Command and control (C2)
En operaciones ofensivas, el command and control es el canal que usa un atacante para operar dentro de una red comprometida y dar instrucciones a sus implantes. Es la parte de una intrusión que tiene que seguir hablando, y por eso es lo más fiable que puede buscar un defensor y lo que más se esfuerza en esconder un operador.
Cómo funciona
Un implante en un equipo comprometido contacta con la infraestructura que controla el operador, pide trabajo, lo ejecuta y devuelve el resultado. El patrón está moldeado a propósito para parecer corriente: conexiones a intervalos con variación aleatoria para que los tiempos no tengan ritmo, tráfico sobre los protocolos que siempre se permiten hacia fuera, y contenido que se parece a lo que ese protocolo lleva normalmente. Los frameworks dejan al operador definir el perfil con detalle, así que el mismo implante puede parecer hoy un tipo de tráfico web y mañana otro.
El canal es casi siempre de salida, porque la salida es lo que permiten los cortafuegos. Cuando el tráfico web directo está filtrado, los operadores recurren a lo que sea que salga de la red: la resolución de nombres, que es la base del tunelado por DNS, el correo, o un servicio cloud legítimo usado como relé para que el destino sea un dominio de buena reputación.
Qué sale mal
La salida no está restringida. La mayoría de los parques controlan con mucho cuidado lo que entra y dejan salir prácticamente cualquier cosa desde un puesto de trabajo, con lo que el único problema real del operador es elegir protocolo. El filtrado de salida que obliga a pasar el tráfico por un proxy que inspecciona y niega las conexiones directas hacia fuera es el control que cambia la dificultad, y es el que falta más veces en las redes de servidores en particular, donde no debería navegar nadie.
La detección basada en la reputación del destino tiene el mismo techo que cualquier indicador: reconoce infraestructura que ya ha reportado otro. Una infraestructura levantada para un solo encargo, sobre un dominio recién registrado y con certificado válido, no coincide con nada. Lo que sobrevive es el análisis de comportamiento del patrón de tráfico y, más práctico todavía, darse cuenta de que un equipo ha empezado a hablar con algo con lo que no había hablado nunca.
El tercer hueco es el parque de servidores. Que un puesto de trabajo haga peticiones web raras es al menos verosímil; que las haga un servidor de base de datos no lo es, y sin embargo las reglas que lo cazarían suelen estar escritas para las redes de usuario.
Dónde aparece esto en una auditoría
Levantamos infraestructura nueva para cada encargo, que es lo que hace honesta la prueba, y anotamos cada destino, protocolo e intervalo para que el cliente pueda buscar después en sus registros. El resultado medible es si el canal se vio y cuánto tiempo estuvo funcionando, y donde se bloqueó decimos qué control lo hizo, porque saber que el proxy paró el primer intento y que el recurso alternativo por resolución de nombres sí funcionó es mucho más útil que un apto o no apto. Esto forma parte de cómo ponemos a prueba tu salida a Internet y tu detección de red.