Verificación de la primera interacción del usuario

Desde la consola del centro de operaciones, los operadores siguen en vivo la progresión de la campaña a través de los registros del servidor web y del DNS autoritativo.

La secuencia revela la anatomía del acceso: primero se observa la consulta DNS originada desde los servidores corporativos del cliente, seguida por la petición web autenticada por token, la descarga del contenedor y, finalmente, el primer pulso entrante en el redirigidor de mando.

En el segundo exacto en que la primera baliza hace contacto con el servidor de mando, el operador debe asentar en la bitácora operativa la marca temporal precisa en tiempo universal coordinado (UTC), la dirección IP pública de salida y el nombre de equipo comprometido.

Si los analistas del SOC observan una anomalía en su consola EDR y escalan una alerta defensiva, este registro milimétrico es la única prueba que permitirá a la White Cell verificar que el evento corresponde al ejercicio simulado.

Si tras recibir el primer contacto el agente se desconecta súbitamente o la sesión pasa a estado inactivo de forma permanente, el operador no debe disparar comandos desesperados.

Una desconexión fulminante suele indicar que el agente EDR de la estación de trabajo (como Defender for Endpoint, SentinelOne o Falcon) ha aislado el host de la red tras detectar una anomalía. La disciplina exige suspender las interacciones y escalar la situación al Líder de Operación.