Censys.

Censys surgio de la investigacion academica de la Universidad de Michigan. Se apoya en ZMap, el escaner modular presentado por Zakir Durumeric y sus colegas en USENIX Security 2013, capaz de barrer todo el espacio publico IPv4 en menos de 45 minutos desde una sola maquina. El propio Censys se presento en el articulo de ACM CCS de 2015 "A Search Engine Backed by Internet-Wide Scanning" (Durumeric, Adrian, Mirian, Bailey, Halderman). Ejecuta escaneos continuos sobre IPv4, IPv6 y los registros de Certificate Transparency, exponiendo hosts y certificados como JSON profundamente parseado e indexado por servicio, software, huellas JARM/JA3, ASN y estado historico.

Del escaneo en crudo a la consulta del defensor

flowchart LR
  A[ZMap sondea IPv4/IPv6] --> B[Captura de banner + TLS]
  B --> C[Analizadores de protocolo]
  C --> D[Documentos JSON estructurados de hosts]
  E[Registros de Certificate Transparency] --> D
  D --> F[Indice de busqueda]
  F --> G[ASM: mis activos expuestos]
  F --> H[Caza de amenazas: huellas C2]
  F --> I[IR: pivotar sobre infra compartida]

Los defensores usan Censys para descubrir activos expuestos, vigilar servicios recien abiertos y cazar infraestructura adversaria; por ejemplo, agrupando servidores C2 de Cobalt Strike o de malware por certificados TLS compartidos, cuerpos HTTP por defecto o hashes JARM, para luego pivotar hacia IPs relacionadas. Como cada observacion lleva marca temporal, los equipos de respuesta a incidentes pueden reconstruir cuando aparecio por primera vez un servicio o certificado. Frente a Shodan, Censys enfatiza el parseo profundo de servicios guiado por esquema y la procedencia de certificados, lo que lo hace potente para la gestion externa de la superficie de ataque y la atribucion de infraestructura. Los atacantes emplean los mismos datos para reconocimiento, por lo que reducir la exposicion innecesaria es la defensa esencial.