El reconocimiento interno

Un adversario que acaba de saltar a una máquina está a ciegas: no sabe qué cuentas existen, qué servidores hay alrededor, ni cuánto poder tiene la credencial que usa. Antes de seguir, se orienta: consulta las cuentas del dominio, lista otras máquinas, mira a qué grupos de administración pertenece. Ese reconocimiento es un paso casi obligado entre llegar y actuar, y por eso es un buen punto de caza: pasa en casi toda intrusión.

La hipótesis la aterriza: «si alguien saltó a este puesto y se orientó, veríamos una ráfaga de consultas de descubrimiento desde esa máquina, concentrada en minutos y hecha por una cuenta que en su trabajo normal no consulta eso».

El reconocimiento tiene una forma propia: muchas consultas de descubrimiento distintas (cuentas, grupos, máquinas, carpetas compartidas) en una ventana corta, desde un mismo puesto. Un usuario haciendo su trabajo consulta lo que necesita, de a poco y espaciado; no lanza veinte consultas de enumeración en tres minutos. Esa densidad y variedad concentradas son la huella: no una consulta, sino la ráfaga.

Cazarlo por la ráfaga, y no por una consulta suelta, evita ahogarse: las consultas de descubrimiento individuales son normales. Lo anómalo es el racimo: muchas, variadas, juntas en el tiempo, desde una máquina que no suele hacerlas.

Quién enumera importa tanto como cuánto. Una cuenta de un empleado de siniestros que de pronto lista las cuentas del dominio y los grupos de administración está haciendo algo que su trabajo nunca pide: su rol no toca esa información. El desajuste entre el rol de la cuenta y lo que consulta es una señal fuerte, porque el intruso usa la credencial que robó, no la que necesitaría para ese trabajo.

Esto conecta con el movimiento lateral: la misma sesión puesto a puesto fuera de hora que confirmaba el salto suele ser la que, al llegar, lanza la ráfaga de enumeración. El reconocimiento es lo que esa sesión hizo del otro lado.

No toda enumeración es maliciosa: las herramientas de inventario y gestión de TI también listan cuentas y máquinas, por diseño. Antes de escalar, el cazador confirma quién lanzó la ráfaga: si es el agente de inventario conocido corriendo a su hora, es benigno; si es un intérprete lanzado en una sesión puesto a puesto fuera de hora, la hipótesis se sostiene. Se cruza la ráfaga con el proceso y la cuenta que la produjo.

Saltarse este paso convierte cada inventario nocturno de TI en un susto. La confirmación vive, como siempre, en la unión: la ráfaga de descubrimiento más el proceso y el contexto que la abrieron.

Abre el laboratorio de reconocimiento interno. En la telemetría de bri-ws-rmedina hay dos ráfagas de enumeración. Una es el agente de inventario de TI, que corre a su hora programada desde su cuenta de servicio. La otra la lanzó un intérprete, dentro de la sesión puesto a puesto de las 02:14, por la cuenta lgarcia —que en su trabajo no enumera el dominio—. Aísla la ráfaga maliciosa y lee su anotación hasta el final.