El que llama a casa a la misma hora
Un implante que se conecta cada sesenta segundos, con el mismo peso de paquete y un User-Agent que ningún navegador escribió jamás, tiene un problema que ninguna capa de TLS le arregla: la …
#Detection-Engineering
El campo que delata al impostor
El cuerpo de un correo de fraude está redactado para convencerte: no lo vas a atrapar leyéndolo, porque el texto es lo único que el impostor escribe bien. La verdad está en la cabecera, el backstage …
El que ya está adentro no tiene que entrar
El insider no fuerza ninguna puerta: ficha, entra con su tarjeta y roba con permiso. Usa credenciales legítimas y accesos autorizados, así que no hay intrusión que detectar — solo una desviación de …
⟐ Arquitectura de un SOC MDR
Arquitectura de un SOC MDR · II — Telemetría: qué mira un SOC y cómo se decide
Un SOC no puede ver todo, y fingir que sí es la forma más cara de no ver nada. Segunda entrega de la serie: el catálogo de telemetría como plano — treinta fuentes en siete dominios, cómo se prioriza …
⟐ Arquitectura de un SOC MDR
Arquitectura de un SOC MDR · I — Onboarding: cómo se adopta un cliente
Un servicio de detección y respuesta gestionada no empieza el día que llega la primera alerta: empieza semanas antes, en un proceso de adopción con siete fases, compuertas de calidad y una matriz de …
Anatomía de un control
Una auditoría encuentra una regla de firewall de 2014 que protege un servidor apagado en 2016: un control que lleva una década «funcionando» sin bloquear ni permitir nada. Sobre la anatomía de un …
El cebo que llama a casa
Un pájaro en una jaula bajaba a la mina para desmayarse primero y avisar del gas invisible. Reconstruimos ese pájaro en software: el canary token, un cebo sin uso legítimo que grita en cuanto alguien …
Del alert al veredicto
La alerta no es un incidente: es una acusación hecha por un autómata con visión parcial. Todo lo que importa pasa en la distancia entre esa acusación y el veredicto — y el objeto de estudio, a …
⟐ Blue Team
Anatomía de una capacidad (Parte 0): cómo se lee una regla de capa
Arranca una serie de estudio sobre capa-rules, el ruleset abierto de Mandiant que traduce lo que hace un binario a una lista de capacidades. Parte 0: qué es una regla de capa por dentro —meta, …
⟐ Nightmare Eclipse
Nightmare Eclipse
Síntesis defensiva de la campaña Nightmare Eclipse: ocho zero-days, una sola clase de vulnerabilidad (TOCTOU + oplock + junction → WER), mapa MITRE e ingeniería de detección (Sigma/KQL/YARA).