La empresa:

El incidente:

Visibilidad Norte-Sur

Visibilidad Este-Oeste

Cómo se captura el tráfico

¿Qué es PCAP?

Formato más común: libpcap

Investigadores

Administradores de red

Analistas de seguridad

Respuesta a incidentes

Tcpdump

Wireshark

Tshark

Scapy

Libtins

¿Qué es BPF?

# Ejemplo básico
tcpdump -i eth0 -w archivo.pcap \
  'host 10.10.10.1 and tcp port 443'

Modificadores:

Type (Tipo)

Dir (Dirección)

Proto (Protocolo)

Operadores booleanos:

Funciones:

# Ejemplos combinados
host 10.0.0.1 and tcp port 80

src net 192.168.0.0/16 and \
  dst port 443

tcp and (port 80 or port 443)

Wireshark

Características:

Al abrir un PCAP se puede aplicar un filtro de lectura:

File → Export Objects
Wireshark puede reconstituir y exportar objetos:

Filtros iniciales aplicados:

¿Qué técnica de C2 puede estar usando esto?

ARP Spoofing / Poisoning:

IPv4

IPv6

¿Cuándo ocurre?

Control de fragmentación:

Ataques basados en fragmentacion IP

Motivación:

Mejoras técnicas:

Propósito:

Casos de uso:

Estructura:

Uso malicioso:

TCP

Transmission Control Protocol

UDP

User Datagram Protocol

¿Por qué importa al forense?

¿Por qué importa al forense?

Protocolo ligero y rápido:

Protocolos basados en UDP:

DNS clásico (UDP/53):

DNS sobre TLS (DoT / puerto 853):

DNS sobre HTTPS (DoH / puerto 443):

Señales de alarma:

4 pasos: DISCOVER → OFFER → REQUEST → ACK

Cliente                    Servidor DHCP
  │                              │
  │── DHCPDISCOVER (broadcast) ─►│
  │                              │
  │◄─── DHCPOFFER (unicast) ─────│
  │                              │
  │── DHCPREQUEST (broadcast) ──►│
  │                              │
  │◄───── DHCPACK (unicast) ─────│

Transporte: UDP puerto 67 (servidor) / 68 (cliente)

Wireshark: bootp (v1.x) o dhcp (v2.6+)

Campos clave del paquete:

Extracción con tshark:

# Todas las asignaciones (DHCPACK)
tshark -r cap.pcap -Y "dhcp.option.dhcp == 5" \
  -T fields \
  -e dhcp.ip.your \
  -e dhcp.hw.mac_addr \
  -e dhcp.option.hostname

# Vendor Class + fingerprint (Option 55 y 60)
tshark -r cap.pcap -Y "dhcp" \
  -T fields \
  -e dhcp.hw.mac_addr \
  -e dhcp.option.vendor_class_id \
  -e dhcp.option.param_request_list

El problema central del forense de red:

Cadena de atribución completa:

IP + timestamp exacto
      ↓ DHCP logs (lease activo en ese momento)
   MAC address
      ↓ DHCP Option 12 / DNS inverso
     Hostname
      ↓ Active Directory (dNSHostName → samAccountName)
  Cuenta de usuario
      ↓ RRHH / inventario HW
   Persona física

Puntos críticos:

Rogue DHCP Server

DHCP Starvation

Detección en Wireshark

# Ver todos los servidores que responden (Rogue DHCP)
bootp.option.dhcp == 2        # filtra DHCPOFFER
# Agrupar por dhcp.ip.server → ¿más de uno?

