Hipótesis y fuentes en servidores Linux

En Linux, una hipótesis de caza se escribe con tres datos: qué hizo el intruso, en qué archivo o registro dejaría rastro y contra qué se compara. «Alguien añadió una clave para volver» se contesta mirando las claves autorizadas de cada cuenta y los accesos con clave del registro de autenticación; «una cuenta ganó un shell» se contesta con el listado de cuentas; «algo corre desde una ruta temporal» pide la lista de procesos o la auditoría de ejecuciones.

Esto no repite el módulo 9 de Analista SOC, donde se aprende a leer cada registro. Aquí se hace el camino inverso: se parte de la hipótesis y se elige la fuente. Una hipótesis sin fuente asignada no se puede cerrar, ni para confirmarla ni para descartarla.

Abre el plan de caza de Cordeles del Magdalena en el laboratorio y lee hipotesis.txt y fuentes-de-linux.txt. La primera hipótesis habla de una clave autorizada nueva, que en MITRE ATT&CK es manipulación de cuentas por claves SSH (T1098.004). Esa técnica deja rastro en dos sitios a la vez: en el archivo donde la cuenta guarda las claves que acepta y en el registro de autenticación, donde cada sesión por clave anota su huella.

Por eso se cruzan los dos: el archivo dice qué claves están puestas y el registro dice cuáles se usaron. Una huella que aparece en el registro y no figura en lo aprobado es una pista; el archivo, por sí solo, no dice quién la puso ni cuándo se usó.

El laboratorio trae fuentes-recogidas.txt: qué fuentes llegan de verdad de cada servidor. Es el paso que se salta con más frecuencia y el que más caro cuesta: si la fuente no se guarda, la búsqueda sale vacía y parece que no hay nada, cuando en realidad no había dónde ver. La hipótesis H3 (un proceso desde una ruta temporal) se apoya en la auditoría de ejecuciones.

Ahora se mira al revés: dado un servidor, qué hipótesis no se puede comprobar en él. En cdm-lnx-app01 hay una fuente que no se recoge. Esa hipótesis no se descarta ni se da por buena: se anota como «no comprobable en ese servidor» y se pide que se empiece a recoger la fuente.

Si el cazador trabaja cdm-lnx-db01 para H3 y la búsqueda no devuelve nada, el registro de la caza debe distinguir dos resultados distintos: «busqué y no hay» y «no pude buscar». Solo el primero acota el espacio donde el intruso podría estar. El segundo es un hueco de telemetría y su producto es una petición de ajuste a quien administra el servidor, con la fuente que hace falta.