Todo queda con hora
Cada acción ofensiva se registra con marca temporal, sistema de origen y comando exacto. Esa tabla se entrega al SOC para contrastar detecciones.
Método
Cómo se ejecuta un encargo
El orden importa y no es un adorno gráfico: es la secuencia real de un encargo. Nada empieza sin la fase 01 firmada, y nada se da por cerrado sin la fase 05 verificada.
Fases
Cinco fases, en este orden
Cada fase tiene un entregable y un criterio de salida explícito. Si una fase no cierra, no se avanza a la siguiente aunque el calendario apriete.
01
Alcance y ROE
Activos dentro y fuera, ventanas de ejecución, criterio de parada y autorización firmada.
02
Reconocimiento
OSINT, enumeración y contraste entre la superficie documentada y la superficie real.
03
Explotación
Acceso verificado manualmente. Sin explotación no hay hallazgo confirmado.
04
Post-explotación
Escalada, movimiento lateral, persistencia y alcance máximo demostrable.
05
Informe y retest
Entrega, sesión técnica, sesión de dirección y verificación de correcciones.
Reglas de enfrentamiento
Lo que se firma antes de tocar nada
El documento de reglas de enfrentamiento es lo que separa una auditoría de un delito informático. Se firma siempre, incluso en encargos pequeños, e incluso cuando el cliente dice que no hace falta.
- Activos dentro y fuera del alcance, identificados por dirección, dominio o rango, sin ambigüedad.
- Ventanas de ejecución, con las franjas críticas de negocio excluidas explícitamente.
- Técnicas excluidas por defecto: denegación de servicio, fuerza bruta masiva y cualquier acción con riesgo de indisponibilidad.
- Criterio de parada y contacto de emergencia disponible durante toda la ventana, por ambas partes.
- Procedimiento de escalado ante hallazgo crítico o indicio de compromiso previo de un tercero.
- Tratamiento del material recolectado, plazo de conservación y compromiso de destrucción certificada.
Evidencia
Qué significa reproducible
Un hallazgo que su equipo no puede repetir no es un hallazgo: es una afirmación. La diferencia se nota el día que un proveedor niega el problema.
Registro
Prueba
Captura y condiciones
Cada hallazgo incluye la captura del momento de la explotación y las condiciones exactas —usuario, red, versión— en las que funciona.
Límite
Lo que no se explotó, se dice
Si un hallazgo es probable pero no se ha confirmado, se etiqueta como potencial. No inflo severidades y no las suavizo.
Marco de referencia
MITRE ATT&CK como lenguaje común
Cada técnica del informe se referencia con su identificador ATT&CK, de modo que su equipo de defensa pueda mapear directamente la cobertura de sus controles. Las resaltadas son las que aparecen con mayor frecuencia en los encargos que ejecuto.
Acceso inicial
Phishing dirigidoExplotación públicaRelación de confianzaServicio remoto externoMedio extraíbleEjecución
Intérprete de comandosTarea programadaWMIEjecución por usuarioPersistencia
Cuenta válidaServicio nuevoManipulación de cuentaArranque automáticoEscalada
Abuso de ADCSDelegación KerberosToken de accesoElusión de UACEvasión
Firma legítimaBorrado de indicadoresOfuscaciónDeshabilitar herramientasCredenciales
Volcado de LSASSKerberoastingCaptura NTLMFuerza brutaMovimiento lateral
SMB / admin remotoPass-the-hashRDPWinRMImpacto
Objetivo alcanzadoExfiltración simuladaCifradoDestrucción¿Quiere ver un informe de ejemplo?
Puedo enviarle un informe real anonimizado para que juzgue el formato y el nivel de detalle antes de decidir. Es la forma más rápida de saber si encajamos.