MITRE ATT&CK
Cómo detectar el movimiento lateral y el beaconing C2
El movimiento lateral es el paso de un atacante desde el primer equipo comprometido a otros, normalmente iniciando sesión con credenciales robadas en servicios remotos. El beaconing C2 (comando y control) es el software comprometido que contacta con el servidor del atacante a intervalos regulares para recibir instrucciones. Ambos tienen que atravesar la red, así que ambos pueden detectarse en el tráfico, incluso cifrado: el movimiento lateral como sesiones inusuales entre equipos en protocolos de administración, el beaconing como un ritmo constante de conexiones pequeñas a un mismo destino.
El dato que conviene tener presente
En una guía conjunta publicada el 7 de febrero de 2024, la CISA, la NSA, el FBI y agencias asociadas advirtieron de que los atacantes que «viven del terreno» (living off the land) usan las mismas herramientas legítimas que los administradores, de modo que su actividad se confunde con el funcionamiento normal, y recomendaron mantener referencias de la actividad normal de la red, de los usuarios y de los administradores para detectar lo que se desvía de ellas.
Cómo detectarlos
Cuatro prácticas que funcionan con cualquier herramienta y que NetSenX automatiza.
01Mantenga una referencia de quién habla con quién
El movimiento lateral solo se ve frente a lo normal. Registre qué equipos se conectan habitualmente a qué servidores y por qué puertos: un puesto que de pronto abre sesiones SMB o RDP a diez servidores destaca frente a esa referencia.
02Vigile el tráfico este-oeste, no solo el perímetro
El tráfico entre equipos de la LAN nunca pasa por el cortafuegos de internet. Coloque un puerto SPAN o TAP, o un sensor, en cada segmento que necesite ver.
03Busque el ritmo, no el contenido
El beaconing aparece como conexiones a un mismo destino a intervalos casi constantes, a menudo con mensajes pequeños de tamaño parecido y algo de variación aleatoria. Los tiempos y el volumen siguen siendo visibles aunque la sesión esté cifrada.
04Correlacione entre equipos
Varios equipos que envían beacons al mismo dominio nuevo, o un equipo que escanea y luego inicia sesión en las máquinas que escaneó, son una señal más fuerte que cualquier conexión aislada.
Correspondencia con MITRE ATT&CK
Los nombres e identificadores de las técnicas son de MITRE. La última columna indica la categoría de detección de NetSenX a la que pertenece ese tráfico; no significa que se detecte cada variante de la técnica.
| Técnica | Cómo se ve en la red | Detección de NetSenX |
|---|---|---|
| T1046 Network Service DiscoveryDiscovery | Un equipo que se conecta en poco tiempo a muchas direcciones o puertos internos. | Escaneos |
| T1021 Remote ServicesLateral Movement | Un puesto que abre sesiones SMB, RDP, SSH o WinRM con servidores u otros puestos que nunca había usado. | Movimiento lateral |
| T1071 Application Layer ProtocolCommand and Control | Conexiones pequeñas y regulares al mismo destino externo por HTTPS, de día y de noche. | Beaconing C2 |
| T1573 Encrypted ChannelCommand and Control | El mismo ritmo dentro de TLS: tiempos, volumen, destino y handshake siguen visibles sin descifrar. | Beaconing C2, a partir de metadatos |
| T1041 Exfiltration Over C2 ChannelExfiltration | Un equipo que envía beacons y de repente manda muchos más datos al exterior por el mismo canal. | Volumen inusual de datos salientes |
| T1048 Exfiltration Over Alternative ProtocolExfiltration | Grandes transferencias salientes por un protocolo que el equipo normalmente no usa para eso. | Volumen inusual de datos salientes |
Qué hace NetSenX hoy
- Detecta escaneos, movimiento lateral, beaconing C2 y volumen inusual de datos salientes a partir del comportamiento en la red, en todos los planes, también el Free.
- Desde el plan Pro, relaciona los equipos en un grafo de quién habla con quién, de modo que un escaneo seguido de nuevas sesiones remotas, o varios equipos que envían beacons a un mismo destino, aparecen como una sola historia y no como alertas sueltas.
- Indica en la alerta la técnica de MITRE ATT&CK cuando una detección corresponde a ella, y muestra en una vista de cobertura qué técnicas abordan sus detecciones activas.
- Analiza el tráfico cifrado a partir de tiempos, volumen y destinos, y desde el plan Starter también del handshake TLS, sin descifrarlo nunca. El handshake solo es visible donde el agente captura paquetes: en Linux o como sensor en un puerto SPAN o TAP, no en el modo básico que se usa en macOS.
Qué no hace NetSenX
NetSenX solo ve el movimiento lateral donde cruza un segmento supervisado: una sesión entre dos equipos de un segmento no supervisado, o una actividad que no sale de una máquina, queda fuera de su vista. No lee el contenido de las sesiones cifradas, no sustituye la respuesta a incidentes y no afirma detectar cada variante de cada técnica ATT&CK de esta página.
Preguntas de los compradores
¿Qué es el movimiento lateral en ciberseguridad?
Es la forma en que un atacante se extiende desde el primer equipo comprometido a otros, normalmente con credenciales robadas y servicios remotos como SMB, RDP, SSH o WinRM. MITRE ATT&CK lo recoge como la táctica TA0008; Remote Services es la técnica T1021.
¿Cómo se detecta el beaconing C2?
Busque un equipo que se conecta al mismo destino externo a intervalos casi regulares, a todas horas, con mensajes pequeños de tamaño parecido. El patrón aparece en los datos de flujo y en los registros del cortafuegos, también en el tráfico cifrado, porque los tiempos, el volumen y el destino no van cifrados.
¿Se puede detectar el movimiento lateral en tráfico cifrado?
En gran medida, sí: quién se conecta con quién, por qué puerto, cuándo y cuántos datos se mueven es visible sin descifrar. Lo que queda oculto es el contenido de la sesión, como los comandos enviados en una sesión remota cifrada.
¿Qué técnicas de MITRE ATT&CK ve la detección de red?
Las que generan tráfico entre equipos, por ejemplo Network Service Discovery (T1046), Remote Services (T1021), Application Layer Protocol (T1071), Encrypted Channel (T1573) y Exfiltration Over C2 Channel (T1041). Las técnicas que no salen de un equipo corresponden a las herramientas instaladas en los propios equipos.
Fuentes
- CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)
- MITRE ATT&CK — Lateral Movement (TA0008)
- MITRE ATT&CK — Command and Control (TA0011)
Esta página es información general y no constituye asesoramiento jurídico. Compruebe sus obligaciones con su autoridad nacional o con su asesor jurídico.
Páginas relacionadas
Pruebe NetSenX en su propia red
Empiece con el plan Free para un máximo de 3 dispositivos o reserve una demo de 20 minutos.