IP-DB.com
Türkçe English Deutsch Español
Entrar Obtener clave API
IP-DB Sensor curl -fsSL https://ip-db.com/sensor/install.sh | sudo bash -s -- --key YOUR_API_KEY Obtener clave de API gratis
IP-DB Sensor · gratis y de código abierto

Convierta su servidor en un sensor de amenazas

Los puertos que su servidor no usa reciben sondeos todo el día. El sensor responde a esas llamadas, hace visible quién le sondea y lleva esas direcciones a la lista de bloqueo que ya consultan su cortafuegos, su fail2ban y su puerta. Se instala con un comando, usa menos de 30 MB y nunca ejecuta comandos.

curl -fsSL https://ip-db.com/sensor/install.sh | sudo bash -s -- --key YOUR_API_KEY Leer el código fuente
  • Gratis
  • Licencia MIT
  • Python 3.6+
  • systemd
  • Sin dependencias

Instálelo y su cuota diaria de API sube a 30.000 consultas, sin solicitudes. Precios →

Perfiles señuelo64
Firmas de detección60
Atacantes detectados3.132últimas 24 horas
Direcciones listas para bloquear10.693

Cómo le protege el sensor

Un recorrido breve en cinco pasos: la instalación en su servidor del centro de datos, un sondeo detectado y esa misma dirección que ya no llega a su servicio real.

Lo que ve el atacante

Cada señuelo se comporta como el servicio real: la misma pantalla de acceso, las mismas cabeceras, los mismos errores. Elija un señuelo a la izquierda y vea a la derecha exactamente lo que devuelve. No se guarda ninguna contraseña ni dato, solo el registro del intento.

Elija entre los 64 señuelos de abajo ↓
https://mail.example.com:443/owa/auth/logon.aspx 
GET /owa/auth/logon.aspx HTTP/1.1
Host: mail.example.com

HTTP/1.1 200 OK
Server: Microsoft-IIS/10.0
X-OWA-Version: 15.2.1544.4
X-AspNet-Version: 4.0.30319
X-Powered-By: ASP.NET
X-FEServer: EXCH01
Content-Type: text/html; charset=utf-8
Cache-Control: no-store
Content-Length: 4321

<!DOCTYPE html><html lang="en"><head><meta charset="utf-8"><meta name="viewport" content="width=device-width,initial-scale=1"><meta name="robots" content="noindex,nofollow"><title>Outlook</title><style>:root{--accent:#0f6cbd;--accent2:#0b5493}*{box-sizing:border-box}html,body{margin:0;height:100%}body{font:14px/1.5 -apple-system,BlinkMacSystemFont,'Segoe UI',Roboto,Helvetica,Arial,sans-serif;color:#1f2937;background:#eef1f5;display:flex;min-height:100vh;align-items:center;justify-content:center;padding:24px}a{color:var(--accent);text-decoration:none}a:hover{text-decoration:underline}h1{font-size:22px;font-weight:600;margin:0 0 4px;color:#111827}.sub{margin:0 0 18px;color:#6b7280;font-size:13px}.wm{display:inline-flex;align-items:center;gap:10px;font-weight:600;font-size:16px;color:#111827}.mark{display:inline-flex;align-items:center;justify-content:center;width:34px;height:34px;border-radius:8px;background:var(--accent);color:#fff;font-weight:700;font-size:14px;letter-spacing:.5px;flex:0 0 auto}.fld{margin:0 0 14px}label{display:block;font-size:13px;margin:0 0 6px;color:#374151;font-weight:500}input{width:100%;padding:10px 12px;border:1px solid #d1d5db;border-radius:6px;font:inherit;background:#fff;color:#111827;transition:border-color .15s,box-shadow .15s}input:focus{outline:0;border-color:var(--accent);box-shadow:0 0 0 3px color-mix(in srgb,var(--accent) 25%,transparent)}butt
…

Salida real del señuelo · generada desde ip-db.com/sensor/ipdb-sensor.py

Instalación

Cree una cuenta gratuita, copie su clave de API del panel y ejecute en su servidor:

Instalación

SHA-256
curl -fsSL https://ip-db.com/sensor/install.sh | sudo bash -s -- --key YOUR_API_KEY

El script descarga el archivo Python, compara su SHA-256 con el valor publicado, verifica la clave e inicia el servicio. Después abra los puertos listados en su cortafuegos (security group, ufw, firewalld).

