Certificados TLS legítimos y edad de dominio

Abre categorizacion_dominios.txt en la consola del laboratorio con el entorno rt-c2-arquitectura-guia.

Revisa la sección 3 referente a certificados criptográficos. Los sistemas operativos modernos y los navegadores web incorporan un almacén de certificados raíz de confianza. Si una baliza intenta conectarse a un servidor C2 utilizando certificados generados localmente sin firma de una CA pública reconocida, la conexión fallará o levantará una alarma de inspección.

Para que las comunicaciones ofensivas sean indistinguibles del tráfico legítimo, el equipo de infraestructura debe aprovisionar certificados válidos emitidos por autoridades de certificación públicas reconocidas por todos los sistemas operativos comunes (como Let's Encrypt, DigiCert o ZeroSSL).

Además, el nombre común (CN) y los nombres alternativos del sujeto (SAN) deben coincidir exactamente con el nombre de dominio configurado en el redirigidor, evitando cualquier discordancia en las cabeceras SNI del apretón de manos TLS.

En redes bancarias y corporativas maduras, los firewalls de próxima generación realizan inspección profunda de paquetes (SSL/TLS Decryption) instalando una entidad certificadora intermedia corporativa en cada equipo de la empresa.

Bajo este escenario, el cortafuegos descifra el paquete, lee la carga útil en texto plano y vuelve a cifrarlo hacia el exterior. Si el Red Team envía cadenas obvias o patrones identificables en las cabeceras HTTP, el proxy detectará la baliza sin importar que el canal original fuera HTTPS.