# DHCP Starvation: muchos DISCOVER rápidos
bootp.option.dhcp == 1        # DHCPDISCOVER
# Statistics → Conversations → ver ratio MACs/tiempo

# DHCPNAK: servidor rechaza la petición
bootp.option.dhcp == 6        # DHCPNAK

HTTP (puerto 80)

HTTPS (puerto 443)

Métodos comunes:

FTP — Canal de control cleartext

# Filtros Wireshark
ftp                             # canal de control
ftp-data                        # transferencia de ficheros
ftp.request.command == "STOR"   # uploads (exfiltración)

SMB — Compartición de ficheros Windows

# Write hacia un share = upload
smb2.cmd == 9                     # SMB2 Write
smb2.filename contains "C$"
smb2.filename contains "admin$"

El problema con TLS 1.3:

Solución: SSLKEYLOGFILE

# Linux / Mac
export SSLKEYLOGFILE=~/tls_keys.log

# Windows (permanente)
setx SSLKEYLOGFILE C:\tls_keys.log

# Wireshark:
# Edit → Preferences → Protocols
#   → TLS → Pre-Master-Secret log file

¿Qué es?

Características:

Principio fundamental

¿Cuándo es legal?

Normativa clave (España / UE)

¿Por qué importa la cadena de custodia?

Elementos mínimos al documentar un PCAP:

Seguridad

Troubleshooting

Optimización

Análisis de aplicaciones

Empresa pequeña:

A medida que crece:

En un análisis forense de red, los orígenes de información posibles son:

Full Packet Capture (FPC)

Información de Sesiones

Retos técnicos:

Retos organizativos:

Técnicos:

Contextuales:

La metodología depende de:

Propiedades:

Pre-explotación

Explotación

Post-explotación

Búsqueda de cadenas

# Wireshark
frame contains "password"
http.user_agent contains "curl"

Filtrado de paquetes

# BPF en tcpdump
tcp and host 10.0.0.1 and port 443

Parseo de campos de protocolo

# tshark - extraer campos
tshark -r cap.pcap \
  -T fields \
  -e ip.src -e dns.qry.name

Análisis estadístico

Reconstrucción de sesiones

Análisis de comportamiento

Correlación de fuentes

Servidores DHCP

Servidores DNS

La cadena de explotación:

Preguntas a responder:

Cómo encontrarlo:

Proceso de extracción manual:

Follow TCP Stream → AUTH LOGIN:

IPs activas y su OS por TTL:

Puertos abiertos en el Windows:

Identificar el equipo Apple:

1. Identificar el equipo afectado:

2. Identificar el momento de la infección:

3. Identificar el malware:

1. Equipo afectado:

2. Momento de infección:

3. Malware identificado:

¿Qué es un flow (flujo)?

Resumen de tráfico unidireccional que comparte la quíntupla:

Cada flujo contiene además:

Para qué sirve en forense:

PCAP

*Flows

Baseline

Beaconing

Exfiltración por volumen

¿Por qué FPC?

Casi todas las herramientas de seguridad usan un modelo de seguridad negativa:

Ventajas del FPC:

¿Dónde capturar?

¿Qué almacenar?

¿Durante cuánto tiempo?

El problema no es técnico — es económico:

El cálculo:

0.75 Gbps × 75% uso × 72h retención
= 0.75 × 0.75 × 259200 / 8 / 1024³
≈ 24 TB por enlace

# Archivos ejecutables descargados
http.request.uri matches
  "\.(exe|dll|ps1|bat|vbs)$"

# DGA - Dominios generados algorítmicamente
dns.qry.name matches
  "^[a-z]{15,}\.(com|net|org)$"

# Credenciales en texto claro
frame matches
  "(?i)(password|passwd|pwd)=.{3,}"

# Tráfico de bots automatizados
http.user_agent matches
  "(?i)(bot|crawler|spider|scrapy)"

# SQL Injection en URLs
http.request.uri matches
  "(?i)(union|select|from|where)"

# Exfiltración Base64 vía DNS
dns.qry.name matches
  "^[A-Za-z0-9+/]{30,}="

¿Qué es JA3/JA4?

