Investigación de Movimiento Lateral en Entornos de Dominio de Windows

¿Qué es el Movimiento Lateral?

El tema '¿Qué es el movimiento lateral?' es una parte central del trabajo sobre la investigación de Movimiento Lateral. Se recomienda desglosarlo en tres preguntas: ¿Cuál es la entrada?, ¿Qué decisión se quiere tomar?, y ¿Qué evidencia es suficiente para justificarla? Estas preguntas evitan el uso automático de una herramienta sin entender el propósito.

En la práctica, registre los tipos de inicio de sesión 4624 (3/10), credenciales explícitas 4648, instalación de servicios 7045, recursos compartidos 5140/5145, administración remota, compare con el comportamiento esperado y defina al menos un Pivot. El resultado debe ser verificable por otro analista, incluidas las limitaciones y los pasos siguientes.

Fuentes de Logs para cada Protocolo

En esta etapa, se definen las pruebas necesarias para responder a la pregunta de investigación. Para la investigación de Movimiento Lateral, los puntos base son el ID de Evento y el Proveedor, Equipo, Usuario e ID de Inicio de Sesión, Proceso, Padre y Línea de Comandos, IP de Origen, Estación de Trabajo y Tipo de Inicio de Sesión. Para cada fuente se registran el propietario, el rango de retención, la zona horaria, el retraso de ingesta y los campos que pueden faltar.

La calidad de la recolección no se mide por el hecho de que el log 'llega'. Se debe verificar la Integridad, la Latencia, el Análisis, los Eventos Duplicados y la Sincronización de Tiempo. Una prueba Canary o un evento de laboratorio conocido permite verificar que la acción apareció en la fuente, pasó por el Pipeline y se puede buscar en los campos correctos.

Conexión de Host de Origen a Destino

Una implementación correcta comienza con los requisitos y no con los valores predeterminados. Se definen los Casos de Uso soportados, el volumen de datos, quién administra la configuración y el mecanismo de Rollback. En la investigación de Movimiento Lateral, se debe separar la configuración que genera Telemetry de la configuración que la filtra o enriquece.

Después de la configuración, se realiza una prueba controlada con un dato esperado, se verifica que el evento se registró, que los campos centrales existen y que el cambio no generó sobrecarga o un punto ciego. Cada cambio se guarda en una versión, con fecha, propietario, motivo y resultado de la prueba.

Reutilización de Cuenta y Línea de Tiempo

La línea de tiempo es la columna vertebral de la investigación de Movimiento Lateral. Los tiempos se normalizan a UTC o se indica explícitamente la zona horaria, se guardan tanto el tiempo del evento como el tiempo de ingesta, y los eventos se conectan mediante identificadores estables. La fila debe incluir tiempo, fuente, entidad, acción, resultado y confiabilidad.

Una brecha o contradicción no es un error en el documento sino un hallazgo. La deriva del reloj, el retraso de ingesta, NAT, la reutilización de PID o una sesión continua pueden cambiar el orden. Por lo tanto, se indican rangos de incertidumbre y se mantiene un enlace de retorno a la evidencia bruta.

Alcance y Contención

La respuesta a la investigación de Movimiento Lateral debe reducir el riesgo sin eliminar la evidencia que aún se necesita. Comience con una acción reversible y enfocada, confirme la propiedad y la autoridad, y documente la hora, el ejecutor y el resultado.

La corrección a largo plazo aborda la raíz: permisos, configuración, Validación, Telemetry, proceso o capacitación. Después de la implementación, realice una nueva prueba y monitoree las señales de recurrencia, en lugar de conformarse con cerrar el Ticket.

Puntos de Inspección Específicos

En este tema, se recomienda construir de antemano un mapa de evidencias enfocado. Los puntos de inspección centrales son: tipos de inicio de sesión 4624 (3/10), credenciales explícitas 4648, instalación de servicios 7045, recursos compartidos 5140/5145, administración remota. La lista no es una lista de verificación automática; cada elemento se elige porque puede vincular una entidad, una acción y un tiempo, o explicar un comportamiento legítimo.

