Detección de nodos de salida TOR: cómo funcionan las listas de salida y dónde están sus límites

Conceptos básicos sobre TOR y los nodos de salida

La red The Onion Router (TOR) ofrece anonimato al enrutar el tráfico de internet a través de una cadena de relés operados por voluntarios en todo el mundo. El usuario se conecta a un 'nodo de entrada', el tráfico se cifra y pasa por varios 'nodos intermedios' y, finalmente, abandona la red a través de un 'nodo de salida' antes de llegar a su destino en internet público. Para el servidor de destino, la dirección IP de origen visible es la del nodo de salida TOR.

TOR proporciona privacidad legítima a muchos usuarios, pero ese mismo anonimato también puede aprovecharse con fines maliciosos, como credential stuffing, fraude o ataques de denegación de servicio. Para los equipos de defensa de red, identificar y entender el tráfico procedente de nodos de salida TOR es una pieza clave dentro de una estrategia de seguridad completa.

Cómo funciona principalmente la detección de nodos de salida TOR: el papel de las listas de salida

El método más habitual y básico para detectar nodos de salida TOR se apoya en listas públicas de direcciones IP conocidas asociadas a estos nodos. Estas listas las mantiene el propio TOR Project, además de distintas organizaciones y proveedores externos. La lógica es sencilla: si la IP de una conexión entrante aparece en una de estas listas, es muy probable que se trate de un nodo de salida TOR.

El consenso del TOR Project y las listas de autoridades de directorio

El TOR Project mantiene un directorio con todos los relés activos, incluidos los nodos de salida. Esta información puede consultarse públicamente. Las autoridades de directorio, un conjunto de servidores de confianza, recopilan información de los relés, construyen un documento de 'consenso' y lo firman. Ese consenso incluye detalles sobre cada relé, como su dirección IP, sus capacidades —por ejemplo, si actúa como nodo de salida— y su tiempo de actividad. Las herramientas y servicios de seguridad pueden descargar y procesar periódicamente estos documentos de consenso para crear una lista actualizada de IPs activas de salida TOR. Es la fuente más autorizada para este tipo de datos.

Agregadores y listas negras de terceros

Más allá de los datos directos del TOR Project, existen numerosos servicios de terceros y proveedores de seguridad que elaboran sus propias listas. Algunos se limitan a replicar o agregar la información del TOR Project, mientras que otros la enriquecen con heurísticas u observaciones adicionales. Estas listas suelen clasificar las IPs por nivel de riesgo u ofrecer datos históricos, lo que aporta más contexto que el simple estado actual. Muchos firewalls, WAF y sistemas de prevención de intrusiones se integran con este tipo de fuentes para bloquear o marcar el tráfico TOR.

Implementación práctica

Para la mayoría de organizaciones, implementar detección de nodos de salida TOR implica:

• Descargar: Obtener periódicamente listas de IP actualizadas desde fuentes fiables.
• Almacenar: Mantener esas listas en un formato eficiente para consulta, como tablas hash o árboles de rangos IP.
• Consultar: Comparar las direcciones IP de las conexiones entrantes con las listas almacenadas.
• Actuar: Aplicar políticas como bloqueo, limitación de tasa o marcado del tráfico identificado como procedente de un nodo de salida TOR.

Limitaciones de la detección basada en listas de salida

Aunque las listas de salida son indispensables para detectar TOR, no son una solución perfecta. Es fundamental que los equipos técnicos conozcan sus limitaciones para no generar brechas de seguridad ni falsos positivos.

Latencia y datos desactualizados

Los nodos de salida TOR son dinámicos. Aparecen, desaparecen y cambian de dirección IP. Los documentos de consenso del TOR Project se actualizan con frecuencia —normalmente cada hora—, pero siempre existe un retraso entre que un nodo de salida se activa, su IP aparece en una lista y, después, el sistema de una organización descarga y procesa esa actualización. Durante esa ventana, un nodo de salida aún no listado podría utilizarse para esquivar la detección. En ataques de gran volumen o con vectores que cambian rápidamente, incluso una actualización horaria puede quedarse corta.

Técnicas de evasión

Los actores maliciosos buscan continuamente formas de saltarse los controles. Una técnica relevante consiste en operar nodos de salida TOR 'no listados' o 'privados'. Estos nodos pueden no anunciarse como salidas ante las autoridades de directorio de TOR, o configurarse de tal manera que no aparezcan en las listas públicas de consenso. Es una técnica más avanzada, pero eficaz contra sistemas basados únicamente en listas.

