Quan comences a veure connexions rares, ports oberts que no saps d'on surten o intents d'accés fallits a la bogeria, tenir clar com bloquejar connexions sospitoses des de CMD i el tallafoc deixa de ser una cosa “per a experts” i passa a ser una necessitat. Amb un parell d'ordres ben usades pots tallar atacs, alleujar el teu servidor i guanyar molta visibilitat sobre el que passa a la teva xarxa.
A Windows, Linux i fins i tot en dispositius de seguretat com FortiGate, tens eines natives per vigilar el trànsit, identificar processos maliciosos i bloquejar IPs, rangs o protocols . El truc és combinar-les bé: primer detectes amb netstat, logs i monitorització, després respons bloquejant des de CMD, firewall o directament aïllant el dispositiu si la cosa se n'ha anat de mare.
Netstat i CMD: el primer radar per detectar connexions sospitoses
La comanda netstat és un dels clàssics per auditar connexions a Windows, Linux i altres sistemes com macOS o Unix, i encara que porti amb nosaltres des dels anys 90 segueix sent molt útil per saber què s'està connectant a què al teu equip o servidor.
El seu nom ve de Network i Statistics, i això resumeix força bé la seva funció: et dóna estadístiques de xarxa, taula de rutes, ports oberts i connexions actives , tant entrants com sortints. És clau si voleu localitzar quin procés manté un port en escolta, on es connecta un servei rar o si hi ha un volum de connexions que no té sentit.
L'eina no té cap interfície gràfica; funciona des de símbol del sistema o terminal, per això es fa servir moltíssim en entorns de servidors i en anàlisi forense d'incidents . A canvi, ofereix un nivell de detall que poques vegades donen les utilitats “boniques” i et permet detectar codi maliciós que depèn de ports concrets o de connexions a hosts remots sospitosos.
Abans de treure conclusions amb netstat convé tancar programes innecessaris o fins i tot reiniciar i obrir només el que és just, perquè així reduïxes el soroll de connexions legítimes (navegador, clients de xat, etc.) i, si necessites, comprovar quants dispositius estan connectats per quedar-te amb una fotografia més neta del que realment t'interessa investigar.
A més, netstat manté una taula d'encaminament i estadístiques per protocol que ajuden a veure errors, paquets descartats i congestió . Si esteu intentant entendre un coll d'ampolla o una caiguda parcial de servei, és una peça important del puzle.
Opcions més útils de netstat per caçar connexions rares
Al Windows pots executar netstat des de CMD o des de la Terminal moderna, ia Linux des de qualsevol consola. La sintaxi típica a Windows és una mica de l'estil netstat , combinant paràmetres segons el que vulguis veure.
Si escrius simplement netstat i prems Intro obtindràs una llista bàsica de connexions actives: protocol (TCP/UDP), adreça local amb port, adreça remota i estat (LISTENING, ESTABLISHED, TIME_WAIT, etc.). Ja amb això pots començar a localitzar connexions a IPs que no et sonen de res o ports que mai no havies vist.
Per treballar en mode numèric (sense intentar resoldre noms DNS) se sol utilitzar netstat -n , que mostra adreces IP i números de port sense traduir. Això fa la sortida més ràpida i més clara quan esteu acarant IPs sospitoses amb llistes negres o amb registres de tallafocs.
Si vols que la informació es refresqui cada X segons, pots afegir un número al final, per exemple netstat -n 7 perquè repeteixi la sortida cada 7 segons. És una forma senzilla de tenir una mena de “monitor” des de CMD sense estirar eines externes.
On netstat es torna especialment útil per buscar activitat estranya és als paràmetres avançats, que et permeten filtrar per protocol, veure PIDs associats, estadístiques o rutes :
- netstat -a: ensenya totes les connexions i ports en escolta (actius i inactius).
- netstat -e: mostra estadístiques de trànsit (byts enviats/rebuts, errors, descarts).
- netstat -f: resol i ensenya el FQDN (nom de domini complet) dels hosts remots.
- netstat -n: mostra IPs i ports en format numèric.
