Cómo auditar los recursos numéricos de Internet de su empresa

Es una revisión documentada de las direcciones IPv4 e IPv6, los ASN, las cuentas de registro, las autorizaciones de enrutamiento, los contratos, los documentos legales y los controles operativos. El resultado debe ser una cadena clara de responsabilidad, no una lista de direcciones.

Para cada recurso, la empresa debe poder explicar su origen, titular, uso, ruta, permisos de administración y plan de respuesta ante una disputa o un cambio.

Los recursos se acumulan entre proyectos, proveedores y reorganizaciones. Puede quedar registrada una entidad antigua, conservar acceso una persona que ya no trabaja allí o dejar de coincidir un contrato con el uso real. Esas diferencias se convierten en riesgo operativo, jurídico y comercial.

Auditar con tiempo permite corregir el registro, proteger una cuenta, renegociar una fecha, preparar una transferencia o reducir la dependencia de un proveedor antes de que la empresa pierda opciones.

El alcance incluye inventario, RIR correspondiente, cadena legal, cuentas, BGP, RPKI/ROA, objetos IRR, cartas de autorización, alquileres, uso por terceros, utilización, IPv6, DNS inverso, geolocalización, reputación, políticas, criticidad del negocio y remediación.

El equipo de red aporta los hechos técnicos. Legal, compras, seguridad, finanzas, cumplimiento, operaciones y dirección verifican derechos, compromisos e impacto para clientes.

Delimite sociedades, nombres anteriores, adquisiciones, regiones, centros de datos, nube, alojamiento, filiales y empresas conjuntas. Incluya los recursos arrendados a terceros, los recibidos en alquiler y los asignados por proveedores. Designe a una persona que coordine pruebas, plazos y correcciones con red, seguridad, asesoría jurídica, cumplimiento, finanzas, compras, administración, riesgos, adquisiciones y dirección. Feche las observaciones.

Cruce los portales de los registros, RDAP/WHOIS, IPAM, routers, BGP, nube, cortafuegos, DNS, tránsito y alojamiento con facturas, transferencias, alquileres, adquisiciones y registros de compras. El registro por sí solo puede omitir recursos alquilados o heredados. Anote prefijo o ASN, tipo, RIR, entidad, responsable, contacto, fecha y procedencia, uso, ASN de origen, proveedores de tránsito, RPKI, IRR, DNS inverso, contrato, criticidad y ubicación de los documentos.

Consulte los datos oficiales de ARIN, RIPE NCC, APNIC, AFRINIC o LACNIC: organización, estado y tipo del recurso, fechas, historial de transferencias, contactos administrativos, técnicos y de abuso, membresía, contrato y cuotas. Las RFC 9082 y 9083 describen consultas y respuestas RDAP. Guarde pruebas fechadas; la explicación del proveedor no sustituye al registro.

Reconstruya la cadena de asignaciones, transferencias y alquileres hasta la entidad actual. Revise cambios de nombre, fusiones, reestructuraciones, filiales, disoluciones y transferencias incompletas. Documentos societarios, autorizaciones de adquisición, acuerdos con el registro, resoluciones del consejo, facturas, contratos, LOA y correspondencia deben respaldarse mutuamente. Llevar años usando una dirección no resuelve una laguna documental.

Revise cuentas personales y compartidas, API, dominios de correo, teléfonos de recuperación y permisos de consultores y proveedores. Use cuentas nominales, privilegio mínimo, MFA resistente al phishing, doble aprobación de cambios sensibles, registros independientes y revisiones trimestrales de acceso. Retire permisos de quienes se marchan, proteja los medios de recuperación y compruebe que recuperar una cuenta funciona.

Compare los anuncios BGP observados con diseño, configuración, contratos de tránsito, LOA, ROA, IRR, nube y alquileres. Investigue orígenes desconocidos, prefijos más específicos, visibilidad parcial, rutas ausentes y anuncios que persisten tras finalizar un servicio. Varios ASN de origen pueden ser legítimos por multihoming, migración, distribución o servicios de seguridad. Lo decisivo es comprobar su autorización, no presumir un secuestro.

