Las dos últimas fases del adversario: exfiltración (sacar los datos de la red sin disparar alarmas) y cobertura de huellas (borrar el rastro para dificultar la investigación posterior).
Exfiltración sigilosa
Mover datos hacia afuera llama la atención si se hace de golpe. El operador lo evita:
- Comprimir y cifrar los datos antes de sacarlos.
- Fragmentar y enviar de a poco (low and slow).
- Disfrazar el canal: subir a servicios en la nube comunes, esconder datos en DNS o HTTPS, mezclarse con tráfico legítimo.
Del lado defensivo, las soluciones de DLP (Data Loss Prevention) y el monitoreo de tráfico saliente buscan justamente transferencias inusuales hacia el exterior.
Cobertura de huellas (anti-forense)
- Borrar o alterar logs locales del sistema.
- Eliminar archivos temporales, herramientas y persistencia ya usada.
- Manipular marcas de tiempo (timestomping) para confundir la línea temporal.
Por qué hoy es más difícil: muchos sistemas envían sus registros en tiempo real a un SIEM central. Una vez que el log salió de la máquina, el atacante ya no puede borrarlo. Esa centralización es una de las mejores defensas contra el anti-forense.
Cierre del pilar
El Red Team recorre el ciclo completo del adversario: acceso → enumeración → ataque → C2 → evasión → persistencia → movimiento lateral → exfiltración. Conocer este recorrido es la base para defenderse: justo de eso trata el pilar de SOC y Blue Team.