- netstat -o: indica el PID del procés que utilitza cada connexió, clau per creuar amb l'Administrador de tasques.
- netstat -p X: filtra per protocol (TCP, UDP, TCPv4, TCPv6…).
- netstat -q: llista ports en escolta i no escolta vinculats.
- netstat -s: estadístiques agrupades per protocol (TCP, UDP, ICMP, IPv4, IPv6).
- netstat -r: mostra la taula d'encaminament actual.
- netstat -t: enfocat en connexions en procés de descàrrega.
- netstat -x: informació sobre connexions NetworkDirect.
Un ús molt comú per revisar seguretat bàsica és netstat -ano , que combina diverses d'aquestes opcions: vegeu totes les connexions actives amb IPs, ports i l'identificador de procés. A partir d'aquí pots localitzar processos rars a l'Administrador de tasques o amb eines com TCPView i decidir si els has de bloquejar per tallafocs o desinstal·lar-los.
També és molt pràctic filtrar l'estat amb findstr, per exemple, netstat | findstr ESTABLISHED per veure només connexions establertes, o canviar ESTABLISHED per LISTENING, CLOSE_WAIT, TIME_WAIT, etc., quan estàs investigant fuites de recursos o connexions zombi.
Avantatges, límits i impacte en el rendiment de netstat
Netstat brilla perquè et dóna una visibilitat força directa de quins ports i connexions hi ha vius en un equip, cosa que per a un administrador o analista és or pur. Permet monitoritzar el trànsit, seguir sessions, fer avaluacions de rendiment i detectar connexions no autoritzades o comportaments sospitosos amb relativa rapidesa.
Gràcies a les seves estadístiques, pots detectar pics anormals en protocols concrets o augment d'errors , cosa que sovint apunta a congestió, escanejos de ports, intents de força bruta o malware mal configurat. I com que és una utilitat nativa, no necessites instal·lar res ni a Windows ni a moltes distribucions Linux.
Ara bé, també té les pegues. Per començar, la sortida pot ser força densa i críptica si no estàs acostumat a interpretar connexions, estats i ports. Per a un usuari poc tècnic, la corba daprenentatge no és precisament suau, i és fàcil que acabi tirant de programes amb interfície gràfica.
Un altre punt és que netstat, per si sol, no xifra res, no bloqueja res i no fa anàlisi profunda : es limita a mostrar informació. Per convertir aquestes dades en una defensa real necessites complementar-lo amb tallafocs, sistemes EDR, IDS/IPS i altres eines.
no escala especialment bé en xarxes enormes o entorns amb milers de connexions simultànies. En infraestructures modernes sol estar relegat davant de solucions com PowerShell avançat, SNMP, ss a Linux o visors gràfics més potents.
Quant al rendiment, l'ordre en si no “trenca” el sistema, però si el llences contínuament, amb molts paràmetres i sobre equips amb milers de connexions , pot consumir CPU i memòria de manera apreciable. La recomanació és fer-lo servir de manera puntual, amb filtres concrets i sense caure en refrescos permanents a intervals molt curts.
Gràcies al seu nivell de detall, netstat fins i tot t'ajuda a detectar codi maliciós que es comporta com a rootkit o que oculta processos darrere de connexions inusuals.
Com passar de detectar a bloquejar: firewall de Windows i bloqueig d'IPs
Quan tens localitzades connexions o IPs que fan mala olor gràcies a netstat o als registres, el següent pas lògic és utilitzar el tallafocs de Windows per bloquejar aquestes IPs sospitoses . Això talla el trànsit a l'origen i estalvia recursos al servidor o al PC.
El procés típic per bloquejar una IP concreta a Windows és crear una regla entrant personalitzada :
- Obrir el tallafoc de Windows amb seguretat avançada i prémer “Nova regla”.
- Triar “Personalitzada” per poder definir bé el trànsit a bloquejar.
- Indicar “Tots els programes” si vols que la regla afecti qualsevol aplicació.
- A “Protocol i ports”, deixar “Qualsevol” llevat que vulguis una cosa molt específica.