Un ROA autoriza a un ASN a originar un prefijo y puede limitar su longitud máxima; la RFC 9582 define el formato. Compruebe existencia, prefijo, ASN, maxLength y resultado Valid, Invalid o NotFound. Un máximo demasiado amplio autoriza más específicos; uno demasiado estricto puede invalidar rutas legítimas. En una migración, cree y valide la nueva autorización antes de retirar las rutas y ROA anteriores. Revise también ASN antiguos, permisos y monitorización.

Compruebe registro, prefijo, origen, mantenedor y credenciales de route, route6, aut-num, as-set y mntner. Busque duplicados, conflictos y objetos de proveedores anteriores y confróntelos con BGP y RPKI. Un objeto obsoleto puede hacer que un operador acepte o rechace rutas indebidamente. Antes de eliminarlo, revise dependencias de producción y verifique el filtrado resultante.

Cada LOA debe identificar prefijo, organización, ASN, finalidad, emisión, caducidad, firmante, contrato y revocación. Detecte autorizaciones de exempleados o antiguos proveedores, ASN erróneos, plazos indefinidos, documentos ausentes y contradicciones con ROA. Una LOA no sustituye los datos del registro ni la validación criptográfica del enrutamiento. Confirme tanto la facultad del firmante como la necesidad actual.

Audite alquileres recibidos y concedidos: partes, prefijos, duración, usos permitidos, ASN, regiones, clientes, abuso, RPKI, IRR, DNS inverso, geolocalización, renovación, terminación, devolución y renumeración. Al finalizar, verifique el cese de anuncios BGP, la revocación de LOA, la actualización de ROA e IRR, la retirada de accesos DNS y el cierre de asignaciones de clientes y registros internos.

Clasifique direcciones activas, reservadas, de infraestructura, asignadas a clientes, en cuarentena, disponibles, desconocidas, inaccesibles, en migración o previstas para crecer. No tener tráfico no equivale a estar libre: cuentan recuperación ante desastres, sistemas de reserva, listas de permitidos, servicios de poco tráfico y compromisos con clientes. Busque subredes sobredimensionadas, proyectos abandonados, antiguos clientes, reservas duplicadas, fragmentación, uso público solo interno y diferencias con IPAM.

Revise IPv6 por separado: asignaciones, plan de direccionamiento, rutas, ROA, IRR, DNS inverso, cortafuegos, descubrimiento de vecinos, grupos de seguridad cloud, monitorización, clientes, diseños antiguos y conocimientos del equipo. Puede haberse activado automáticamente sin supervisión. Documente si está plenamente desplegado, parcialmente desplegado, solo interno, activo por accidente, previsto o deshabilitado por decisión expresa.

Compruebe delegaciones de DNS inverso, servidores autoritativos, PTR y permisos de proveedores anteriores, junto con las dependencias del correo y los registros. Compare bases de geolocalización y geofeed con el despliegue real. Los errores pueden afectar entregabilidad, diagnóstico, acceso, fraude, publicidad regional, analítica y cumplimiento. Asigne la corrección y confirme su resultado.

Revise reputación, listas de bloqueo, denuncias de abuso, spam, malware, escaneos, fraude, incidentes de clientes, correcciones, cuarentena y contactos de respuesta. Aparecer en una lista no prueba que la dirección sea inutilizable: la entrada puede ser antigua, discutida o heredada de otro usuario. Evalúe fuente, fecha, pruebas, uso actual, impacto y remediación, también antes de entregarla a un nuevo cliente.

Revise membresía, acuerdos, cuotas, transferencias, validación de contactos, revisiones de recursos, condiciones históricas, RPKI, informes y cambios propuestos. Distinga políticas vigentes, contratos, procedimientos, recomendaciones, propuestas y debates. Una propuesta no es una obligación actual. La formación, membresía y participación en políticas de NRS pueden ayudar a seguir los asuntos de gobernanza que afectan a la empresa.

Valore clientes e ingresos, coste de renumeración, listas de permitidos, reputación de correo, socios, nube, regulación, sustitución y tiempo de recuperación. Un recurso crítico implica impacto grave; uno de prioridad alta sostiene servicios importantes y es difícil de sustituir; uno moderado admite migración planificada; uno de nivel bajo suele ser temporal o fácilmente reemplazable. Ajuste los controles a la dependencia real.