• 4624 Tipos de inicio de sesión 3/10: Defina el valor esperado, qué se considerará anómalo y qué otra fuente confirmará el hallazgo.
• 4648 Credenciales explícitas: Defina el valor esperado, qué se considerará anómalo y qué otra fuente confirmará el hallazgo.
• 7045 Instalación de servicio: Defina el valor esperado, qué se considerará anómalo y qué otra fuente confirmará el hallazgo.
• 5140/5145 Compartidos: Defina el valor esperado, qué se considerará anómalo y qué otra fuente confirmará el hallazgo.
• Administración remota: Defina el valor esperado, qué se considerará anómalo y qué otra fuente confirmará el hallazgo.

Cuando uno de los puntos no esté disponible, se debe documentar la brecha y elegir una alternativa. Por ejemplo, si el identificador de proceso no es estable, se puede utilizar el tiempo, el Host, el Usuario y el Padre; si la Carga útil está cifrada, se utilizan Metadatos, volumen, frecuencia y contexto TLS/DNS.

Proceso de Trabajo Recomendado

1. Defina el Alcance y una pregunta de trabajo sobre la investigación de Movimiento Lateral.
2. Registre las fuentes de datos y las pruebas necesarias: tipos de inicio de sesión 4624 (3/10), credenciales explícitas 4648, instalación de servicios 7045, recursos compartidos 5140/5145.
3. Cree una línea de base corta de comportamiento normal o resultado esperado.
4. Realice la prueba mínima en un entorno de laboratorio y guarde el tiempo, la entrada y la salida.
5. Construya una línea de tiempo o una tabla de comparación y separe los hechos de la interpretación.
6. Realice un Pivot a una fuente adicional para confirmar o refutar la explicación inicial.
7. Resuma la decisión, las limitaciones, la acción recomendada y el criterio de Retest.

Escenario Práctico

El escenario elegido es la reconstrucción de la ruta desde tres estaciones y una cuenta. El propósito del ejercicio no es demostrar una capacidad de ataque, sino practicar la recopilación, comparación y documentación de forma segura. Antes de comenzar el trabajo, se definen datos simulados, una ventana de tiempo y un resultado esperado.

Al final del ejercicio, se debe entregar un producto que otro analista o revisor pueda criticar: una captura de pantalla o Exportación de la evidencia, una línea de tiempo corta, una suposición inicial, una evidencia de confirmación, una limitación y una recomendación. Cuando no hay suficiente evidencia, la conclusión correcta es que el escenario no fue probado.

Lista de Verificación Práctica

• ✓Verifique y documente: ID de Evento y Proveedor.
• ✓Verifique y documente: Equipo, Usuario e ID de Inicio de Sesión.
• ✓Verifique y documente: Proceso, Padre y Línea de Comandos.
• ✓Verifique y documente: IP de Origen, Estación de Trabajo y Tipo de Inicio de Sesión.
• ✓Verifique y documente: Cambios de Grupo/Privilegios.
• ✓Verifique y documente: Sysmon ProcessGuid o SessionGuid.
• ✓Indique la zona horaria, la versión de la herramienta y la hora de recopilación.
• ✓Guarde los datos brutos antes de filtrar o modificar.
• ✓Escriba lo que el hallazgo prueba y lo que aún se desconoce.
• ✓Defina el propietario y la acción de seguimiento con fecha límite.

Errores Comunes

• Confiar en el ID de Evento sin campos.
• Confundir el inicio de sesión con el origen del ataque.
• Ignorar el Tipo de Inicio de Sesión.
• Vincular Procesos solo por PID.
• Asumir que todo PowerShell es malicioso.
• Cerrar un evento sin verificar el Controlador de Dominio.

Resumen y CTA

La investigación de Movimiento Lateral en un entorno de dominio de Windows es un tema que conecta el conocimiento técnico con la disciplina de trabajo. Comience con una pregunta, recopile solo evidencia relevante, mantenga el contexto y el tiempo, y elija una acción que se pueda justificar y volver a probar.

En el programa Cybersecurity & AI de HPI, estos principios se practican utilizando sistemas, logs y laboratorios. Una continuación natural es pasar a los artículos vinculados, realizar el ejercicio de laboratorio y guardar el producto como parte de un portafolio profesional.

Preguntas frecuentes