# Cómo detectar el movimiento lateral y el beaconing C2

> Cómo se ven en la red el movimiento lateral y el beaconing de comando y control, su correspondencia con MITRE ATT&CK y cómo detectarlos en la práctica.

Source page: https://netsenx.com/es/detect-lateral-movement-c2-beaconing

Última revisión: 6 de noviembre de 2026

El movimiento lateral es el paso de un atacante desde el primer equipo comprometido a otros, normalmente iniciando sesión con credenciales robadas en servicios remotos. El beaconing C2 (comando y control) es el software comprometido que contacta con el servidor del atacante a intervalos regulares para recibir instrucciones. Ambos tienen que atravesar la red, así que ambos pueden detectarse en el tráfico, incluso cifrado: el movimiento lateral como sesiones inusuales entre equipos en protocolos de administración, el beaconing como un ritmo constante de conexiones pequeñas a un mismo destino.

## El dato que conviene tener presente

En una guía conjunta publicada el 7 de febrero de 2024, la CISA, la NSA, el FBI y agencias asociadas advirtieron de que los atacantes que «viven del terreno» (living off the land) usan las mismas herramientas legítimas que los administradores, de modo que su actividad se confunde con el funcionamiento normal, y recomendaron mantener referencias de la actividad normal de la red, de los usuarios y de los administradores para detectar lo que se desvía de ellas.

Fuente: [CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)](https://www.ncsc.govt.nz/protect-your-organisation/identifying-and-mitigating-living-off-the-land-lotl-techniques/)

## Cómo detectarlos

Cuatro prácticas que funcionan con cualquier herramienta y que NetSenX automatiza.

1. **Mantenga una referencia de quién habla con quién** El movimiento lateral solo se ve frente a lo normal. Registre qué equipos se conectan habitualmente a qué servidores y por qué puertos: un puesto que de pronto abre sesiones SMB o RDP a diez servidores destaca frente a esa referencia.
2. **Vigile el tráfico este-oeste, no solo el perímetro** El tráfico entre equipos de la LAN nunca pasa por el cortafuegos de internet. Coloque un puerto SPAN o TAP, o un sensor, en cada segmento que necesite ver.
3. **Busque el ritmo, no el contenido** El beaconing aparece como conexiones a un mismo destino a intervalos casi constantes, a menudo con mensajes pequeños de tamaño parecido y algo de variación aleatoria. Los tiempos y el volumen siguen siendo visibles aunque la sesión esté cifrada.
4. **Correlacione entre equipos** Varios equipos que envían beacons al mismo dominio nuevo, o un equipo que escanea y luego inicia sesión en las máquinas que escaneó, son una señal más fuerte que cualquier conexión aislada.

## Correspondencia con MITRE ATT&CK

Los nombres e identificadores de las técnicas son de MITRE. La última columna indica la categoría de detección de NetSenX a la que pertenece ese tráfico; no significa que se detecte cada variante de la técnica.

| Técnica | Cómo se ve en la red | Detección de NetSenX |
|---|---|---|
| [T1046](https://attack.mitre.org/techniques/T1046/) Network Service Discovery (Discovery) | Un equipo que se conecta en poco tiempo a muchas direcciones o puertos internos. | Escaneos |
| [T1021](https://attack.mitre.org/techniques/T1021/) Remote Services (Lateral Movement) | Un puesto que abre sesiones SMB, RDP, SSH o WinRM con servidores u otros puestos que nunca había usado. | Movimiento lateral |
| [T1071](https://attack.mitre.org/techniques/T1071/) Application Layer Protocol (Command and Control) | Conexiones pequeñas y regulares al mismo destino externo por HTTPS, de día y de noche. | Beaconing C2 |
| [T1573](https://attack.mitre.org/techniques/T1573/) Encrypted Channel (Command and Control) | El mismo ritmo dentro de TLS: tiempos, volumen, destino y handshake siguen visibles sin descifrar. | Beaconing C2, a partir de metadatos |
| [T1041](https://attack.mitre.org/techniques/T1041/) Exfiltration Over C2 Channel (Exfiltration) | Un equipo que envía beacons y de repente manda muchos más datos al exterior por el mismo canal. | Volumen inusual de datos salientes |
| [T1048](https://attack.mitre.org/techniques/T1048/) Exfiltration Over Alternative Protocol (Exfiltration) | Grandes transferencias salientes por un protocolo que el equipo normalmente no usa para eso. | Volumen inusual de datos salientes |

