Cazar movimiento lateral

La técnica dice que el adversario usa servicios remotos —sesiones de administración, recursos compartidos, ejecución remota— para pasar de una máquina a otra con credenciales que ya robó. La hipótesis de caza la aterriza: «si hubo salto lateral, veríamos sesiones remotas entrantes en estaciones que normalmente no reciben ninguna, iniciadas por una cuenta desde un origen que no es su sitio habitual». Eso nombra la telemetría (registros de sesión remota), el patrón (destino inusual) y qué confirmaría (una máquina receptora que nunca actúa como tal).

El reto es que la acción en sí es legítima: abrir una sesión remota es lo que hacen los administradores cada día. La huella no está en el hecho, sino en el par origen-destino que rompe el patrón normal de quién habla con quién.

Una red sana tiene un patrón estable de conexiones: los puestos hablan con los servidores de archivos y de correo, los administradores entran a los servidores desde sus estaciones, y casi nadie abre sesiones de puesto a puesto. El movimiento lateral rompe ese patrón —una estación de trabajo que de pronto abre una sesión remota contra otra estación de trabajo es raro, porque los puestos no se administran entre sí—. Cazar lateral es, en buena parte, conocer el grafo normal de la red y buscar las aristas que no deberían existir.

Sin esa línea de base, cada conexión parece posible y ninguna destaca. Con ella, el par que rompe el patrón salta a la vista aunque cada extremo, por separado, sea una máquina legítima con una cuenta legítima.

Una sesión remota sospechosa es media caza; la otra media es qué ocurrió al otro lado. Si al llegar a la máquina de destino esa sesión lanzó un intérprete de comandos, enumeró cuentas o tocó recursos que esa cuenta nunca usa, la hipótesis se refuerza. Si solo abrió un archivo y cerró, quizá fuera un uso legítimo raro. Cruzar el registro de la sesión (autenticación) con el detalle del punto final (Sysmon) convierte una conexión ambigua en un salto confirmado o descartado.

Quedarse en «hubo una sesión rara» sin mirar qué hizo deja la caza a medias y lleva a escalar sustos o a descartar amenazas reales. La confirmación vive en la unión de las dos fuentes, alineadas por tiempo y por máquina.

Una credencial robada delata su uso ilegítimo cuando aparece en dos sitios incompatibles. La misma cuenta que inicia una sesión normal desde su estación habitual y, minutos después, abre otra sesión desde un segmento de red o una máquina donde su dueño no está, describe dos manos usando una credencial. No hay error de autenticación —ambas sesiones son correctas— y por eso ninguna alerta salta; la caza la encuentra al comparar dónde y cuándo se usó la misma cuenta, no al buscar fallos.

El razonamiento es de coherencia física: una persona no está en dos sitios a la vez. Cuando la telemetría muestra una cuenta que sí, la explicación honesta no es un empleado teletransportándose, sino una credencial compartida entre el dueño y quien la robó.

Abre el laboratorio de autenticación. Entre las sesiones legítimas —administradores que entran a los servidores desde sus estaciones— hay una que no encaja: una sesión remota de un puesto hacia otro puesto, a una hora en que el dueño del destino no estaba, sin un solo error de autenticación. Aíslala y crúzala con el punto final de destino, donde al llegar enumera cuentas. La anotación sobre esa sesión confirmada lleva el código de la sala.