Ataque activo

La clasificación es antigua y sigue siendo útil porque separa dos cosas que se defienden de forma distinta. En un ataque pasivo el adversario observa: escucha el tráfico, recopila información, analiza patrones. No cambia nada, así que no hay nada roto que mirar, y por eso es tan difícil de detectar. Contra él la defensa es preventiva, y se llama cifrado.

En un ataque activo el adversario actúa sobre el sistema. Envía algo que no debería, modifica un dato, ejecuta un comando, borra un registro, deja una cuenta creada. Toca, y al tocar deja rastro: una conexión que no encaja, un proceso nuevo, un fichero con fecha rara, un intento fallido antes del que salió bien.

Esa asimetría es lo que decide dónde se pone el dinero. Contra lo pasivo se invierte en cifrado en tránsito, porque quien escucha algo cifrado se lleva ruido. Contra lo activo se invierte en detección y respuesta, porque el rastro existe y la única pregunta es si alguien lo está mirando.

En la práctica un mismo intruso hace las dos cosas y en este orden: primero reconocimiento silencioso, y solo después el movimiento que se puede ver. Entender la frontera es entender en qué momento pasas de no tener nada que detectar a tener una oportunidad.

Interacción directa. Hay ida y vuelta entre el atacante y el sistema: se prueba algo, se mira qué contesta y se ajusta. Esa conversación es lo que separa un ataque activo de una recolección de información, y también lo que lo hace visible en registros y en telemetría.

Intención. No es un fallo ni un accidente. Un disco lleno tira un servicio abajo igual que una denegación de servicio, y las dos cosas se investigan distinto. Que haya alguien decidiendo al otro lado cambia la respuesta entera, porque un adversario reacciona a lo que hagas y una avería no.

Evasión. Quien actúa sabe que actuar se ve, así que dedica esfuerzo a no verse: usar herramientas legítimas del propio sistema, trabajar en horas de mucho tráfico, borrar registros, mezclarse con lo normal. Casi todo lo que llamamos técnica avanzada es esto.

Persistencia. Muchos ataques activos no buscan un golpe, buscan quedarse. Una persistencia bien puesta sobrevive a un reinicio y a un cambio de contraseña, y convierte un acceso puntual en un acceso permanente. Es la diferencia entre un incidente y una amenaza persistente avanzada.

Interrupción. El servicio deja de estar disponible. Es lo que hace una denegación de servicio, y también un ransomware cuando cifra lo que hacía falta para trabajar. Ataca la disponibilidad, que es la pata de la seguridad que el negocio nota primero.

Modificación. El dato llega, pero cambiado. Un adversario en medio altera una transferencia; un intruso cambia un número de cuenta en una factura. Ataca la integridad, y es la más difícil de descubrir tarde, porque el sistema sigue funcionando y contestando que todo está bien.

Suplantación. El atacante se hace pasar por alguien con permiso. Con credenciales robadas por phishing o por volcado de credenciales ya no hace falta romper nada: se entra por la puerta y con la llave puesta. Es hoy la forma más común de empezar.

Fabricación. Se introduce algo que no existía: una cuenta nueva, una regla de reenvío de correo, una tarea programada, un certificado. Suele ser el paso que da persistencia, y suele quedarse mucho después de que el resto del incidente se dé por cerrado.

Como hay interacción, hay evidencia. Un SIEM que recoja los registros correctos ve la secuencia: el acceso desde un sitio inhabitual, el salto a la segunda máquina, la herramienta que se ejecuta por primera vez en ese equipo. Un EDR ve lo que pasa dentro del sistema operativo, que es donde ocurre lo que los registros de red no cuentan.

El problema casi nunca es que no haya señal, sino que hay demasiada. Por eso importa saber qué se busca, y para eso están los indicadores de compromiso y el threat hunting, que es ir a buscar en vez de esperar a que salte una alarma. Y por eso importa también que las alertas no estén ahogadas en falsos positivos, porque el mejor sensor es inútil si nadie abre lo que dice.

Para ordenar todo esto, el marco que usa el sector es MITRE ATT&CK: describe las tácticas y las técnicas observadas en ataques reales y permite pasar de una lista de alertas sueltas a una historia. Cuando el equipo puede decir en qué táctica está el adversario, la respuesta deja de ser reactiva.

Una organización recibe una campaña de ingeniería social dirigida a unas pocas personas concretas. Una de ellas introduce sus credenciales en una página que parece la del trabajo. No se ha explotado ninguna vulnerabilidad: se ha pedido la llave y se ha dado.

Con esa cuenta el atacante entra por el mismo camino que usaría su dueño, así que el primer acceso no dispara nada. A partir de ahí empieza lo activo: mira qué permisos tiene, encuentra una carpeta compartida con más de lo que debería, hace movimiento lateral a un segundo equipo y crea una cuenta propia para no depender de la robada.

Durante semanas la actividad se parece a la de un empleado con horario raro. Lo que finalmente la delata no es una alarma, sino un detalle que no encaja: una cuenta de administración que nadie recuerda haber creado. La investigación se apoya en análisis forense para reconstruir el orden de los hechos, y la respuesta ante incidentes tiene que cerrar todas las vías de entrada a la vez, porque cerrar solo la primera deja al adversario dentro con la segunda.

El ejemplo es ilustrativo y no describe ningún cliente. Su moraleja sí es medible: lo caro no fue la contraseña perdida, fue el tiempo que la actividad pareció normal.

Un pentesting responde a si existe el camino. Un ejercicio de Red Team responde a la otra mitad: si alguien recorre ese camino de verdad, cuánto tarda tu equipo en verlo y qué hace cuando lo ve. Es la única forma de comprobar la detección sin esperar a que la comprueben otros.

Y lo que se mide no es solo si el equipo llegó al objetivo, sino en qué paso se le podría haber parado y por qué no se paró. Un ejercicio que termina sin ninguna alerta disparada no es un aprobado del atacante: es un suspenso de la detección, y es exactamente el dato por el que se hace.