## Qué hace NetSenX hoy

- Detecta escaneos, movimiento lateral, beaconing C2 y volumen inusual de datos salientes a partir del comportamiento en la red, en todos los planes, también el Free.
- Desde el plan Pro, relaciona los equipos en un grafo de quién habla con quién, de modo que un escaneo seguido de nuevas sesiones remotas, o varios equipos que envían beacons a un mismo destino, aparecen como una sola historia y no como alertas sueltas.
- Indica en la alerta la técnica de MITRE ATT&CK cuando una detección corresponde a ella, y muestra en una vista de cobertura qué técnicas abordan sus detecciones activas.
- Analiza el tráfico cifrado a partir de tiempos, volumen y destinos, y desde el plan Starter también del handshake TLS, sin descifrarlo nunca. El handshake solo es visible donde el agente captura paquetes: en Linux o como sensor en un puerto SPAN o TAP, no en el modo básico que se usa en macOS.

## Qué no hace NetSenX

NetSenX solo ve el movimiento lateral donde cruza un segmento supervisado: una sesión entre dos equipos de un segmento no supervisado, o una actividad que no sale de una máquina, queda fuera de su vista. No lee el contenido de las sesiones cifradas, no sustituye la respuesta a incidentes y no afirma detectar cada variante de cada técnica ATT&CK de esta página.

## Preguntas de los compradores

### ¿Qué es el movimiento lateral en ciberseguridad?

Es la forma en que un atacante se extiende desde el primer equipo comprometido a otros, normalmente con credenciales robadas y servicios remotos como SMB, RDP, SSH o WinRM. MITRE ATT&CK lo recoge como la táctica TA0008; Remote Services es la técnica T1021.

### ¿Cómo se detecta el beaconing C2?

Busque un equipo que se conecta al mismo destino externo a intervalos casi regulares, a todas horas, con mensajes pequeños de tamaño parecido. El patrón aparece en los datos de flujo y en los registros del cortafuegos, también en el tráfico cifrado, porque los tiempos, el volumen y el destino no van cifrados.

### ¿Se puede detectar el movimiento lateral en tráfico cifrado?

En gran medida, sí: quién se conecta con quién, por qué puerto, cuándo y cuántos datos se mueven es visible sin descifrar. Lo que queda oculto es el contenido de la sesión, como los comandos enviados en una sesión remota cifrada.

### ¿Qué técnicas de MITRE ATT&CK ve la detección de red?

Las que generan tráfico entre equipos, por ejemplo Network Service Discovery (T1046), Remote Services (T1021), Application Layer Protocol (T1071), Encrypted Channel (T1573) y Exfiltration Over C2 Channel (T1041). Las técnicas que no salen de un equipo corresponden a las herramientas instaladas en los propios equipos.

## Fuentes

- [CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)](https://www.ncsc.govt.nz/protect-your-organisation/identifying-and-mitigating-living-off-the-land-lotl-techniques/)
- [MITRE ATT&CK — Lateral Movement (TA0008)](https://attack.mitre.org/tactics/TA0008/)
- [MITRE ATT&CK — Command and Control (TA0011)](https://attack.mitre.org/tactics/TA0011/)

Esta página es información general y no constituye asesoramiento jurídico. Compruebe sus obligaciones con su autoridad nacional o con su asesor jurídico.

## Páginas relacionadas

- [Cómo saber si hay alguien dentro de su red](https://netsenx.com/es/is-someone-inside-your-network)
- [Cómo detectar ransomware en la red](https://netsenx.com/es/detect-ransomware-on-the-network)
- [Análisis del tráfico cifrado](https://netsenx.com/es/encrypted-traffic-analysis)
- [NDR, EDR o SIEM](https://netsenx.com/es/blog/2026-09-24_ndr-vs-edr-vs-siem)
- [Funciones](https://netsenx.com/es/features)
- [Monitorización de red NIS2](https://netsenx.com/es/nis2-network-monitoring)