Perfil del operador — sigilo sobre velocidad

Imagina que un operador obtiene acceso a una estación de trabajo mediante una baliza inicial. La tentación habitual de un auditor junior es lanzar de inmediato un escaneo de puertos sobre la subred /24 o ejecutar un script de recolección masiva de contraseñas.

En una red corporativa moderna con sensores EDR y cortafuegos internos, un escaneo masivo de puertos dispara alertas de alta severidad por escaneo horizontal en cuestión de segundos. El host es aislado automáticamente por la consola de EDR, la baliza se pierde y la infraestructura C2 asociada queda fichada por los analistas.

Para comunicarse con su infraestructura externa sin despertar sospechas en las herramientas de análisis de tráfico de red, los agentes de Red Team no transmiten a intervalos fijos. Una baliza que envía un paquete HTTP cada 60 segundos exactos genera un patrón periódico evidente que cualquier analizador estadístico o cortafuegos de siguiente generación detecta como baliza automatizada (Beaconing).

Para romper este patrón se introduce el concepto de Jitter: un porcentaje de variabilidad aleatoria aplicado al intervalo de sueño. Si el intervalo base es de 60 minutos con un jitter del 50%, la baliza se comunicará aleatoriamente entre 30 y 90 minutos, mimetizándose con el tráfico de un usuario humano.

Abre mitre_attack_mapping.txt y localiza la táctica correspondiente a la fase de descubrimiento interno (Discovery).

Cuando un operador necesita identificar quiénes son los administradores del dominio, no ejecuta comandos como net group "Domain Admins" /domain en rápida sucesión, ya que esa línea de comando específica está fuertemente monitorizada por reglas Sigma y SIEM. En su lugar, utiliza consultas LDAP individuales y nativas, o aprovecha información ya cargada en la memoria caché del sistema. La disciplina del Red Teamer reside en obtener el dato mínimo necesario con el menor impacto telegráfico. Consulta en la tabla el código de esta táctica.