Malware conocido:

Domain Fronting 2.0

DNS over HTTPS (DoH)

Protocol Tunneling

Time-based Evasion

Protocolos de movimiento lateral:

Autenticación sospechosa

# NTLM: quién se autenticó y desde dónde
ntlmssp.auth.username

# Kerberos: ticket solicitado para qué servicio
kerberos.CNameString
kerberos.sname

# Pass-the-Hash: NTLM sin Kerberos en dominio AD
# → señal de credencial robada o herramienta tipo Mimikatz

RDP desde servidores

# Un servidor web nunca inicia RDP
ip.src == 10.0.1.50 && tcp.dstport == 3389

SMB Admin Shares

# Acceso a shares de administración
smb2.filename contains "admin$"
smb2.filename contains "ADMIN$"
smb2.filename contains "C$"
smb2.filename contains "IPC$"

WMI / WinRM (ejecución remota)

# WMI endpoint mapper → pivoting
tcp.dstport == 135 && ip.src != [admin_range]

# WinRM (PowerShell remoting)
tcp.dstport == 5985 || tcp.dstport == 5986

Detectar malware SIN descifrar payload

Técnicas de Machine Learning:

Herramientas:

¿Qué es HTTP/3?

Desafíos forenses:

El poder de la correlación:

Cuando tenemos volcado de memoria Y PCAP, podemos:

Pipeline:

¿Qué hace Zeek?

Analiza tráfico en tiempo real y genera logs estructurados — no es un IDS, es el motor que "escribe la historia" del tráfico.

Logs clave para forense

conn.log — la base de todo

# Conexiones largas (C2 beaconing)
zeek-cut id.orig_h id.resp_h duration bytes \
  < conn.log | sort -k3 -rn | head -20

# Volumen de datos hacia el exterior
zeek-cut id.orig_h id.resp_h orig_bytes \
  < conn.log | sort -k3 -rn | head -20

files.log — detección de malware

# Ejecutables descargados con su hash
zeek-cut tx_hosts rx_hosts mime_type md5 sha256 \
  < files.log | grep "application/x-dosexec"

dns.log — DGA y tunelización

# Consultas con hostname muy largo (posible DGA o tunelización)
zeek-cut query answers \
  < dns.log | awk 'length($1) > 40'

# Top dominios consultados
zeek-cut query < dns.log | sort | uniq -c | sort -rn

ssl.log — TLS sospechoso

# Certificados self-signed
zeek-cut id.orig_h id.resp_h validation_status \
  < ssl.log | grep "self signed"

# JA3 fingerprint de cliente
zeek-cut id.orig_h ja3 ja3s < ssl.log

Sistema open-source para FPC masivo:

Tres componentes:

# Búsquedas en Arkime (ejemplos):

# TLS 1.3 a IPs rusas
protocols == tls &&
  tls.version == "TLSv1.3" &&
  country == "RU"

# DNS over HTTPS (DoH)
host == cloudflare-dns.com ||
  host == dns.google

# Beaconing detectado
packets >= 50 &&
  bytes < 10000 &&
  duration > 3600

# Exfiltración ICMP
protocols == icmp &&
  bytes.dst > 100000

Session Profile Information — metadatos extraídos de cada sesión:

DNS

HTTP

TLS/SSL

SSH

SMTP

Pipeline de Detección y Respuesta

1. Captura

2. Agregación

3. Detección

4. Investigación

5. Enriquecimiento

6. Respuesta

Query en Arkime:

host == "spotsbill.com"

Resultado hipotético:

Si tuviéramos EDR desplegado:

¿Qué encontramos en los PCAPs?

Herramientas que usamos:

Cabecera e identificación

Resumen ejecutivo

Hallazgos técnicos

IOCs documentados

IP maliciosa:    194.87.234.129
Dominio C2:      spotsbill.com
Hash ejecutable: 3a4f2b... (SHA-256)
Primer contacto: 2024-11-14 22:55:03 UTC

Conclusiones y atribución

Lo que hemos aprendido:

Contacto: mhercol[@]gmail[.]com

AWS

Azure

GCP

Infraestructura tradicional (VMs)

Herramientas clásicas funcionan:
tcpdump, Wireshark, netstat, PCAP directo

Entornos contenerizados

Los retos forenses son nuevos:
visibilidad de red, namespaces, overlay, mTLS

Problema 1: Namespaces de red

Cada pod tiene su propio namespace de red. tcpdump en el host no ve el tráfico interno entre pods del mismo nodo.

