Lo que se ve desde afuera
La huella de internet de un operador se puede caracterizar sin escanearlo: alcanza con resolver su dominio público y averiguar, por los registros de ruteo (BGP), en qué sistema autónomo vive esa presencia. Es una pregunta de higiene estructural: ¿el operador corre su propio espacio de direcciones, o su presencia pública está en una nube extranjera, una telco o un registrador?
Clasificación de 21 operadores por el titular del sistema autónomo que aloja su presencia pública. Fuente: resolución DNS pública y RIPEstat (BGP). La IP se usa para resolver el sistema autónomo y se descarta: no se publica.
Dónde vive el sector
Solo 3 de los 21 operadores relevados tienen su presencia pública en espacio de direcciones propio argentino. El resto se reparte entre nube extranjera, sobre todo Amazon y Microsoft, CDN o hosting, y telcos locales. Apoyarse en una nube grande terceriza parte de la seguridad perimetral a quien tiene escala para sostenerla; el costo es que deja la presencia del sector concentrada en unos pocos proveedores, así que un problema en uno de ellos, o en su cadena de suministro, toca a varios operadores a la vez.
Es también la capa donde un descuido convierte el mapa en una lista de blancos, así que lo publicado guarda por operador solo el sistema autónomo, su titular y la clasificación de hosting: ninguna IP, ningún host, ningún puerto. El chequeo del pipeline falla el build si aparece uno.
Puertos industriales expuestos: la sub-capa que falta
Queda una pregunta sin responder, y es la más incómoda: cuántos dispositivos de control industrial (Modbus, DNP3, S7) del país están expuestos a internet. Contar los hosts con el puerto 502 abierto da un número inflado. En Argentina, lo que responde en ese puerto suele ser un router MikroTik, un concentrador de VPN o un servidor web mal etiquetado: de 29 hosts relevados a mano con el 502 abierto, ninguno hablaba Modbus.
El conteo que sirve filtra por el protocolo detectado y no por el puerto, y ese dato, tanto en Shodan como en Censys, está detrás de un plan pago. Por eso la sub-capa queda declarada y no mostrada.
La misma infraestructura, de noche
Instalaciones críticas y grandes centrales sobre el compuesto Black Marble de VIIRS (NASA GIBS). Donde el punto cae sobre luz, hay actividad observable desde órbita. Fuente de las luces: NASA GIBS. Fuente de las instalaciones: coordenadas públicas y datasets de generación.
Un mapa de nodos dice dónde están las cosas; el satélite dice cuáles están operando, sin pedirle el dato a nadie. Se ve el contraste: las térmicas del conurbano y las refinerías del eje La Plata caen sobre la mancha brillante del área metropolitana, mientras el hub de Añelo aparece como una constelación de puntos en pleno desierto neuquino, la firma del flaring y de la actividad de campo donde no hay ciudad que la explique. Es el principio que aplica actividad.podeley.ar para seguir la perforación en Vaca Muerta.
Para un análisis de superficie de ataque, esa luz confirma que una instalación es un activo vivo y no una ficha en una base de datos vieja. Un atacante que hace reconocimiento cruza exactamente eso, y hoy lo hace desde un navegador: lo que él correlaciona gratis, el operador tiene que asumir que ya está correlacionado.
Dónde falla esta lectura
- La clasificación de red refleja el alojamiento del front-end web público, que puede estar detrás de un CDN distinto de donde vive el resto de la infraestructura, y puede resolver distinto en dos días. La muestra son 21 operadores elegidos por relevancia, no el universo del sector.
- "Infraestructura propia" no significa "más segura" ni "menos": significa que el operador controla su propio espacio de direcciones. La lectura de riesgo depende de cómo lo administre, que esto no observa.
- Un gasoducto, una traza de transmisión o una estación desatendida no emiten luz y no aparecen en el compuesto nocturno. La ausencia de luz no dice nada sobre la ausencia de infraestructura.
- El compuesto Black Marble es de referencia anual, no la imagen de anoche, y mezcla actividad energética con alumbrado urbano. Separar una de otra pide el procesamiento de radiancia por píxel de actividad.podeley.ar, que acá no se rehace.
Ya está el sistema, lo que le pasó y lo que se ve de él. Falta quién responde cuando algo de esto ocurre.