La sesión no vuelve a preguntar
A las 08:19 el MFA dijo que sí, y dijo bien: la persona correcta aprobó desde el teléfono correcto. Veintiún minutos después el atacante estaba dentro de la VPN con la sesión de esa persona, y no …
#Detection-Engineering
El log que se desofusca solo
El atacante ofusca su script de PowerShell para que en el disco no se lea nada: Base64, cadenas partidas, todo ilegible. Pero el motor no ejecuta Base64 — ejecuta texto plano, y para eso tiene que …
El protocolo que nadie se anima a cerrar
El DNS es el único puerto que ningún firewall se anima a cerrar del todo, porque cerrarlo es apagar internet y que te llamen a las tres de la mañana. Por eso es el canal encubierto perfecto: los datos …
El que llama a casa a la misma hora
Un implante que se conecta cada sesenta segundos, con el mismo peso de paquete y un User-Agent que ningún navegador escribió jamás, tiene un problema que ninguna capa de TLS le arregla: la …
El campo que delata al impostor
El cuerpo de un correo de fraude está redactado para convencerte: no lo vas a atrapar leyéndolo, porque el texto es lo único que el impostor escribe bien. La verdad está en la cabecera, el backstage …
El que ya está adentro no tiene que entrar
El insider no fuerza ninguna puerta: ficha, entra con su tarjeta y roba con permiso. Usa credenciales legítimas y accesos autorizados, así que no hay intrusión que detectar — solo una desviación de …
⟐ Arquitectura de un SOC MDR
Arquitectura de un SOC MDR · II — Telemetría: qué mira un SOC y cómo se decide
Un SOC no puede ver todo, y fingir que sí es la forma más cara de no ver nada. Segunda entrega de la serie: el catálogo de telemetría como plano — treinta fuentes en siete dominios, cómo se prioriza …
⟐ Arquitectura de un SOC MDR
Arquitectura de un SOC MDR · I — Onboarding: cómo se adopta un cliente
Un servicio de detección y respuesta gestionada no empieza el día que llega la primera alerta: empieza semanas antes, en un proceso de adopción con siete fases, compuertas de calidad y una matriz de …
Anatomía de un control
Una auditoría encuentra una regla de firewall de 2014 que protege un servidor apagado en 2016: un control que lleva una década «funcionando» sin bloquear ni permitir nada. Sobre la anatomía de un …
El cebo que llama a casa
Un pájaro en una jaula bajaba a la mina para desmayarse primero y avisar del gas invisible. Reconstruimos ese pájaro en software: el canary token, un cebo sin uso legítimo que grita en cuanto alguien …