Operaciones adversarias

Un agente consigue ejecutar en un endpoint y, aun así, la operación puede fracasar. El dominio puede resolver hacia el frontal equivocado, el certificado puede delatar una relación imprevista, el redirector puede bloquear el perfil legítimo o el team server puede concentrar tanta confianza que la pérdida de un nodo interrumpa todo el ejercicio. La técnica que produjo la ejecución era válida. El sistema que debía sostenerla no lo era.

Una operación adversaria coordina personas, infraestructura, identidades, software, rutas y señales para alcanzar un objetivo medible. El framework de command and control (C2) ocupa una parte de ese sistema. Hereda dependencias que deben aprovisionarse, probarse, observarse, rotarse y retirarse. Esta rama estudia esas dependencias como una disciplina operativa conectada con la metodología de evaluación, no como una colección de servidores.

objetivo y amenaza
        |
        v
plan de operación -----> deconfliction y criterios de parada
        |
        v
dominios / DNS / certificados / nodos / redirectors
        |
        v
team server -> listener -> redirector -> egress -> objetivo
        |                                     |
        +------ logs, health y control -------+
        |
        v
delivery -> agente -> tasking -> resultados
        |
        v
rotación / recuperación / retirada / evidencia

Cada flecha cruza una frontera de confianza (trust boundary). Un proveedor ve metadatos distintos de los que observa un proxy del objetivo. El redirector expuesto no debería recibir los mismos secretos ni conservar los mismos datos que el team server. Dibujar el flujo hace visibles esas diferencias antes de elegir productos.

• Planificación basada en amenazas traduce objetivos en capacidades, supuestos y criterios de éxito.
• Infraestructura ofensiva organiza dominios, DNS, certificados, hosting, egress, redirectors y ciclo de vida.
• Arquitectura y fronteras de confianza separa team server, listeners, agentes, redirectors y canales de control.
• Dominios, DNS y certificados explica aprovisionamiento y exposición pública.
• Redirectors HTTP/S implementa encaminamiento y filtrado.
• Ciclo de vida controla validación, rotación, recuperación y retirada.
• OPSEC y gestión de indicadores modela qué observa cada sistema y cuándo debe cambiar un indicador.

La metodología de control mantiene el inventario, las decisiones, sesiones, pivots, infraestructura y tareas de limpieza. Esta rama explica la mecánica técnica de los componentes. El encargo define qué capacidad se usa, contra qué objetivo y cómo se coordina con otras actividades (deconfliction).

Una arquitectura no está preparada porque el panel del framework abra. Debe demostrar:

• resolución y certificados desde las posiciones relevantes
• ruta completa desde agente o simulador hasta listener
• filtrado positivo y negativo en redirectors
• ausencia de acceso directo no previsto al team server
• logs separados y reloj sincronizado
• alertas de salud
• recuperación tras pérdida de nodo, DNS o certificado
• rotación sin perder trazabilidad
• retirada que elimina recursos y comprueba la propagación

• MITRE ATT&CK
• NIST SP 800-115
• CISA: Red Team Assessments