Reconocimiento (Reconnaissance)
En seguridad ofensiva, el reconocimiento es la primera fase de un ataque: reunir información sobre un objetivo para planificar la intrusión. Es la primera táctica de MITRE ATT&CK y la etapa de apertura de la cyber kill chain, que empiezan las dos describiendo exactamente esto, y se divide en una forma pasiva y otra activa.
Cómo funciona
El reconocimiento es el trabajo de aprenderse el objetivo antes de actuar sobre él, y se divide con nitidez. El reconocimiento pasivo reúne información sin tocar los sistemas del objetivo: OSINT de fuentes públicas, registros de dominios y todo lo observable desde fuera, y no deja rastro en el objetivo. El reconocimiento activo interactúa con el objetivo directamente (resolver y sondear su DNS, escanear sus máquinas y puertos expuestos, enumerar sus aplicaciones y servicios web), lo que revela más y es detectable. Es la primera táctica de MITRE ATT&CK y la etapa de apertura de la cyber kill chain; los dos marcos empiezan aquí porque aquí empieza toda intrusión. El resultado es un mapa de la huella externa del objetivo y de las vías candidatas de entrada.
Qué sale mal
El fallo del lado del defensor es no conocer su propia huella externa tan bien como la va a conocer un atacante. Las organizaciones pierden la pista de lo que exponen: un subdominio olvidado, un servidor de preproducción dejado en público, un servicio levantado para un proyecto y nunca retirado, un registro DNS que apunta a una máquina dada de baja y que invita a un subdomain takeover. Desde el asiento del atacante, el reconocimiento es donde se da forma a la operación entera, y las victorias fiables son los activos que la organización olvidó que tenía, porque son los que nadie parchea ni vigila. La superficie de ataque que una organización gestiona suele ser menor que la que de verdad presenta, y la distancia entre las dos es lo primero que encuentra el reconocimiento.
Dónde aparece esto en una auditoría
El reconocimiento es la primera fase de una evaluación externa, y su resultado es un mapa de la exposición del objetivo: los dominios, subdominios, máquinas, servicios y tecnologías alcanzables desde fuera, incluidos los que la organización tenía olvidados. Informamos de la superficie en sí como hallazgo cuando es mayor o está más expuesta de lo esperado, porque un activo sin gestionar es un riesgo antes de que se pruebe ninguna vulnerabilidad. Mantener esa superficie conocida y pequeña a lo largo del tiempo es la disciplina del attack surface management. Esto forma parte de cómo dibujamos una superficie de ataque.