Beacon
Un beacon es el tráfico periódico de check-in que un equipo comprometido envía a la infraestructura del atacante para recoger órdenes. En operaciones de red team el oficio está en los tiempos: el intervalo, la variación aleatoria que se le aplica y los periodos de silencio son lo que decide si el patrón es visible para un defensor.
El modelo es de tirar, no de empujar. En el equipo comprometido no hay nada escuchando; es él quien sale fuera cada cierto tiempo, pide trabajo, lo ejecuta y devuelve el resultado. Ese sentido de la marcha es lo que le permite funcionar desde dentro de una red sin acceso entrante, y por eso el tráfico tiene que parecerse al tráfico de salida normal para sobrevivir.
Hay tres ajustes que hacen casi todo el trabajo. El intervalo fija cuánto espera un defensor entre oportunidades de verlo. El jitter aleatoriza ese intervalo un porcentaje para que las llamadas dejen de caer en un múltiplo limpio, que es la característica que la ingeniería de detección automatizada aprovecha con más fiabilidad. Un periodo de sueño o de latencia mantiene el implante callado horas o días, y cambia capacidad de reacción por la posibilidad de que una ventana de revisión se cierre sin haberlo visto.
Un aviso de nomenclatura para quien lea un informe: Beacon es también el nombre propio del implante que trae un producto comercial concreto de simulación de adversarios, así que la palabra puede significar el comportamiento genérico o esa carga en particular según la frase. Cuando lo usamos como nombre propio, lo decimos. En un encargo, el resultado útil no es que la llamada funcionara, sino a qué intervalo se volvió visible, que es la medida que mejora la detección de command and control, y sale del trabajo de red team donde el oficio de las llamadas se afina contra la detección del propio cliente.