Security Scanner Detection

ID de alerta: scanner_detection MITRE ATT&CK: T1595 – Active Scanning · T1046 – Network Service Scanning

Severidad / Criticidad

Nivel	Condición
Baja	Herramientas de información (WhatWeb, `curl`, `wget`)
Media	Directory bruteforcers (Gobuster, DirBuster), detectores de WAF
Alta	Vulnerability scanners (Nikto, WPScan, Nessus, Acunetix)
Crítica	Herramientas de inyección/explotación automatizada (SQLMap, Metasploit)

Reconocimiento automatizado: primera fase de un ataque dirigido.
Descubrimiento de vulnerabilidades: mapeo masivo de vectores explotables.
Preparación de ataque: inventario y priorización de objetivos.
Explotación automática posible: scanner + vulnerabilidad = compromiso inminente.

Detección por User-Agent coincidente con >50 patrones conocidos.
Análisis comportamental: ráfagas de 404s, requests secuenciales a paths comunes.
Severidad aumentada si se observan intentos de login, peticiones maliciosas o payloads.
Cooldown: 5 minutos por IP/tool.
Respuesta crítica automática para herramientas catalogadas como explotadoras (SQLMap, Metasploit).

Tipo	Ejemplo
`user_agent`	`sqlmap/1.5.2#stable`
`user_agent`	`Mozilla/5.0 (compatible; Nmap Scripting Engine)`
`user_agent`	`WPScan vX.Y.Z`
`user_agent`	`Nikto/X.Y.Z`
`behavior`	Múltiples 404 en <1 segundo contra paths comunes
`behavior`	Patrones de enumeración: `/wp-admin/`, `/wp-login.php`, `.env`, `/backup/`, `wp-content/plugins/`

Analizar User-Agent y frecuencia:
Ventana de terminal
```
grep -iE "nikto|sqlmap|wpscan|nmap" access.log
```

Listar paths probados y contar 404s:

awk '$9 == 404 {print $7}' access.log | sort | uniq -c | sort -nr

Medir alcance: duración del escaneo, requests totales, tamaños y patrones.
Correlacionar con WAF/IDS: reglas disparadas, bloqueos previos.
Para herramientas críticas, asumir intento de explotación activa y escalar a respuesta urgente.

Filtrar User-Agents conocidos a nivel de servidor web (Nginx):

if ($http_user_agent ~* (nikto|sqlmap|wpscan|nmap|acunetix)) {
    return 403;
}