Modelamos al
adversario
que tus herramientas
no están hechas para ver

[ artefacto ] ROE firmadas · actor de amenaza concreto · mapa de activos críticos

Objetivos, límites y reglas de enfrentamiento, acordados y firmados antes de que se mueva un solo paquete. Elegimos el actor de amenaza que de verdad preocupa a tus reguladores.

[ artefacto ] Registro de campaña: cada acción con marca de tiempo, desconflictada y atribuible

Operamos como el actor de tu modelo de amenaza: con paciencia, sin ruido y con imaginación. Herramientas propias donde las de catálogo hacen saltar el EDR. Tradecraft, no ruido.

[ artefacto ] Hallazgos priorizados · PoC funcional por hallazgo · grafo de ruta crítica

Cada paso queda registrado sobre la marcha. Cada hallazgo lleva una PoC reproducible, el radio de impacto que habría tenido si el actor hubiera seguido, y las capturas que lo demuestran.

[ artefacto ] Ruta de corrección y observable por hallazgo

Entregamos a tu blue team la ruta de corrección y el observable que debería haber generado cada paso, mapeado sobre MITRE ATT&CK. Es lo que necesita un ingeniero de detección, en el formato en que lo necesita.

[ artefacto ] Informe de re-test · confirmación de ruta cerrada

Una sesión de trabajo con tus ingenieros: reproducir, cerrar, verificar. Repetimos la ruta de ataque hasta que muere.

[ artefacto ] Hoja de alcance · credenciales emitidas · ventanas de exclusión

Inventario de activos, acceso al entorno y ventanas de prueba acordadas. Definimos qué entra en alcance hasta el nivel de hostname, y qué cuenta como hallazgo bloqueante.

[ artefacto ] Registro de pruebas · matriz de cobertura por superficie

Pasadas autenticadas y sin autenticar sobre la superficie cloud, de red y de aplicación. Trabajo manual donde los escáneres se detienen: lógica de negocio, encadenamiento y límites de confianza.

[ artefacto ] Hallazgos priorizados · petición de PoC por hallazgo

Cada problema se reproduce dos veces, con la petición y la respuesta capturadas y el radio de impacto establecido antes de que llegue al informe.

[ artefacto ] Ruta de corrección · condición de regresión por hallazgo

Remediación escrita para el equipo que mantiene el código: la corrección a nivel de parche, las concesiones que implica y la condición que debes afirmar en tu propia suite para que falle si el bug vuelve.

[ artefacto ] Informe de re-test · certificación de cierre verificado

Re-test de todo lo cerrado. El informe se reemite con el estado verificado de cada hallazgo.

[ artefacto ] Especificación · reglas de contención · diseño del kill switch

Especificación de la capacidad, stack de EDR objetivo y reglas de contención de la construcción: qué puede tocar, dónde puede ejecutarse y cómo muere.

[ artefacto ] Capacidad compilada · notas de build · análisis de superficie de detección

Loaders e implants escritos para tu entorno y probados contra el EDR exacto que ejecutas. Recibes la capacidad compilada y la documentación para operarla; el código fuente es nuestro y sigue siéndolo.

[ artefacto ] Informe de comportamiento · conjunto de IOC · lista de huecos de telemetría

Evidencia de comportamiento: qué hace la muestra, qué deja detrás y qué vio realmente tu telemetría en cada etapa.

[ artefacto ] Contenido de detección · notas de técnica que sobreviven a una reescritura

Traspaso a ingeniería de detección con lo necesario para cazar esta clase de herramienta, no solo esta compilación.

[ artefacto ] Registro de destrucción · re-test contra recompilación

Muestra e infraestructura destruidas al finalizar, con confirmación por escrito. Las detecciones se vuelven a probar contra una recompilación limpia.

[ artefacto ] Backlog de detección · inventario de telemetría

Los objetivos de detección salen de tu registro de riesgos real, junto con la telemetría que se nos permite leer y los huecos que ya sospechas.

[ artefacto ] Registro de ejecución de técnicas · capturas de telemetría en bruto

Técnicas ejecutadas codo con codo con tu SOC: anunciadas, repetidas y ajustadas hasta que la señal queda limpia y el ruido desaparece.

[ artefacto ] Mapa de calor de cobertura · corpus de verdaderos positivos

Por cada técnica: qué disparó, qué no y por qué. La cobertura se mide contra ATT&CK en lugar de afirmarse.

[ artefacto ] Reglas probadas · arnés de reproducción

Reglas escritas, ajustadas y entregadas en el formato que consuma tu stack, cada una con un arnés de reproducción que tu equipo puede volver a ejecutar.

[ artefacto ] Ejecución de validación · informe de fidelidad de alertas

Volvemos a ejecutar el conjunto de técnicas contra las reglas nuevas y confirmamos que todas disparan en producción, con la severidad correcta.

[ artefacto ] Hoja de alcance · roles de auditoría · guardrails

Cuentas, suscripciones y proyectos dentro del alcance. Roles de auditoría de solo lectura emitidos, y guardrails de producción acordados por escrito.

[ artefacto ] Grafo de privilegios de IAM · rutas de ataque candidatas

Enumeración completa del grafo de identidad y después recorrido de las cadenas de privilegios entre cuentas y servicios, hasta que una ruta llega a los datos.

[ artefacto ] Rutas de ataque · traza de llamadas API por salto

Cada ruta se recorre de principio a fin con las llamadas a la API registradas, para que tu equipo pueda repetirla en un sandbox en vez de creernos.

[ artefacto ] Diff de política por hallazgo · hoja de ruta de hardening

Diffs de política, no consejos: la sentencia exacta que hay que cambiar, con notas sobre el radio de impacto del propio cambio.

[ artefacto ] Diff de reenumeración · confirmación de ruta cerrada

Volvemos a recorrer el grafo después de tus cambios. Confirmamos que la cadena está rota y que no se ha abierto ninguna ruta nueva detrás.

[ artefacto ] Modelo de amenaza · inventario de herramientas · mapa de flujo de datos

Modelo, superficie de herramientas y límites de datos mapeados: qué se le puede pedir al sistema, a qué puede llamar y hasta dónde alcanza.

[ artefacto ] Corpus de ataque · registro de cadenas con éxito

Prompting adversarial, inyección indirecta a través de contenido recuperado y cadenas de abuso de herramientas por parte del agente, ejecutadas contra el stack real.

[ artefacto ] Cadenas reproducibles · impacto por cadena

Cada cadena que funciona se reproduce con el prompt exacto, el contexto recuperado y las llamadas a herramientas que la provocaron.

[ artefacto ] Diffs de guardrails · suite de evaluación de regresión

Cambios en los guardrails, diffs de permisos de herramientas y casos de evaluación que fallan de forma ruidosa si el comportamiento vuelve.

[ artefacto ] Informe de reejecución · suite de evaluación entregada

Volvemos a ejecutar el corpus contra el sistema parcheado. Cualquier regresión reabre el hallazgo en lugar de cerrar la operación.