Problema 2: Ephemeral by design

Un kubectl delete pod destruye toda evidencia local. Los contenedores son inmutables — no se "parchean", se recrean.

Problema 3: IPs dinámicas

DHCP/IPAM asigna IPs al vuelo. La IP 10.0.1.42 que ves en logs puede pertenecer a 10 pods distintos en el mismo día.

Problema 4: Encapsulación

El tráfico Este-Oeste entre nodos viaja encapsulado en VXLAN (UDP/8472) o Geneve. Capturar en la NIC física muestra encapsulación, no el payload real.

Problema 5: Escala y velocidad

Miles de pods, decenas de nodos. Retención muy corta. Correlacionar un evento pasado con logs de pods ya destruidos es extremadamente difícil.

Problema 6: mTLS en service meshes

Istio/Linkerd cifran todo el tráfico Este-Oeste con mTLS. Sin gestión de claves, el tráfico es opaco.

Istio / Linkerd en modo mTLS

Cada pod tiene un sidecar proxy (Envoy) que intercepta todo el tráfico entrante y saliente y aplica mTLS automáticamente.

Consecuencia forense:

El tráfico entre servicio-A → servicio-B está cifrado aunque ambos servicios estén en la misma red interna.

A diferencia de TLS externo:

No hay un único punto de terminación TLS (como un proxy inverso). Las claves están distribuidas entre todos los sidecars.

Estrategias de visibilidad:

# Captura en el sidecar Envoy (tráfico pre-mTLS):
kubectl exec -it <pod> -c istio-proxy -- \
  tcpdump -i lo -w /tmp/cap.pcap

¿Qué es eBPF?

Extended Berkeley Packet Filter permite ejecutar programas sandboxeados en el kernel de Linux sin modificar el código del kernel.

Para forense de contenedores:

Herramientas basadas en eBPF:

# Ver conexiones TCP de todos los pods en tiempo real:
bpftrace -e 'kprobe:tcp_connect {
  printf("%s -> %s\n", comm,
    ntop(arg0->__sk_common.skc_daddr)); }'

Hubble es el plano de observabilidad de Cilium. Usando eBPF proporciona visibilidad L3/L4/L7 del tráfico entre pods sin modificar aplicaciones ni añadir sidecars.

Capacidades:

# Instalar CLI de Hubble
hubble version

# Ver flujos en tiempo real (todos los namespaces):
hubble observe --all-namespaces

# Filtrar por pod concreto:
hubble observe --pod frontend/nginx-7d9f --follow

# Ver solo conexiones rechazadas (policy violations):
hubble observe --verdict DROPPED

# Flujos DNS para detectar C2:
hubble observe -t l7 --protocol DNS \
  --namespace production

# Exportar a JSON para análisis forense:
hubble observe --output json > flujos-$(date +%Y%m%d).json

Estructura OverlayFS:

/var/lib/docker/overlay2/
  <layer-id>/
    diff/        ← cambios del contenedor (upperdir)
    merged/      ← vista combinada (mountpoint)
    work/        ← directorio interno OverlayFS
    lower        ← referencia a capas inferiores

Evidencia recuperable (si el contenedor aún existe):

# Extraer sistema de archivos de un contenedor vivo:
docker export <container-id> > container-fs.tar

# Inspeccionar la capa de escritura directamente:
LAYER=$(docker inspect <id> \
  --format '{{.GraphDriver.Data.UpperDir}}')
ls -la $LAYER

# Copiar archivo específico del contenedor:
docker cp <container-id>:/tmp/malware.sh ./evidencia/

# Si ya está destruido — buscar en capas de imagen:
docker history <image>:tag
docker save <image> | tar -xv

Cadena de custodia:

