eProtect | Threat Intelligence

🎯 Clasificacion de atacantes

Del zoo de Internet, con carino

Botnets / credential stuffing

El pan de cada dia. Diccionarios de usernames default (ubuntu, admin, root). Intentan miles de combos desde IPs rotativas. La inteligencia artificial mas tonta del mercado.

~85% del trafico | 202.165.25.8 (1.728 hits), 103.132.1.231 (1.181)

Scanners de puertos

Los turistas del SSH. Tocan el timbre y se van. 14.874 preauth disconnects. Banner exchange errors = herramientas tipo Masscan, ZMap o el script del sobrino.

134.185.80.140 (217 banner errors) | Shodan, Censys y amigos

Brute force persistente

Los pesados. Una IP, un user, repiten cada hora como un despertador. 139.19.117.129 lleva dias probando "admin" cada hora en punto. Constancia digna de mejor causa.

~10% | 77.91.71.x (cluster de 5 IPs, misma subred)

Usernames creativos

Los que intentan "minecraft", "steam", "claude" (ironia suprema), "gandalf", "dolphins" y "dad". Si, alguien intento entrar como "dad". Papa, eres tu?

487 usernames unicos | Highlights: claude, gandalf, dolphins, dad, pepe

🛡 Veredicto eProtect

El perimetro recibe un bombardeo constante de 1.367 IPs distintas probando 487 usernames diferentes. Ningun acceso no autorizado registrado. El 85% es ruido de botnets con diccionarios genericos. El 10% son brute forcers persistentes (misma IP, cada hora). El 5% son scanners que ni llegan al login.

Fail2ban + autenticacion por clave publica = muro infranqueable.
Los atacantes gastan mas en electricidad que nosotros en defenderlo.

El Instituto Max Planck (139.19.117.129) escanea por ciencia. ZeroLimit Servers (77.91.71.x) pone como contacto de abuse: ban-me-please@zerolimit-servers.cool — al menos tienen sentido del humor.