Casi dejamos pasar un ataque de movimiento lateral durante una respuesta a incidentes. Estábamos enfocados en el vector de acceso inicial, el phishing, la credencial comprometida, cómo entró el atacante. Era lo obvio. Era lo que todos querían saber. Pero lo obvio es exactamente lo que ciega a un equipo de IR.
Lo obvio que ciega: foco en el acceso inicial
En Tech86 estábamos mapeando la kill chain desde el punto de entrada. Todo tenía sentido. El phishing llevó a una credencial comprometida, la credencial llevó a una sesión activa, la sesión llevó al servidor inicial. La narrativa era limpia y lineal, exactamente el tipo de narrativa que hace que un equipo deje de buscar.
Según Mandiant M-Trends, el tiempo promedio de detección de movimiento lateral es de 14 días. No porque el movimiento lateral sea invisible, sino porque los equipos de IR priorizan el acceso inicial. El atacante entra, el equipo pregunta "¿cómo entró?", y mientras todos miran la puerta principal, el atacante ya se está moviendo por los pasillos. Ese es el patrón. Estábamos a punto de repetirlo.
El descubrimiento: un segundo conjunto de actividades
La diferencia fue un analista que cuestionó el consenso. Al cruzar datos de identidad con telemetría de endpoint, se dio cuenta: había un segundo conjunto de actividades que no pertenecía al mismo actor. Movimiento lateral vía WMI. Pasando por 47 políticas de microsegmentación aparentemente intactas.
WMI es un vector de movimiento lateral frecuentemente descuidado. Es legítimo, es nativo de Windows, y la mayoría de las herramientas de EDR no alerta sobre su uso porque se mezcla con el ruido administrativo normal. Según Unit 42, el 87% de los incidentes solo se hace visible cuando se cruzan identidad, endpoint y nube. Estábamos mirando solo identidad y endpoint, y aun así casi lo perdemos. Faltaba la capa de nube para confirmar que el segundo conjunto de actividades era real.
La política 23 y la excepción heredada de 18 meses
Cuarenta y siete políticas de microsegmentación aparentemente intactas. Aparentemente. Cuando las auditamos una por una, la política 23 tenía una regla allow demasiado amplia. Una excepción temporal creada 18 meses antes, nunca revocada. Por ella pasaba un camión.
La microsegmentación es una arquitectura defensiva poderosa cuando está bien implementada. Pero su punto débil no es la configuración inicial, es el deterioro con el tiempo. Las excepciones temporales se vuelven permanentes. Las reglas allow amplias permanecen porque nadie quiere romper algo que funciona. La política 23 fue creada para un proyecto de migración en enero de 2025. El proyecto terminó en marzo de 2025. La excepción permaneció hasta julio de 2026. Dieciocho meses de una puerta abierta que nadie recordaba que existía.
Según Sophos X-Ops, hay registros de ransomware que borró los Windows Event Logs específicamente para destruir rastros de movimiento lateral. El atacante no necesita zero-days cuando la defensa borra sus propias evidencias por negligencia. La excepción heredada es el equivalente defensivo de dejar la puerta abierta y tirar la llave.
Lo que dicen los datos: Mandiant, Unit 42, Sophos X-Ops
Los datos externos confirman que lo que vivimos no fue un caso aislado. Según Mandiant M-Trends, el tiempo promedio de detección de movimiento lateral es de 14 días porque los equipos de IR priorizan el acceso inicial. Catorce días es tiempo suficiente para que un atacante atraviese toda la infraestructura, establezca persistencia en múltiples sistemas y prepare el terreno para ransomware o exfiltración.
Según Unit 42, el 87% de los incidentes solo se hace visible cuando se cruzan identidad, endpoint y nube. Mirar una sola capa es mirar una fracción del panorama. El movimiento lateral vive en los bordes entre capas, es exactamente donde ninguna herramienta individual mira.
Según Sophos X-Ops, hay casos documentados de ransomware que borró los Windows Event Logs para destruir rastros de movimiento lateral. El atacante entiende que el log es la evidencia. Sin log no hay investigación. Sin investigación no hay contención eficaz.
Cómo cambiamos la metodología en Tech86
Después de ese incidente, cambiamos la metodología en Tech86. Toda respuesta a incidentes ahora tiene una línea paralela de investigación de movimiento lateral desde el minuto cero, independientemente del vector de entrada. No esperamos a terminar el análisis del acceso inicial para empezar a buscar movimiento lateral. Las dos líneas corren en paralelo.
Y toda política de microsegmentación se audita por excepciones heredadas antes de la contención. No basta con confirmar que las políticas existen, hay que confirmar que hacen lo que deberían hacer, y que ninguna excepción temporal se volvió permanente. La auditoría de excepciones es ahora una etapa obligatoria, no opcional.
Aprenderlo de la manera difícil es lo que nos hace mejores en lo que hacemos. El analista que cuestionó el consenso salvó esa respuesta a incidentes. La lección no es que seamos infalibles, es que la disciplina de cuestionar el consenso es lo que separa una respuesta a incidentes completa de una que solo confirma lo que todos ya esperaban.
Conclusión
El movimiento lateral es la fase del ataque en la que el atacante ya está adentro y en movimiento. Es la fase más difícil de detectar y la más fácil de descuidar. Según Mandiant M-Trends, 14 días es el promedio, y 14 días es mucho tiempo. En Tech86 aprendimos que la única defensa contra el movimiento lateral es una línea de investigación paralela desde el minuto cero, cruzando identidad, endpoint y nube, y auditando cada excepción heredada antes de la contención. Si está en una respuesta a incidentes ahora y solo está mirando el acceso inicial, deténgase. Empiece a buscar movimiento lateral. El atacante ya se está moviendo.