Generador de honeypot

64 señuelos listos
Paquetes listos

VPN gateways & firewalls 9

Mail & collaboration 7

Web applications & panels 9

DevOps, cloud & APIs 16

Databases & caches 8

Remote access & file transfer 7

IoT, routers & industrial 8

0 señuelos elegidos 
curl -fsSL https://ip-db.com/sensor/install.sh | sudo bash -s -- --key YOUR_API_KEY

El paquete por defecto es @classic; se usa si no elige nada. · El instalador genera un certificado autofirmado para los señuelos HTTPS.

Opciones

--name web-01Nombre del sensor en su panel (por defecto: hostname)
--profiles @edge,exchangeelige qué señuelos ejecutar (menú arriba)
--ports 23,3389,6379Puertos a escuchar, separados por comas
--fail2banReportar también las direcciones que bloquea fail2ban
--ignore 198.51.100.0/24IP/CIDR que nunca se reportan (oficina, monitorización)
--upgradeActualizar a la última versión conservando la configuración
--statusMostrar el estado del servicio
--uninstallDetener y eliminar el sensor por completo

Instalación y eliminación manual

# check
sudo systemctl status ipdb-sensor
journalctl -u ipdb-sensor -f

# upgrade
curl -fsSL https://ip-db.com/sensor/install.sh | sudo bash -s -- --upgrade

# remove
curl -fsSL https://ip-db.com/sensor/install.sh | sudo bash -s -- --uninstall

# read the script first
curl -fsSL https://ip-db.com/sensor/install.sh | less
curl -fsSL https://ip-db.com/sensor/SHA256SUMS

Red de sensores · últimas 24 horas

Datos abiertos →

Servicios más atacados · 24 horas

ssh/2222 999
rdp/3389 475
telnet/23 225
vnc/5900 200
smb/445 112
ssh/22 104
wordpress/8080 78
elasticsearch/9200 61

Ataques detectados

Reconocimiento rdp-cookie 397
Reconocimiento payload 243
Intento de acceso telnet 79
Intento de acceso vnc 60
Reconocimiento non-http 52
Intento de acceso mysql 11
Intento de acceso postgres 8
Intento de acceso redis 6

Cómo funciona

#Cómo funciona
01 1. Instale Un comando instala un servicio systemd reforzado que escucha en puertos que su servidor no usa (Telnet, RDP, Redis, MySQL, MongoDB…). Nunca toca los puertos en uso.
02 2. Los atacantes llaman A estos puertos no llega tráfico legítimo: cada conexión es un escaneo o un ataque. El sensor responde con un banner creíble, anota la dirección y el puerto y cuelga.
03 3. La protección vuelve a usted El sensor reporta una vez por minuto. Cuando sensores de redes distintas confirman la misma dirección, esta entra en la lista de bloqueo: la misma que consultan su cortafuegos, su fail2ban o su IP-DB Shield. Así, el atacante que le sondeó no llega a su servicio real en el siguiente intento. Esos mismos datos ayudan a los demás mediante la API gratuita y el conjunto de datos abierto.

De un sondeo a un bloqueo

1Su sensorLlega una conexión a un puerto sin uso
2ip-db.comInforme HTTPS por minuto, con clave
3Consenso≥2 usuarios verificados, ≥2 redes
4Su propia defensaSu cortafuegos, fail2ban y Shield usan la misma lista

Seguridad y privacidad

El sensor nunca['ejecuta comandos ni emula una shell', 'guarda contraseñas, usuarios ni contenido', 'escucha en un puerto ya en uso', 'abre conexiones salvo su informe HTTPS a ip-db.com', 'se ejecuta como root']
Los únicos datos enviadosLa IP del atacante, el puerto y protocolo atacados, la hora del primer/último intento y su número. La dirección de su servidor nunca se publica en IP-DB.
RefuerzoUn usuario temporal sin privilegios (DynamicUser) cuya única capacidad es abrir puertos (CAP_NET_BIND_SERVICE); sistema de archivos de solo lectura, /tmp privado, sin dispositivos, solo sockets IPv4/IPv6 y de notificación de systemd, filtro de llamadas al sistema y límite de 96 MB. Un único archivo Python de unos cientos de líneas, sin dependencias.
Por qué los reportes falsos no contaminan el fondo — Una dirección que ve un solo sensor no entra en el fondo. Se añade solo cuando, en los últimos 7 días, la han visto sensores de al menos dos usuarios distintos con correo verificado que reportan desde dos redes distintas. Las direcciones privadas, reservadas y la del propio sensor se rechazan de entrada. Toda la red de sensores cuenta como una sola familia de fuentes en la puntuación, así que no puede llevar una dirección a crítica por sí sola.

