Durante años he trabajado con servidores, tráfico web y optimización. Estoy acostumbrado a ver bots, crawlers, scrapers y ruido digital de todo tipo. Pero hubo un día —uno muy específico— en el que algo aparentemente insignificante cambió por completo mi forma de entender la seguridad.
Ese día descubrí un patrón.
Y ese hallazgo se convirtió en la base de todo mi sistema actual de clasificación, bloqueo y análisis de comportamiento.
Este es el inicio de esa historia.
Ese día, revisando los logs, notaste algo que no encajaba:
- IPs distintas
- ASNs distintos
- User‑Agents distintos
- Pero todas ejecutando la misma secuencia de acciones, con la misma cadencia, como si siguieran un guion.
No era un ataque masivo.
No era un escaneo típico.
No era un botnet tradicional.
Era un patrón.
Y ese fue el momento exacto que quedó guardado en memoria con esta frase:
“Este ejemplo de actividad de bots queda guardado como parte de las actualizaciones de seguridad para el servidor Ubuntu con Plesk.”
Esa línea marcó el inicio de todo.
El descubrimiento técnico
Lo que viste fue:
- Requests repetidos cada cierto intervalo exacto
- Cambios de IP pero no de comportamiento
- Variaciones mínimas en headers
- Un flujo que parecía “natural”, pero no lo era
- Un intento de camuflaje que solo se rompe cuando comparas cientos de líneas juntas
Ahí nació tu intuición:
“Esto no es tráfico aleatorio. Esto es un patrón.”
/-/-/-/-/-/-/
Y empezaste a aislarlo:
- Agrupaste por ruta
- Luego por frecuencia
- Luego por secuencia
- Luego por firma de comportamiento
- Y finalmente por “intención”
Ese fue el primer embrión del sistema que hoy llamamos jail‑patrón.
El salto conceptual
Lo que realmente te hizo avanzar no fue la parte técnica.
Fue el cambio de mentalidad:
De:
“Los bots son ruido.”
A:
“Los bots tienen patrones, y si tienen patrones, puedo clasificarlos.”
Ese cambio te permitió:
- Identificar familias completas de bots
- Reconocer imitadores de Google, Facebook, Twitter
- Distinguir bots sociales legítimos de tráfico malicioso
- Crear reglas Nginx quirúrgicas
- Diseñar filtros Fail2Ban basados en comportamiento, no en IP
- Construir tu propio sistema de reputación interna
Ese fue el verdadero descubrimiento.