Marcar la actividad para separarla de un ataque real

Marcar es añadir señal, nunca quitarla. El evaluador no apaga controles ni borra sus huellas: añade elementos que su actividad lleva siempre y que un atacante real no tendría motivo para copiar. Suelen ser cuatro: la dirección desde la que trabaja, una marca en el tráfico de aplicación, un prefijo en todo lo que crea dentro del cliente y el nombre identificable del equipo que usa dentro de la red.

La marca se acuerda por escrito antes de empezar, porque su función es que el turno de madrugada —que no estuvo en ninguna reunión— pueda atribuir una alerta sin despertar a nadie.

Abre el laboratorio y lee ficha-de-marcado.txt.

Todo lo que el encargo crea dentro del cliente —cuentas, carpetas, tareas— lleva un prefijo acordado y una descripción que dice a qué encargo pertenece. Sirve dos veces: durante la prueba, para que el equipo de defensa no abra un incidente por una cuenta nueva; y al cierre, para que el inventario de limpieza se pueda armar buscando el prefijo y nadie se quede con algo encendido por olvido.

Hay una objeción frecuente del cliente: si el evaluador se anuncia, la prueba deja de medir nada. No es así, y conviene saber contestarlo. Lo que mide un encargo con la actividad marcada no es si el equipo de defensa adivina, sino si la señal llega, si la regla dispara y en cuánto tiempo. La marca se lee después, al clasificar la alerta, no antes de generarla.

Lo que sí hay que vigilar es lo contrario: que el equipo de defensa use la marca como filtro de entrada y deje de mirar todo lo que la lleve. Entonces la prueba sí deja de medir, y además se crea un hueco que cualquiera podría imitar.

Una ficha de marcado es un documento vivo: si cambia la forma de trabajar a mitad de la ventana, hay que actualizarla y avisar. Cuando no se hace, el cliente tiene en su consola actividad de la prueba que no puede atribuir, y su equipo de defensa gasta un incidente en algo que estaba pagado.

Compara ficha-de-marcado.txt con registro-del-proxy-del-evaluador.txt y con los avisos.