# Hash antes de cualquier análisis:
sha256sum container-fs.tar > container-fs.tar.sha256

Fuentes disponibles en entornos contenerizados:

Pipeline de correlación forense:

[Alerta SIEM / Detección Falco]
         │
         ▼
[Kubernetes audit logs]
  → ¿Qué SA/usuario ejecutó el pod?
  → ¿Hubo kubectl exec sospechoso?
         │
         ▼
[Hubble flows / NetFlow del CNI]
  → ¿A qué IPs se conectó el pod?
  → ¿Qué puertos y protocolos?
         │
         ▼
[PCAP con nsenter/ksniff]
  → Contenido de las conexiones sospechosas
         │
         ▼
[OverlayFS / docker export]
  → ¿Qué archivos dejó el atacante?

Captura de tráfico:

Detección y alertas:

Análisis de sistema de archivos:

Plano de control:

Regla de oro en contenedores:

La evidencia es efímera — capturar antes de que el pod desaparezca. Automatizar la respuesta con Falco + hooks de preservación de evidencia.

Visualización secuencial

Las capas aparecen encapsuladas y ordenadas por bytes dentro del paquete.

Base 10 (Decimal)

Base 2 (Binario)

Base 16 (Hexadecimal)

1100 0110
 ↓    ↓
 C    6

Fundamental para leer cabeceras de protocolos en bruto

pcap (clásico)

pcapng (moderno, desde 2004)

# pcapng → pcap
editcap -F pcap \
  archivo.pcapng archivo.pcap

# pcap → pcapng
editcap -F pcapng \
  archivo.pcap archivo.pcapng

Wireshark guarda en pcapng por defecto — convertir si hay problemas de compatibilidad

Bloques en pcapng:

Section Header Block (SHB)

Interface Description Block (IDB)

Enhanced Packet Block (EPB)

Simple Packet Block (SPB)

Name Resolution Block (NRB)

Interface Statistics Block (ISB)

Mergecap — Combinar PCAPs

# Combinar múltiples archivos
mergecap -w salida.pcap \
  archivo1.pcap archivo2.pcap

# Múltiples interfaces en pcapng
mergecap -w salida.pcapng \
  eth0.pcap wlan0.pcap

# Ordenar por timestamp
mergecap -w salida.pcap \
  -F pcap *.pcap

Útil para consolidar capturas de múltiples sensores

Capinfos — Información del PCAP

capinfos captura.pcap
capinfos -T captura.pcap  # tabla
capinfos -l captura.pcap  # largo

Muestra:

Conjunto de estándares del IEEE:

Ethernet II (el más común en redes corporativas):

Diseñado para:

Propiedades:

Tamaño y calidad de servicio:

Fragmentación e integridad:

Redes WiFi (WLAN)

Switches (Capa 2)

Función:

Información forense:

Servidores de Autenticación (AD/LDAP/RADIUS)

NIDS/NIPS

Firewalls (NGFW)

Proxies Web

Servidores de Aplicación

SIEM / Logs Centralizados

SNMP (polling)

NetFlow (push)

Fuentes:

Network TAPs (preferido)

NICs de captura

Filtrado BPF en captura

Packet Brokers

ARP (Address Resolution Protocol)
Protocolo que mapea una IP a su dirección MAC en la red local. Vulnerable a ARP spoofing.

Beaconing
Comunicación periódica de un malware con su servidor C2. Patrón: intervalos regulares, pocos bytes.

BPF (Berkeley Packet Filter)
Sintaxis de filtrado de paquetes usada por tcpdump y Wireshark. Opera a nivel de kernel.

C2 (Command & Control)
Infraestructura usada por el atacante para controlar el malware instalado en la víctima.

Cadena de custodia
Registro documental de quién ha tenido acceso a una evidencia desde su recogida hasta el juicio.

DGA (Domain Generation Algorithm)
Técnica de malware que genera dominios C2 automáticamente para dificultar el bloqueo.