- A “Àmbit”, afegiu l'adreça IP o el rang d'IPs d'origen que voleu bloquejar.
- Seleccionar “Bloquejar la connexió” com a acció per defecte.
- Decidir en quins perfils s'aplica (domini, privat i públic, normalment tots tres).
- Posar un nom recognoscible, per exemple Bloqueig_IP_Sospechosa, i guardar.
Amb això, qualsevol intent de connexió des daquesta IP serà directament rebutjat. És especialment útil quan un atacant insisteix una vegada i una altra a accedir a la teva web, a estirar atacs DDoS petits oa provar credencials contra panells d'administració.
Si en comptes de bloquejar des del teu sistema vols tallar l'accés directament a un lloc web allotjat en un servidor, una altra opció és fer servir el fitxer .htaccess en panells de control com Plesk . Aquí pots afegir regles tipus:
Order Allow,Deny
Deny from 192.168.xx.x
Allow from all
i repetir la línia Deny from per a cada IP addicional. Així aconsegueixes que, en intentar entrar a la teva web des d'aquestes IPs, només vegin un error i no consumeixin recursos d'aplicació ni de base de dades.
També es pot jugar amb geobloqueig per país a través de .htaccess quan el servidor ho permet, redirigint cert trànsit (per exemple, d'un país des del qual només reps atacs) a una pàgina d'error usant regles RewriteCond amb el codi de país GEOIP.
Bloqueig d'IP i rangs des de CMD i eines de xarxa
En alguns entorns, sobretot en servidors Linux o sistemes on es treballa gairebé sempre en consola, resulta més directe estirar ordres de routing o firewall des de la terminal per tallar el trànsit d'una IP problemàtica.
Amb l'ordre route en sistemes tipus Unix pots afegir rutes que bàsicament “enfonsen” el trànsit cap a un host concret. Per exemple:
route add -host 24.92.120.34 reject
Amb aquesta ordre, qualsevol intent d'assolir aquesta IP es rebutja. Si vols veure què tens bloquejat o com està la taula de rutes, pots fer servir route -n , que mostrarà les rutes numèriques actives.
Si en algun moment necessites revertir el bloqueig , n'hi haurà prou amb executar:
route del 24.92.120.34 reject
Quan parlem de rangs complets , es pot fer servir alguna cosa com:
ip route add blackhole 22.118.20.0/24
que crea una ruta de tipus “blackhole” per a tota una subxarxa, fent que els paquets dirigits a aquestes adreces es descartin sense resposta . És molt útil davant d'atacs massius distribuïts des d'un rang concret o per frenar spam massiu des de grups d'IPs.
Per no anar a cegues, és recomanable recolzar-se en calculadores de rangs d'IP per saber exactament quantes i quines estàs bloquejant, sobretot si toques subxarxes amb màscares una mica més complexes que /24.
Bloquejar connexions VPN i accés remot des d'IPs sospitoses
Les VPN SSL són un objectiu molt sucós per a atacants perquè, si aconsegueixen entrar, els dónes accés gairebé directe a la teva xarxa interna . Dispositius com FortiGate permeten restringir quins IPs poden connectar a la VPN, i això és una capa addicional de defensa molt interessant.
Un enfocament típic és crear un grup d'adreces de tipus “llista negra” (per exemple, blacklistipp) al FortiGate on vas afegint IPs públiques que han intentat atacs de força bruta o comportaments estranys als logs de la VPN.
Després, a la consola del tallafoc , s'ajusta la configuració de la VPN SSL amb:
- config vpn ssl setting
- set source-address «blacklistipp»
- set source-address-negate enable
- Mostra per verificar la configuració aplicada.
Amb aquest ajustament, qualsevol intent de connexió des d'una IP inclosa en aquest grup serà rebutjat des del primer moment , sense ni tan sols permetre introduir usuari i contrasenya, cosa que redueix molt el desgast de recursos i la superfície d'atac.
També es pot treballar des de la interfície gràfica configurant “Restringir accés” i limitant-ho a hosts específics, encara que en aquest mode, l'usuari arriba a introduir credencials i la connexió es talla després, cosa que és menys eficient des del punt de vista de mitigació primerenca.