Otra vía de evasión consiste en usar proxies después de salir de TOR, lo que puede ocultar el verdadero origen TOR si el proxy no está reconocido como una IP maliciosa.

Falsos positivos y falsos negativos

• Falsos positivos: Un usuario legítimo podría operar un nodo de salida TOR desde su red doméstica —un caso poco frecuente, pero posible—. Si su IP aparece en una lista de salida y después se conecta directamente a tu servicio, sin pasar por TOR, podría ser marcado por error. Más comúnmente, si una dirección IP fue anteriormente un nodo de salida pero ya no lo es, una lista desactualizada puede provocar un falso positivo. Del mismo modo, algunos nodos de salida comparten espacio IP con proveedores de hosting legítimos, lo que puede generar conflictos.
• Falsos negativos: Es el problema más habitual. Como se ha señalado, un nodo de salida nuevo o privado no aparecerá en las listas y, por tanto, el tráfico TOR pasará desapercibido.

Contexto limitado

Que una IP aparezca en una lista de salida indica que es un nodo de salida TOR, pero aporta poco más. No revela la intención, la ubicación geográfica real más allá del registro de la IP ni el nivel de riesgo específico más allá de su condición de nodo TOR. Para tomar decisiones más matizadas, hace falta inteligencia adicional.

Más allá de las listas de salida: cómo reforzar la detección de TOR

Para superar las limitaciones de una detección de nodos de salida TOR basada exclusivamente en listas, los equipos de red suelen combinar este enfoque con otras señales de inteligencia IP:

• Análisis de ASN (Autonomous System Number): Muchos nodos de salida TOR se alojan en centros de datos y proveedores cloud con ASN claramente identificables. Aunque no todas las IPs de esos ASN son salidas TOR, puede ser un factor de correlación potente. Del mismo modo, si el ASN de una IP suele asociarse a banda ancha residencial, pero esa IP actúa como salida TOR, merece atención.
• Análisis del nombre de host rDNS: La entrada de DNS inverso (rDNS) de una IP puede revelar patrones. Los proveedores de hosting suelen utilizar convenciones de nombres coherentes. Algunos nodos de salida TOR pueden identificarse por patrones específicos en rDNS o, precisamente, por la ausencia de ellos.
• Tipo de rango de hosting: Distinguir entre rangos de centro de datos, residenciales y móviles aporta un contexto esencial. La mayoría de nodos de salida TOR están en rangos de centro de datos. Si una IP muestra características de datacenter y, además, aparece en una lista TOR, aumenta la confianza en la detección. Una IP residencial que actúa como nodo de salida —menos común, pero posible— exige un análisis cuidadoso.
• Reputación IP y puntuaciones de riesgo: Las plataformas avanzadas de inteligencia IP combinan múltiples señales —actividad de malware, spam, intentos de fuerza bruta, estado de proxy/VPN— en una puntuación de riesgo integral. Una IP identificada como nodo de salida TOR normalmente tendrá una puntuación de riesgo elevada, pero una puntuación alta sin aparecer en una lista de salida también puede apuntar a un posible nodo TOR nuevo o no listado, o a otra actividad maliciosa.
• Análisis de comportamiento: Observar patrones de conexión —por ejemplo, cambios rápidos de IP de origen, tasas elevadas de peticiones desde una misma IP o saltos geográficos inesperados— complementa la detección basada en IP. Una IP cuyo estado como salida TOR cambia con frecuencia, o una rotación rápida por IPs incluidas en listas de salida, puede indicar actividad automatizada.

Conclusión

La detección de nodos de salida TOR es un componente importante de la ciberseguridad moderna y se apoya principalmente en listas de salida disponibles públicamente. Estas listas, especialmente las derivadas directamente del TOR Project, ofrecen la señal inicial más autorizada. Sin embargo, los equipos técnicos deben asumir sus límites: latencia, posibilidades de evasión y falta de contexto. Al reforzar la detección basada en listas con otras señales de inteligencia IP, como el análisis de ASN, rDNS, clasificación de rangos de hosting y puntuaciones de riesgo completas, las organizaciones pueden construir una defensa más sólida y adaptable frente a un tráfico originado en TOR que no deja de evolucionar. Para profundizar en estas señales, puedes comprobar cualquier IP con la herramienta gratuita de consulta disponible en guarda.net.