Cheatsheet de operación de infraestructura ofensiva

Esta referencia deriva del modelo de infraestructura, la arquitectura y el ciclo de vida.

dig +short FQDN A
openssl s_client -connect FQDN:443 -servername FQDN </dev/null
curl --silent --show-error \
  --verbose --head --insecure \
  --connect-timeout 5 --max-time 15 \
  --resolve FQDN:443:TARGET_IP \
  --write-out 'status=%{http_code} remote=%{remote_ip}\n' \
  "https://FQDN/HEALTH_PATH"

--silent --show-error retira el medidor y conserva fallos. --verbose muestra la negociación, --head solicita solo cabeceras y --insecure desactiva la validación del certificado para este diagnóstico. --connect-timeout limita el establecimiento, --max-time toda la operación y --write-out conserva estado y dirección. --resolve fija la dirección manteniendo SNI y autoridad HTTP. Repite sin --insecure para validar identidad.

sudo nginx -t
sudo nginx -T > evidence/nginx-effective.txt
sudo ss -lntup
sudo systemctl status nginx --no-pager
sudo journalctl -u nginx --since 'START_TIME'

nginx -t valida sintaxis y archivos referenciados. nginx -T añade la configuración efectiva a stdout y puede exponer rutas o valores sensibles. systemctl status muestra estado inmediato. journalctl -u limita el diario a la unidad y --since al periodo indicado. Sustituye Nginx por el servicio real. Un proceso activo no demuestra que la ruta externa llegue al upstream.

Después de editar, conserva una sesión administrativa abierta, valida y recarga sin cortar conexiones existentes:

sudo nginx -t
sudo systemctl reload nginx
sudo systemctl is-active nginx

sudo cp NGINX_BACKUP_FILE NGINX_CONFIG_FILE
sudo nginx -t
sudo systemctl reload nginx

La reversión necesita una copia obtenida antes del cambio. is-active confirma el estado de la unidad. La prueba externa del endpoint de salud confirma la ruta.

1. aprovisionar el recurso nuevo
2. validar salud y controles negativos
3. cambiar DNS o rutas con TTL conocido
4. observar tráfico y errores durante la convergencia
5. detener el recurso anterior
6. revocar secretos y retirar estado
7. verificar desde una posición externa

• comprobar acceso de emergencia y consola del proveedor
• restaurar configuración en un nodo limpio
• cargar secretos mediante el gestor previsto
• validar ruta administrativa antes del control plane
• probar un listener desechable y retirarlo
• registrar qué estado no pudo recuperarse

• exportar y sanear logs
• revocar claves, tokens y certificados
• eliminar DNS, reglas de firewall y rutas
• destruir discos, snapshots y backups fuera de retención
• comprobar Certificate Transparency y DNS histórico como indicadores que persistirán

• Nginx documentation
• Certbot documentation