La cadena unificada, caminos largos y pivotes

La cadena unificada, en su versión 1.3, agrupa sus 18 fases en tres ciclos. En el primero el adversario consigue entrar a la red; en el segundo avanza por ella buscando privilegios y acceso a lo que le importa; en el tercero actúa sobre su objetivo. Entre ciclos no hay una puerta obligatoria: si el equipo comprometido ya da acceso a lo que busca, el adversario puede pasar directo a la salida.

La tabla fases_unificadas las lista con su ciclo. Lo que añade respecto a la clásica es, sobre todo, el segundo ciclo: lo que ocurre dentro.

Para saltar de un equipo a otro, el adversario suele necesitar una cuenta con permisos. Conseguirla es una fase propia de la cadena unificada, separada de la entrada y de la ejecución. En el informe de «Hilo suelto» el paso previo al salto es la lectura de lo guardado en el navegador de la estación comprometida.

Consulta camino_observado y busca el paso del párrafo P7.

Un pivote es el punto desde el que el adversario pasa de un equipo comprometido a otro al que no llega directamente. Para quien defiende, el pivote es el mejor sitio donde mirar: es donde la intrusión sale de un equipo y toca otro, y deja rastro en los dos. La pregunta útil es con qué cuenta y por qué recurso se hizo el salto, porque ahí se corta.

La tabla saltos_entre_equipos recoge el único salto que describe el informe.

El camino largo tiene un ritmo que sirve para decidir cuánto tiempo se tuvo para actuar. En el informe, el avance empieza con la lectura de credenciales y termina cuando los datos salen. Todo ese tiempo, la intrusión estaba dentro de la red y era detectable por algún lado.

En camino_observado, toma la hora del paso de acceso a credenciales y la del paso de exfiltración, y calcula cuántas horas pasan entre los dos.

En camino_observado hay una fase que la tabla de fases coloca en el ciclo de avanzar y que, en este caso, ocurrió al entrar: la ejecución del paso 5, a un minuto de que la persona abriera el adjunto. Ese desajuste no es un error de quien ordenó el informe. Las fases de la cadena unificada tienen un orden esperado, no obligatorio, y el propio modelo admite que se repitan o se salten.