Arribem a l'última lliçó del Mòdul 5, i també a la més delicada d'enquadrar. La "cobertura de petjades" és el que un atacant real fa al final d'una intrusió: esborrar o manipular els registres perquè la víctima no sàpiga què va passar, quan ni com. En un curs professional això no s'ensenya com un tutorial per escapar d'una investigació. S'ensenya al revés: perquè el defensor sàpiga quines tècniques anti-forense existeixen, per què es fan servir i —això és el protagonista— com garanteix la integritat i la traçabilitat dels seus registres perquè aquest esborrat no funcioni. El pentester estudia aquestes tècniques per dos motius legítims: (a) per provar si el SOC de TechNova les detecta, si el RoE ho contempla, i (b) per recomanar controls d'integritat dels logs a l'informe.

I aquí va l'afirmació més important de la lliçó, que ha de quedar claríssima: el pentester professional NO oculta la seva activitat al client. Al contrari, manté un registre auditable de totes les seves accions —bitàcola, marques de temps, artefactes documentats (recorda 05-02)— i el lliura. No esborra logs per "sortir net"; deixa rastre a propòsit perquè TechNova pugui reconstruir exactament el que va fer. Les tècniques anti-forense es fan servir només com a prova controlada de detecció, mai per enganyar el client ni per eludir una investigació real. Amb aquesta regla al davant, entrem.

1. Anti-forense: què és i per què un atacant l'utilitza
2. Per què el pentester professional deixa rastre (i no l'oculta)
3. Tècniques anti-forense (perquè el defensor les conegui)
4. El costat defensiu, protagonista: integritat i traçabilitat
5. Reenviament centralitzat i logging immutable (WORM)
6. Provar la detecció del SOC, si el RoE ho contempla
7. Errors comuns i consells (inclosos els ètics)
8. Exercicis
9. Conclusió

L'anti-forense engloba les tècniques que dificulten o impedeixen una investigació forense: esborrar logs, alterar marques de temps, netejar historials, eliminar artefactes. Un atacant real les fa servir per una raó: guanyar temps i negar evidència. Si l'equip de resposta no pot saber quan va entrar, què va tocar o des d'on, la contenció i l'atribució es tornen molt més difícils.

Per al defensor, la conclusió és directa i dona forma a tota la lliçó: si l'evidència viu només a l'host que l'atacant controla, l'atacant la pot destruir. La defensa robusta consisteix que l'evidència no depengui de l'host compromès. Aquest és el fil que recorre tot el que segueix.

Convé subratllar-ho abans de veure cap tècnica, perquè marca la diferència entre un professional i un intrús:

• Traçabilitat per al client: TechNova ha de poder reconstruir cada acció del pentester. Per això es manté una bitàcola amb hores, comandes rellevants, hosts tocats i artefactes creats (els mateixos que a 05-02 es documenten i reverteixen).
• Seguretat jurídica i d'abast: el rastre auditable demostra que el pentester es va mantenir dins de l'scope. Esborrar-lo destruiria la seva pròpia coartada i seria, en si mateix, una mala pràctica greu.
• No contaminar una investigació real: si durant l'engagement aparegués activitat d'un atacant autèntic, el pentester no ha d'esborrar res —ha de preservar l'evidència i avisar. Manipular logs podria destruir proves d'un incident real.
• El valor és a la detecció, no al sigil·li: l'objectiu no és "no ser vist", sinó mesurar la capacitat de TechNova de veure't. Amagar-se per defecte va contra l'encàrrec.

En resum: el pentester deixa petjades a propòsit. Les tècniques d'aquest tema s'estudien per defensar-se'n, no per practicar-les contra el client.

El defensor no pot detectar allò que no entén. Aquesta taula cataloga les tècniques —què són, per què les faria servir un atacant i, protagonista, com les neutralitza el defensor. No hi ha comandes operatives de destrucció: el focus és la defensa.

El patró, un altre cop: cada tècnica ataca l'evidència local, i cada defensa consisteix a tenir l'evidència fora de l'abast de l'host o a detectar l'intent de manipular-la.

