El mapa de la persistencia y lo que autoriza la carta

Un acceso puntual y un acceso sostenido no pesan igual. Si alguien consigue entrar una vez y se pierde al reiniciar el equipo, el daño tiene un techo corto. Si puede volver solo después de cada reinicio, o con una cuenta que nadie sabe que existe, el techo desaparece: la organización ya no decide cuándo termina el incidente. Por eso un informe mide dos cosas distintas: cómo se entra y cuánto tiempo se podría permanecer.

El evaluador no necesita dejar nada instalado para responder la segunda pregunta. Suele bastarle con leer configuraciones y permisos y decir, con evidencia, qué se podría dejar y quién se daría cuenta. Esa es la mirada de este módulo: desde el hallazgo, con la carta delante.

Antes de pensar en ningún mecanismo se abre la carta de encargo. Casi todas las cartas serias reparten la persistencia en tres reglas: en producción no se instala nada, el efecto se demuestra solo en un equipo de pruebas del cliente designado por nombre, y todo lo que se deje allí se anota en un inventario y se retira antes del cierre. Lo que no está escrito no está autorizado.

Abre la carpeta mapa y lee la cláusula de persistencia de Transportes Cedral.

La tabla mecanismos.txt junta nueve lugares. Tienen algo en común y una diferencia importante. Lo común es que ningún administrador los vigila todos los días. La diferencia es qué hacen: unos ejecutan un programa cuando ocurre algo (un inicio de sesión, un arranque, una hora) y otros no ejecutan nada, solo dejan una puerta abierta para volver a entrar sin que nadie vuelva a conseguir una credencial.

En Windows, de los segundos hay una cuenta local nueva. En Linux hay otro que está en la tabla. Los segundos son más difíciles de ver porque no dejan ningún proceso en marcha: solo dejan una línea en un archivo.

La cláusula 5.4 dice cómo se documenta la posibilidad en producción: por lectura. El archivo permisos-svc.txt es una exportación del cliente: muestra que la cuenta de servicio de logística puede escribir en un valor de inicio automático de todo el equipo y crear tareas programadas, aunque no sea administradora. Esa combinación es un hallazgo aunque nadie la haya usado: es una puerta que la configuración deja abierta.

El error de aprendiz sería comprobarlo creando una tarea de prueba «para estar seguros». La carta lo prohíbe, y además no hace falta: la evidencia del permiso, con la exportación y la fecha, ya demuestra la posibilidad.