Del hallazgo al informe con la captura como prueba

De todo lo visto en la hora de Ventura, el equipo con la evidencia más fuerte de compromiso es el que junta dos hallazgos que se apoyan: consultó el dominio anómalo y, desde ahí, mantiene el canal de mando hacia la dirección que ese dominio resolvió. Una sola señal admite explicaciones inocentes; dos que se refuerzan, no. Priorizar por fuerza de evidencia es lo que te dice a qué equipo aislar primero cuando no puedes atenderlos todos a la vez.

El equipo que solo escaneó y el que solo exfiltró importan, pero el que encadena DNS anómalo y canal de mando es el que sube arriba del informe.

Un informe útil deja indicadores de red que otros equipos pueden buscar en sus propios registros. El principal de este incidente es el dominio anómalo: es el nombre que aparece tanto en el registro DNS como en el nombre de servidor pedido antes de cifrar. Compartir ese indicador permite que el resto de la organización detecte si otro equipo lo consultó también. Un buen indicador es concreto, verificable y reutilizable —un dominio, no «un tráfico raro».

Elegir bien el indicador principal es lo que hace que el trabajo de una hora sirva para proteger a toda la empresa, no solo a un equipo.

Un hallazgo entregable tiene cuatro piezas: el equipo implicado, la técnica que representa, el filtro o la evidencia que lo prueba, y el impacto si no se atiende. «Hay tráfico raro, habría que revisarlo» no es un hallazgo: es una sensación que le pasa el trabajo al siguiente. En cambio, «este equipo mantiene un canal de mando hacia este destino a compás fijo; se prueba con la huella de cliente y el registro de conexiones; el riesgo es control remoto del equipo» es algo que otro puede verificar y arreglar.

El filtro que lo reproduce es la parte que la gente se salta y la que separa un informe de una opinión.

Hay dos clases de filtro y confundirlas arruina un informe. Un filtro de captura decide qué tramas se graban en disco en el momento de capturar: lo que deja fuera no se guarda y se pierde para siempre. Un filtro de visualización, en cambio, solo esconde y muestra sobre una captura ya tomada —no borra nada y se quita cuando quieras—. Para que otro analista reproduzca tu hallazgo sobre la misma captura de Ventura, el filtro que pones en el informe es el de visualización: se aplica sobre el archivo completo que ya existe.

Dar un filtro de captura como «prueba» no sirve: describe cómo se grabó el archivo, no cómo encontrar el hallazgo dentro de él.

A veces, dentro de una conversación TCP, ves la misma porción de datos enviada más de una vez. No es un ataque: es una retransmisión. El emisor reenvía porque no le llegó la confirmación de que el otro extremo recibió, y eso apunta a pérdida de paquetes en el camino o a un enlace inestable. En un informe es un síntoma de salud de la red, distinto de un hallazgo de seguridad, y vale la pena anotarlo como tal para no confundir un problema de enlace con una intrusión.

Leer bien el síntoma evita dos errores de principiante: dar por maliciosa una red que solo va lenta, y dar por sana una conversación que en realidad se está cayendo a pedazos.