Per verificar que el bloqueig està funcionant, podeu utilitzar ordres de diagnòstic com diagnose sniffer packet filtrant per la IP i el port de la VPN, o bé revisar get vpn ssl monitor per comprovar quines connexions s'estableixen i quines queden fora.
Defensa avançada: aïllament de dispositius i identitats
Quan la situació és realment seriosa (ransomware, moviment lateral, exfiltració de dades), no n'hi ha prou amb tancar un port o bloquejar una IP concreta: de vegades necessites aïllar completament el dispositiu o fins i tot la identitat compromesa.
Microsoft Defender for Endpoint integra accions de resposta ràpida a nivell de dispositiu: podeu etiquetar equips, iniciar investigacions automatitzades, obrir sessions remotes de resposta en viu, recopilar paquets de recerca complets i llançar escanejats antivirus en profunditat des de la consola central.
La recopilació d'un paquet de recerca a Windows inclou informació com autoarrencada del registre, programes instal·lats, connexions de xarxa actives, memòria cau ARP, DNS, configuració TCP/IP, registres de tallafocs, prefetch, processos, tasques programades, registre de seguretat, serveis, sessions SMB, informació del sistema i directoris temporals . Tot això condensat en una estructura de carpetes i un informe resumit (CollectionSummaryReport.xls).
A macOS i Linux es recull una cosa semblant: aplicacions instal·lades, volums de disc, connexions de xarxa, processos, serveis, informació de seguretat, usuaris i grups, etc., cosa que permet reconstruir l'escenari d'atac força bé.
Una acció especialment potent és l' aïllament del dispositiu : l'equip afectat es talla de la xarxa (llevat de la comunicació necessària amb el servei de seguretat al núvol) per evitar que l'atacant continuï movent-se o filtrant dades. Hi ha aïllament complet i aïllament selectiu (permetent, per exemple, que Outlook i Teams segueixin funcionant), disponible en diverses versions de Windows, macOS i Linux amb certs requisits a iptables i kernel.
En paral·lel hi ha l'opció de contenir dispositius no administrats a través de la seva IP: els equips protegits per Defender bloquegen qualsevol trànsit entrant o sortint cap a aquesta adreça, frenant la propagació des de “illes” de la xarxa on encara no hi ha agent de seguretat desplegat.
També es pot contenir el mateix usuari o identitat sospitosa: es bloquegen logins de xarxa, RDP, SMB, RPC, es tallen sessions remotes en curs i evita el moviment lateral. Aquesta contenció s'activa automàticament mitjançant lògiques d'interrupció d'atacs i blindatge predictiu, i es pot revertir des del Centre d'accions quan s'ha solucionat l'incident.
Firewall a Linux: UFW, firewalld i iptables per frenar trànsit maliciós
En servidors Linux la peça clau per bloquejar connexions rares és el firewall del sistema, normalment basat en iptables/nftables, amb capes de gestió com UFW o firewalld per fer-ho més amigable.
A Ubuntu i moltes distros compatibles, UFW (Uncomplicated Firewall) simplifica moltíssim la vida. Pots instal·lar-lo amb sudo apt install ufw , comprovar el seu estat amb sudo ufw status i activar-lo amb sudo ufw enable . Per defecte sol denegar tot el trànsit entrant i permetre les sortides, cosa que ja és una postura força segura.
Per definir les polítiques base es fan servir ordres com:
sudo ufw default deny incoming
sudo ufw default allow outgoing
Després, podeu permetre serveis concrets: per exemple sudo ufw allow ssh per obrir el port 22, o sudo ufw allow 2222/tcp si utilitzeu un port SSH no estàndard. Per bloquejar un servei, una cosa com sudo ufw deny 80 tanca el port HTTP.
Si tens una IP de confiança o, al contrari, vols vetar una adreça en concret, pots fer servir regles de l'estil sudo ufw allow from <ip_address> o sudo ufw deny from <ip_address> , i fins i tot afinar amb “to any port <port_number>” per associar el bloqueig a un port específic.
