Control continuo de la operación
Las fases de una evaluación describen objetivos. El control continuo mantiene coherencia mientras el trabajo vuelve de explotación a enumeración, abre pivots, comparte credenciales y modifica infraestructura. Su unidad básica no es el comando, sino una decisión trazable:
evidencia observada → interpretación → hipótesis → acción → resultado → siguiente decisión
Si se conserva solo el output, se pierde por qué se ejecutó. Si se conserva solo la conclusión, no puede revisarse. Si se conserva solo una cronología, cuesta saber qué superficie quedó sin probar.
Estado mínimo de la operación
Sección titulada «Estado mínimo de la operación»Mantén registros separados pero enlazados. Una hoja enorme termina mezclando hechos, secretos y tareas con ciclos de vida distintos.
| Registro | Pregunta que responde | Clave estable |
|---|---|---|
| Activos | ¿Qué sistemas, nombres, interfaces y funciones conocemos? | asset_id |
| Hipótesis | ¿Qué creemos, por qué y qué evidencia lo refutaría? | hypothesis_id |
| Cobertura | ¿Qué superficie se probó, con qué profundidad y limitación? | coverage_id |
| Credenciales | ¿Qué identidad o secreto existe y dónde se ha validado? | credential_id |
| Sesiones | ¿Qué acceso está activo, con qué privilegio y dependencia? | session_id |
| Pivots | ¿Qué ruta permite alcanzar una red o servicio adicional? | pivot_id |
| Infraestructura | ¿Qué nodo, dominio, listener o redirector sostiene la operación? | infra_id |
| Evidencias | ¿Qué artefacto demuestra una observación o acción? | evidence_id |
| Decisiones | ¿Qué se autorizó, cambió, descartó o escaló? | decision_id |
| Limpieza | ¿Qué cambio debe revertirse y cómo se verifica? | cleanup_id |
Los identificadores evitan depender de nombres que pueden cambiar. Un hostname descubierto hoy puede resolver a otra dirección mañana. La entrada del activo conserva ambos valores y la relación temporal.
Separar observación e interpretación
Sección titulada «Separar observación e interpretación»Registra la respuesta original antes de convertirla en una etiqueta. 445/tcp open es una observación. «Servidor Windows unido al dominio» es una interpretación que necesita más evidencia. «EternalBlue» es una hipótesis que depende de versión, parches, arquitectura y accesibilidad.
Cada hipótesis debe incluir:
- evidencia a favor
- evidencia en contra
- supuestos no comprobados
- prueba discriminante
- impacto esperado de esa prueba
- estado: nueva, en prueba, soportada, refutada o bloqueada
- siguiente acción y responsable
Una prueba discriminante separa explicaciones. Repetir otra herramienta que envía el mismo tipo de solicitud puede corroborar un resultado, pero no siempre reduce la incertidumbre.
Si una hipótesis queda bloqueada, el registro debe decir por qué. blocked puede significar falta de ruta, credenciales, ventana, estabilidad o aprobación. Cada causa tiene una recuperación distinta. Una etiqueta sin condición de desbloqueo termina convirtiéndose en una lista de tareas que nadie puede reanudar.
Controlar cobertura
Sección titulada «Controlar cobertura»La cobertura se mantiene por superficie y profundidad, no por número de comandos. Para cada activo registra:
- interfaces y nombres observados
- puertos o endpoints comprobados
- alcance autenticado y no autenticado
- identidades y privilegios usados
- periodos y origen de la prueba
- casos positivos, negativos, filtrados y no concluyentes
- limitaciones por tiempo, estabilidad, bloqueo o acceso
- evidencia asociada
Cuando aparece una nueva posición, crea una nueva vista. La misma red vista desde Internet, desde una VPN y desde un host comprometido puede exponer rutas distintas. No sobrescribas la vista anterior.
Credenciales y sesiones
Sección titulada «Credenciales y sesiones»Una credencial no se convierte en «válida» de forma global. Registra tipo, identidad, dominio de autoridad, origen, fecha, formato y servicios donde fue aceptada o rechazada. Diferencia contraseña, hash, ticket, token, clave, cookie y certificado. No copies secretos al diario general.
Una sesión necesita más que dirección y usuario:
- mecanismo de acceso y proceso que lo sostiene
- origen, destino y puertos
- identidad, integridad y privilegios efectivos
- hora de creación y última comprobación
- estabilidad y restricciones
- dependencia de túnel, listener, cuenta o regla de firewall
- artefactos creados
- procedimiento de cierre
Al perder un pivot, esta información permite reconstruir la cadena desde su primera dependencia rota.
La reconstrucción empieza por una comprobación de salud, no por recrear toda la cadena. Si la sesión base sigue activa y el listener local desapareció, el fallo está cerca del operador. Si la sesión base cayó, repetir la configuración del proxy no lo corregirá. Conservar dependencias transforma la recuperación en diagnóstico.
Pivots e infraestructura
Sección titulada «Pivots e infraestructura»Representa cada pivot como una arista:
SOURCE_POSITION --[mechanism / local_bind / remote_target]--> REACHABLE_SCOPERegistra la resolución DNS, el MTU, las rutas, la autenticación, el proceso, los registros y la comprobación de estado. Un puerto local abierto no prueba que el destino remoto sea alcanzable. La comprobación debe atravesar la ruta completa y verificar el servicio esperado.
La infraestructura ofensiva mantiene un registro equivalente para VPS, dominios, DNS, certificados, redirectors, team servers y listeners. Operaciones adversarias desarrolla su ciclo de vida.
Cadencia de control
Sección titulada «Cadencia de control»No esperes al final del día para reconstruir la operación. Usa cuatro eventos:
Antes de ejecutar. Define objetivo, hipótesis, activo, origen, herramienta o procedimiento, cambio esperado, señal de éxito, señal de parada y artefacto de salida.
Después de ejecutar. Conserva el output original, resume la observación, actualiza hipótesis y cobertura, registra cualquier cambio y crea una tarea de limpieza si corresponde.
En cada cambio de posición. Revalida identidad, rutas, DNS, tiempo, alcance, logging y dependencias. Abre una nueva vista de enumeración.
En la revisión del equipo. Busca trabajo duplicado, líneas bloqueadas, credenciales que puedan reutilizarse, sesiones frágiles, cobertura pendiente, cambios sin limpieza y decisiones que requieren comunicación.
Deconfliction
Sección titulada «Deconfliction»Deconfliction permite distinguir actividad propia, actividad defensiva y un incidente real. El registro mínimo conserva:
- origen de red y sistema del operador
- ventana exacta
- técnica y volumen esperado
- cuentas, user agents o marcadores acordados
- activos tocados y cambios producidos
- persona capaz de detener la acción
No conviertas un marcador en una firma universal que revele toda la operación. Debe ser suficiente para el grupo de control y compatible con el objetivo de la prueba.
Cierre verificable
Sección titulada «Cierre verificable»La limpieza no significa «se ejecutó el comando inverso». Cada entrada contiene estado previo, cambio, método de reversión y comprobación posterior. Las cuentas, claves, tareas, servicios, archivos, reglas, DNS, certificados, instantáneas y recursos cloud pueden tener ventanas de propagación diferentes.
El cierre operativo exige:
- cero sesiones y pivots activos no justificados
- infraestructura retirada o transferida con propietario
- limpieza comprobada desde la perspectiva adecuada
- artefactos clasificados por entrega, retención o eliminación
- cobertura y limitaciones congeladas para reporting
- decisiones y comunicaciones vinculadas
Usa los templates de control para materializar estos registros y la gestión de evidencias para su cadena de custodia.