ETA (Encrypted Traffic Analysis)
Análisis del tráfico cifrado sin descifrarlo, usando metadatos como tamaño y timing.

Flow / NetFlow
Resumen de una conversación de red: IPs, puertos, protocolo, bytes y paquetes. Menos detalle que PCAP pero mucho más ligero.

FPC (Full Packet Capture)
Captura completa de todos los paquetes, incluyendo payload. Máximo detalle forense.

Fragmentación IP
División de un paquete IP en trozos más pequeños cuando supera el MTU. Puede usarse para evadir IDS.

GDPR / RGPD
Reglamento General de Protección de Datos. Rige el tratamiento de datos personales en la UE, incluidos los capturados en tráfico de red.

Hash (SHA-256)
Huella digital de un fichero. Se usa para verificar que una evidencia no ha sido alterada.

IOC (Indicator of Compromise)
Señal de que un sistema ha sido comprometido: IP maliciosa, hash de malware, dominio C2.

JA3 / JA4
Huella digital del TLS ClientHello. Permite identificar el cliente TLS sin descifrar el tráfico.

Kill Chain
Modelo que describe las fases de un ataque: reconocimiento, entrega, explotación, instalación, C2, movimiento lateral, exfiltración.

Lateral Movement
Técnica del atacante para moverse de un sistema a otro dentro de la red comprometida.

Movimiento Norte-Sur
Tráfico entre la red interna y el exterior (Internet). Cruce del perímetro.

Movimiento Este-Oeste
Tráfico interno entre sistemas de la misma red. Más difícil de monitorizar que el Norte-Sur.

mTLS (Mutual TLS)
Variante de TLS donde tanto cliente como servidor se autentican con certificados.

PCAP (Packet Capture)
Fichero que contiene paquetes de red capturados. Formato más común: libpcap / pcapng.

Perfect Forward Secrecy (PFS)
Propiedad de TLS 1.3: cada sesión usa claves efímeras. Impide descifrar capturas pasadas si se compromete la clave privada.

Pivot
Movimiento del analista de una fuente de datos a otra siguiendo una pista: de alerta SIEM a PCAP en Arkime.

Proxy
Intermediario entre cliente e Internet. Puede ser punto de captura y control de tráfico.

QUIC / HTTP/3
Protocolo de transporte sobre UDP que reemplaza a TCP para HTTP/3. Dificulta el análisis forense clásico.

REGEX (Regular Expression)
Patrón de búsqueda de texto. En Wireshark se usan con matches para detectar patrones en el payload.

SPAN Port (Switch Port Analyzer)
Puerto de un switch configurado para recibir copias del tráfico de otros puertos. Alternativa económica al TAP.

SSLKEYLOGFILE
Variable de entorno que hace que el navegador exporte las claves de sesión TLS. Permite descifrar PCAPs en Wireshark.

SYN scan / Port scan
Técnica de reconocimiento que envía SYN a múltiples puertos para detectar servicios abiertos sin completar el handshake.

TAP (Test Access Point)
Dispositivo hardware que intercepta y copia el tráfico de red de forma pasiva e indetectable.

Threat Hunting
Búsqueda proactiva de amenazas usando hipótesis, antes de que se genere una alerta.

TLS (Transport Layer Security)
Protocolo de cifrado de la capa de transporte. La versión 1.3 es el estándar actual.

TTL (Time To Live)
Campo del paquete IP que indica cuántos saltos puede dar antes de descartarse. Útil para inferir el OS origen.

Wireshark
Herramienta gráfica de análisis de paquetes de red. Estándar de facto en forense de red.

Zeek (antes Bro)
Framework de análisis de red que genera logs estructurados por protocolo a partir de PCAP o tráfico en vivo.

Zero Trust
Modelo de seguridad que no confía en ningún nodo por defecto, incluso dentro de la red corporativa. Implica cifrado ubicuo y microsegmentación.