Separación de canales de interacción y persistencia

Abre modelo_capas_c2.txt en la consola del laboratorio con el entorno rt-c2-arquitectura-guia.

Revisa la tercera sección dedicada a la capa de larga duración. Mientras que una baliza interactiva se comunica cada pocos segundos para responder a los comandos del teclado, la baliza durmiente se mantiene prácticamente invisible en la red mediante intervalos prolongados y variabilidad aleatoria.

Si ambas balizas compartieran el mismo nombre de dominio o salieran hacia la misma dirección IP pública, la regla de bloqueo perimetral que el SOC aplique al detectar la sesión interactiva neutralizaría de inmediato ambos accesos.

El desacoplamiento exige que el canal de persistencia utilice un dominio completamente diferente, registrado con un proveedor independiente, alojado en un centro de datos distinto y con un certificado SSL no relacionado.

Cuando la infraestructura interactiva ha sido intervenida por la defensa, el Red Team espera pacientemente a que la baliza durmiente despierte en su ventana programada.

Al recibir la conexión en el redirigidor de rescate, el operador no ejecuta comandos interactivos ruidosos en esa sesión sensible, sino que le instruye desplegar una baliza de trabajo secundaria apuntando a un nuevo proxy recién aprovisionado.