Les regles es poden llistar numerades amb sudo ufw status numbered i eliminar amb sudo ufw delete <número_de_regla> , cosa que fa força còmode anar ajustant la política en funció del que vagis veient en logs i en eines com netstat, ss o iftop.
Endurir l'accés: usuaris, SSH i autenticació
Bloquejar connexions sospitoses està molt bé, però és igual dimportant reduir la superfície datac limitant qui pot entrar i com . Aquí hi entren en joc la gestió d'usuaris, SSH i l'autenticació forta.
A Linux, cada compte d'usuari amb accés al servidor és un potencial vector d'atac si no es gestiona correctament. Es creen comptes amb useradd , se'ls assigna contrasenya amb passwd i s'ajusten permisos i grups amb eines com chown i chmod per evitar que puguin tocar més del que cal.
Per reforçar SSH, l'ideal és utilitzar claus públiques/privades en lloc de contrasenyes . Generes el teu parell amb ssh-keygen , acceptes o defineixes la ruta d'emmagatzematge i, si vols una capa addicional, poses una frase de pas. Després envieu la clau pública al servidor amb ssh-copy-id usuari@host i, a partir d'aquí, podreu iniciar sessió amb ssh usuari@host usant la vostra clau.
Quan l'autenticació per clau funciona, és bona pràctica desactivar el login per contrasenya al fitxer /etc/ssh/sshd_config, modificant la directiva PasswordAuthentication a “no” i reiniciant el servei amb systemctl restart ssh . D'aquesta manera, un atacant no podrà provar contrasenyes a allò brut, perquè el servidor ni tan sols acceptarà aquest mètode.
Si a això sumes autenticació de dos factors en serveis crítics, rotació de contrasenyes i comptes amb privilegis mínims, reduïxes brutalment les opcions que una connexió sospitosa arribe a alguna cosa més que uns quants intents fallits.
Logs i monitorització: sense visibilitat no hi ha bloqueig eficaç
Cap estratègia de bloqueig funciona bé si no tens registres d'auditoria decents i una mínima monitorització . Necessites veure què està passant per reaccionar a temps i, si cal, reconstruir el que ha passat després d'un incident.
A Linux, la majoria de logs del sistema es concentren a /var/log : missatges del kernel, autenticació, serveis de xarxa, dimonis del sistema… El comportament i format el controla gairebé sempre rsyslog (o variants), configurat en fitxers com /etc/rsyslog.conf o en fitxers dins de /etc/rsyslog.d/.
Des d'aquí podeu ajustar quins tipus d'esdeveniments es registren, amb quin nivell de severitat i en quin fitxer acaben. També és possible enviar logs a un servidor centralitzat per analitzar-los millor i evitar que un atacant els esborri fàcilment a l'equip compromès.
L'equilibri és important: registrar absolutament tot pot omplir el disc i fer impossible filtrar informació útil mentre que registrar molt poc deixa buits perillosos. Per això molta gent combina registres detallats en serveis crítics (SSH, firewall, autenticació) amb altres de més lleugers en components menys sensibles.
Per a l'anàlisi, pots estirar ordres com grep, awk o less, però en entorns mitjans i grans és normal fer servir eines de tipus SIEM o stacks com ELK, Splunk o similars , que permeten correlacionar esdeveniments, detectar patrons d'atac i generar alertes en temps real.
A Windows, una cosa semblant es fa amb el Visor d'esdeveniments, els logs de Windows Defender, firewall i, a nivell més avançat, amb solucions com Microsoft Defender XDR que ja integren tot aquest flux i el creuen amb intel·ligència d'amenaces.
Combinar netstat i altres utilitats de xarxa per detectar trànsit sospitós, reforçar el tallafocs (en Windows, Linux o dispositius dedicats), gestionar bé usuaris i SSH, i aprofitar capacitats avançades com l'aïllament de dispositius o la contenció d'IPs i comptes, et col·loca en una posició molt més sòlida: les connexions que pots identificar ràpid, bloquejar des de CMD o panells de seguretat i analitzar amb calma per millorar de mica en mica la defensa de tota la teva infraestructura.
