Escenario — movimiento lateral visto desde la red

Un movimiento lateral parte de un equipo que ya estaba en manos ajenas. La red no muestra cómo llegó ahí, pero sí muestra qué hace ese equipo distinto de los demás antes de empezar a saltar: consultas que ningún otro hace de ese tamaño y peticiones de tickets que ningún otro hace de ese modo. El equipo que reúne ambas señales es el punto de partida, y el correo de la mañana dice a quién pertenecía el buzón.

Antes de entrar a ningún servidor, ese equipo pidió tickets de servicio. El dominio entrega aes256 en todos sus servicios; lo que no encaja es el cifrado de un grupo de ellos, pedido en pocos segundos. Se pide un solo número para la regla de detección: cuántos servicios distintos pidió con ese cifrado, sin contar las repeticiones del mismo servicio.

Entre las autenticaciones NTLM de la mañana, que son pocas porque las personas de oficina usan Kerberos, hay una cuenta que falla contra tres equipos y acierta contra el cuarto. No es una cuenta de persona: el inventario y la línea base dicen de qué equipo suele salir y a qué hora trabaja.

La cuenta se probó en varios equipos y solo uno la aceptó. En ese mismo equipo, dos accesos después, aparece un recurso administrativo escrito desde el equipo de partida y la tubería de administración de servicios abierta. Ese es el primer equipo al que el intruso entró.

Desde ese equipo se abrió después una sesión de escritorio remoto hacia el servidor de planillas, por un camino que la regla de la casa no prevé, y de ese servidor se leyeron archivos del recurso de RR. HH. con la misma cuenta. RR. HH. también leyó ese recurso esa mañana, con su propia cuenta; esa lectura no cuenta.