Registre recurso, descripción, evidencia, categoría, impacto empresarial, responsable, acción, fecha límite, verificación y estado de cada hallazgo. Use la tabla para ordenar prioridades. Cerrar una incidencia exige comprobar la corrección y sus efectos, no limitarse a entregar el informe.

Use esta lista para preparar la revisión entre equipos. Sirve para no olvidar derechos, permisos y consecuencias de negocio mientras se comprueba la red.

• ¿Están identificados todos los IPv4, IPv6 y ASN?
• ¿Se incluyen los recursos del proveedor y los alquilados?
• ¿Se cubren las adquisiciones y entidades anteriores?
• ¿Cada recurso tiene responsable interno?

• ¿Figura la entidad jurídica correcta?
• ¿Están actualizados los contactos?
• ¿Está clara la situación de membresía?
• ¿Están al día las cuotas y los acuerdos?
• ¿Se han conservado los registros oficiales?

• ¿Están disponibles los documentos de asignación y transferencia?
• ¿Está completa la cadena societaria?
• ¿Siguen vigentes contratos, alquileres y LOA?
• ¿Está documentado todo uso por terceros?

• ¿Se conoce la razón de cada ASN de origen?
• ¿Se han investigado los orígenes inesperados?
• ¿Se han retirado los anuncios obsoletos?
• ¿Están autorizados los prefijos más específicos?

• ¿Son correctos los ROA?
• ¿Es adecuado maxLength?
• ¿Son válidas las rutas según RPKI?
• ¿Son precisos los objetos IRR?
• ¿Se han retirado los antiguos mantenedores?

• ¿Está habilitada la autenticación multifactor?
• ¿Se han eliminado las cuentas compartidas?
• ¿Se ha retirado el acceso al personal que salió?
• ¿Se registran los cambios?
• ¿Se ha probado la recuperación de cuentas?

• ¿Se mide la utilización?
• ¿Es correcto el DNS inverso?
• ¿Se ha revisado la geolocalización?
• ¿Se gestionan los problemas de reputación?
• ¿Se incluye IPv6?

• ¿Se siguen los cambios de política?
• ¿Se ha asignado criticidad empresarial?
• ¿Hay capacidad de sustitución disponible?
• ¿Existe un plan de respuesta a incidentes?
• ¿Se siguen los hallazgos hasta su cierre?

Realice, por regla general, una auditoría completa al menos anual y supervise los registros críticos continuamente o con mayor frecuencia. Repítala tras adquisiciones, cambios de nombre, migraciones, grandes despliegues cloud, transferencias, alquileres, incidentes, problemas de acceso al registro, salidas de personal clave, cambios importantes de política RIR o rutas no autorizadas, y al preparar financiación o una venta. Inclúyala en la diligencia debida de cualquier operación de infraestructura de Internet.

Un recurso numérico conecta accesibilidad, identidad legal, contrato, seguridad y promesa al cliente. Auditarlo sirve para ver esa cadena cuando todavía hay margen para elegir y corregir.

Estas respuestas sirven para abrir una revisión conjunta entre red, legal, seguridad, negocio y dirección.

Principalmente las direcciones IPv4, IPv6 y los ASN, junto con las cuentas, objetos de enrutamiento, autorizaciones y documentos que permiten administrarlos y usarlos.

Porque perder el control, cambiar un registro o publicar una ruta inválida puede afectar a clientes y socios aunque los servidores sigan encendidos.

Rutas inválidas, clientes bloqueados, migraciones forzadas, costes de coordinación, pérdida de reputación y disputas sobre los derechos de uso.

Deben participar red, asesoría jurídica, área comercial, finanzas, cumplimiento y operaciones de clientes. El equipo de red gestiona rutas y configuración; contratos, renovaciones, compromisos con clientes e impacto empresarial requieren responsabilidad compartida.

De forma periódica y antes de renovaciones importantes, migraciones de clientes, ampliaciones de red, cambios de proveedor o modificaciones del alquiler de IP. Revíselo también después de incidentes, cambios de titularidad, actualizaciones del registro o cambios en servicios críticos para clientes.