Requisitos

Un servidor Linux con systemd (Ubuntu, Debian, RHEL/AlmaLinux/Rocky, Fedora…)
Python 3.6 o superior (ya instalado en la mayoría de distribuciones)
Una dirección IPv4 o IPv6 pública
Una clave de API gratuita de IP-DB

Preguntas frecuentes

¿Qué es un honeypot?
Una trampa que parece un servicio real pero a la que ningún usuario legítimo se conecta. Toda dirección que llega a él es un escáner o un atacante, por eso los datos de honeypot son de la inteligencia de amenazas más limpia.
¿Ralentizará mi servidor?
No. El sensor es un único proceso Python que suele usar menos de 30 MB, lee solo unos cientos de bytes por conexión y envía un pequeño informe por minuto.
¿Es seguro? ¿Necesita root?
La instalación necesita sudo una vez; el servicio no se ejecuta como root sino como un usuario temporal sin privilegios creado por systemd. Su único privilegio es abrir puertos: no ejecuta comandos ni escribe archivos. Todo el código es abierto y el instalador verifica el SHA-256 de lo que descarga.
¿En qué puertos escucha?
Por defecto 21, 23, 1433, 2222, 2323, 3306, 3389, 5432, 5900, 6379, 8081, 9200, 11211 y 27017. Los puertos en uso se omiten automáticamente; use --ports para su propia lista. 22, 80 y 443 se excluyen a propósito.
¿Puedo usarlo en una conexión doméstica?
Sí, pero debe redirigir los puertos del router a la máquina con el sensor. Un pequeño servidor en la nube (VPS) da los mejores resultados.
¿Cuesta algo o consume mi cuota de API?
Es totalmente gratuito. Los informes del sensor no se descuentan de su cuota diaria: un sensor aporta datos, no los consume.
¿Cómo lo elimino?
Ejecute el comando de instalación con --uninstall: se detiene el servicio y se borran todos sus archivos.

Firmas de detección

Un señuelo no solo registra la conexión. El sensor reconoce intentos conocidos de explotación y reconocimiento y etiqueta el evento — así el registro no dice «algo conectó» sino «se intentó esta CVE». Esta lista se genera directamente del código en ejecución.

