacia recon.orizon.one;
• la sonda figura en las excepciones de IDS, IPS, NAC y de los bloqueos SSH.

Resolución de problemas

• El instalador se detiene con "Se requiere Linux", "Se requiere systemd" o "No soportado". La máquina no es Linux, no tiene systemd o usa una arquitectura distinta de x86_64 y ARM64: usa otra máquina.
• El instalador se detiene con "Se requiere root (usa sudo)". Ejecuta el comando de instalación como root o con sudo.
• curl no responde o agota el tiempo de espera. Normalmente el firewall bloquea recon.orizon.one, a menudo por una regla basada en una dirección IP fija: autoriza el nombre de host.
• El escaneo encuentra menos dispositivos de lo esperado. Un IDS, IPS o NAC puede estar bloqueando la sonda, o la red está detrás de un router. En el escaneo la red puede aparecer como Limitada, Bloqueada o Inalcanzable: autoriza la sonda o instala una en ese segmento.

Artículos relacionados