La cadena unificada — lo que pasa después de entrar

Paul Pols publicó en 2017 la cadena unificada y la actualizó después. Tiene 18 tácticas repartidas en tres fases: In, que es entrar y quedarse con un primer acceso; Through, que es avanzar por dentro de la red hasta lo que se busca; y Out, que es actuar sobre el objetivo. Las tácticas no son una lista que se recorra en orden: en cada fase el atacante puede repetir lo que haga falta, y la fase de en medio suele ser un bucle.

La cadena de siete tiene una sola etapa final, acciones sobre el objetivo. Todo lo que ocurre entre el primer contacto con el exterior y el momento de llevarse los datos queda ahí dentro, y es justo donde un SOC tiene más tiempo para actuar.

Dos tácticas de la fase de en medio se confunden mucho. Una describe pasar a controlar otro equipo con una sesión que parece legítima. La otra describe usar un equipo ya controlado como puente para llegar a lo que desde fuera no se alcanza: un servidor que los puestos no ven, un segmento con otra política de red.

La diferencia práctica es qué se corta: en un caso se mira quién abrió la sesión; en el otro, qué tráfico está haciendo de túnel y hacia dónde va.

La fase Out arranca con la primera táctica que prepara o ejecuta lo que el atacante quería de verdad. Antes de ella todo es medio: conseguir acceso, permisos y cuentas. En un incidente que roba datos, el cambio de fase es el momento en que los datos empiezan a juntarse, no el momento en que salen.

La fase de en medio tiene un valor práctico: es el tiempo que el atacante pasa dentro sin haber tocado todavía lo que busca. Medirlo es sencillo, aunque hay que hacerlo con los datos: se toman la primera fila de la fase Through y la primera de la fase Out y se resta.

Ese número es el margen real de un SOC que mira la red por dentro y se lo da a quien decide dónde poner una detección.

A las 10:42 habría sonado una alerta de escritorio remoto con una cuenta de servicio desde un puesto. Es una fase donde el atacante ya está dentro, y eso cambia qué hay que mirar: no solo el servidor al que entró, sino de dónde vino y qué se llevó por el camino.