60 firmas · 52 CVE
Firmas de detecciónTipoDetectado por
CVE-2025-0108 Vulnerabilidad conocida (CVE) Palo Alto GlobalProtect
CVE-2024-0012 Vulnerabilidad conocida (CVE) Palo Alto GlobalProtect
CVE-2024-21887 Vulnerabilidad conocida (CVE) Ivanti Connect Secure
CVE-2024-23897 Vulnerabilidad conocida (CVE) Jenkins
CVE-2024-24919 Vulnerabilidad conocida (CVE) Check Point Mobile Access
CVE-2024-27198 Vulnerabilidad conocida (CVE) JetBrains TeamCity
CVE-2024-3400 Vulnerabilidad conocida (CVE) Palo Alto GlobalProtect
CVE-2024-4577 Vulnerabilidad conocida (CVE) Cualquier señuelo HTTP
CVE-2023-1389 Vulnerabilidad conocida (CVE) Cualquier señuelo HTTP
CVE-2023-20198 Vulnerabilidad conocida (CVE) Cualquier señuelo HTTP
CVE-2023-22515 Vulnerabilidad conocida (CVE) Atlassian Confluence
CVE-2023-22527 Vulnerabilidad conocida (CVE) Atlassian Confluence
CVE-2023-32315 Vulnerabilidad conocida (CVE) Openfire admin
CVE-2023-34362 Vulnerabilidad conocida (CVE) Cualquier señuelo HTTP
CVE-2023-42793 Vulnerabilidad conocida (CVE) JetBrains TeamCity
CVE-2023-46747 Vulnerabilidad conocida (CVE) F5 BIG-IP TMUI
CVE-2023-46805 Vulnerabilidad conocida (CVE) Ivanti Connect Secure
CVE-2023-4966 Vulnerabilidad conocida (CVE) Citrix NetScaler Gateway
CVE-2022-1388 Vulnerabilidad conocida (CVE) F5 BIG-IP TMUI
CVE-2022-22963 Vulnerabilidad conocida (CVE) Cualquier señuelo HTTP
CVE-2022-22965 Vulnerabilidad conocida (CVE) Cualquier señuelo HTTP
CVE-2022-26134 Vulnerabilidad conocida (CVE) Atlassian Confluence
CVE-2022-27925 Vulnerabilidad conocida (CVE) Zimbra Collaboration
CVE-2022-40684 Vulnerabilidad conocida (CVE) Fortinet FortiGate SSL-VPN
CVE-2022-41040 Vulnerabilidad conocida (CVE) Cualquier señuelo HTTP
CVE-2021-21972 Vulnerabilidad conocida (CVE) VMware vCenter / ESXi
CVE-2021-21985 Vulnerabilidad conocida (CVE) VMware vCenter / ESXi
CVE-2021-22005 Vulnerabilidad conocida (CVE) VMware vCenter / ESXi
CVE-2021-22205 Vulnerabilidad conocida (CVE) GitLab
CVE-2021-26084 Vulnerabilidad conocida (CVE) Atlassian Confluence
CVE-2021-26855 Vulnerabilidad conocida (CVE) Cualquier señuelo HTTP
CVE-2021-34473 Vulnerabilidad conocida (CVE) Cualquier señuelo HTTP
CVE-2021-36260 Vulnerabilidad conocida (CVE) Hikvision IP camera
CVE-2021-41773 Vulnerabilidad conocida (CVE) Cualquier señuelo HTTP
CVE-2021-43798 Vulnerabilidad conocida (CVE) Grafana
CVE-2021-44228 Vulnerabilidad conocida (CVE) Cualquier señuelo HTTP
CVE-2020-14882 Vulnerabilidad conocida (CVE) Oracle WebLogic
CVE-2020-3452 Vulnerabilidad conocida (CVE) Cisco ASA AnyConnect
CVE-2020-5902 Vulnerabilidad conocida (CVE) F5 BIG-IP TMUI
CVE-2019-11510 Vulnerabilidad conocida (CVE) Ivanti Connect Secure
CVE-2019-15107 Vulnerabilidad conocida (CVE) Webmin
CVE-2019-19781 Vulnerabilidad conocida (CVE) Citrix NetScaler Gateway
CVE-2019-7609 Vulnerabilidad conocida (CVE) Kibana
CVE-2019-9670 Vulnerabilidad conocida (CVE) Zimbra Collaboration
CVE-2018-10561 Vulnerabilidad conocida (CVE) Cualquier señuelo HTTP
CVE-2018-13379 Vulnerabilidad conocida (CVE) Fortinet FortiGate SSL-VPN
CVE-2018-20062 Vulnerabilidad conocida (CVE) Cualquier señuelo HTTP
CVE-2017-12617 Vulnerabilidad conocida (CVE) Apache Tomcat Manager
CVE-2017-17215 Vulnerabilidad conocida (CVE) Cualquier señuelo HTTP
CVE-2017-9841 Vulnerabilidad conocida (CVE) Cualquier señuelo HTTP
CVE-2015-1427 Vulnerabilidad conocida (CVE) Cualquier señuelo HTTP
CVE-2014-6271 Vulnerabilidad conocida (CVE) Cualquier señuelo HTTP
docker-api-abuse Reconocimiento creación de contenedor vía API de Docker
probe-actuator Reconocimiento sondeo de Spring Actuator
probe-aws-keys Reconocimiento sondeo de credenciales AWS
probe-dotenv Reconocimiento sondeo de archivo .env
probe-git Reconocimiento sondeo de .git expuesto
probe-server-status Reconocimiento sondeo de server-status
probe-webshell Reconocimiento sondeo de web shell
probe-wp-config Reconocimiento sondeo de copia wp-config