Aquí és el cor de la lliçó. Perquè la cobertura de petjades no funcioni, TechNova necessita garantir dues propietats dels seus registres:

• Integritat: que un log no es pugui alterar ni esborrar sense que es noti. S'aconsegueix amb emmagatzematge immutable, signatures/hashos encadenats i controls d'accés estrictes.
• Traçabilitat: que es pugui reconstruir qui va fer què i quan, de principi a fi. S'aconsegueix amb logging complet, marques de temps fiables (NTP) i correlació al SIEM.

La idea clau, visual: tan bon punt un esdeveniment es genera, surt de l'host cap a un SIEM central que l'atacant no controla. Encara que després esborri els logs locals, la còpia ja és fora de perill i, a més, el seu intent d'esborrat pot haver disparat una alerta. L'host compromès es tracta com a font no fiable —el mateix principi que vam veure davant dels rootkits a 05-02.

Les dues mesures tècniques que sostenen tot l'anterior, amb la contrapartida com a protagonista:

Reenviament centralitzat de logs. Cada host envia els seus esdeveniments, a mesura que es generen, a un col·lector/SIEM central. Així l'evidència deixa de viure només on l'atacant pot tocar-la.

Amb aquesta única línia, l'esborrat local perd gairebé tot el seu valor: els esdeveniments ja estan replicats fora. Logging immutable / WORM (Write Once Read Many) va un pas més enllà: l'emmagatzematge del SIEM es configura perquè els registres, un cop escrits, no es puguin modificar ni esborrar durant un període de retenció —ni tan sols per un administrador compromès. Afegir encadenament per hash (cada bloc de logs signa l'anterior) permet a més demostrar que no hi ha hagut manipulació: si un registre canvia, la cadena de hashos es trenca i salta l'alerta.

• Reenviament centralitzat → l'evidència sobreviu a l'esborrat local.
• WORM / retenció immutable → l'evidència no es pot alterar encara que es comprometi el SIEM.
• Encadenament per hash / signatures → qualsevol manipulació és detectable.
• NTP fiable → les marques de temps són coherents i el timestomping es delata.

Quan el contracte inclou avaluar la capacitat de resposta (de vegades com a exercici purple team), el pentester pot provocar de manera controlada els senyals que un atacant generaria —sempre documentat i traçable— per comprovar si TechNova els detecta:

• Generar un esdeveniment d'aturada del servei d'auditoria i verificar si el SIEM alerta del silenci.
• Modificar un fitxer vigilat per integritat (FIM) i comprovar si salta l'alerta.
• Intentar (en un entorn de prova) esborrar un log local ja reenviat i confirmar que la còpia central segueix intacta.

El resultat —el detecti o no— és un descobriment de l'informe: si el SOC no veu l'aturada del logging o la manipulació d'un fitxer, aquesta és una recomanació de millora concreta. Tot això es fa amb l'activitat registrada a la bitàcola, no d'amagat: el pentester prova la detecció, no s'amaga d'ella.

• [Ètic] Esborrar logs per "sortir net". És la mala praxi per excel·lència: destrueix la traçabilitat que el client necessita i la teva pròpia coartada d'abast. El pentester deixa rastre auditable, no l'elimina.
• [Ètic] Manipular registres durant un incident real. Si apareix un atacant autèntic, preserva l'evidència i avisa; esborrar o alterar res podria destruir proves d'un delicte.
• [Ètic] Tractar l'anti-forense com una habilitat ofensiva per lluir. En aquest curs és coneixement defensiu: serveix perquè TechNova detecti i resisteixi aquestes tècniques, no per executar-les contra ella.
• Confiar en els logs de l'host compromès. Un host pres és font no fiable; l'evidència vàlida és la que ja és al SIEM central. Dissenya la defensa assumint-ho.
• Centralitzar logs sense protegir-los. Reenviar al SIEM està bé, però sense WORM ni control d'accés un atacant amb accés al SIEM podria esborrar-los allà. Afegeix immutabilitat i encadenament per hash.
• Oblidar el NTP. Sense hora sincronitzada, correlacionar esdeveniments entre hosts és un caos i el timestomping costa més de detectar. Sincronitza el temps a tota la xarxa.
• Consell: quan provis la detecció, avisa el contacte i coordina amb l'equip blau (enfocament purple team). L'objectiu compartit és millorar la detecció de TechNova, no enxampar ningú.

Exercici 1. Un atacant que ha compromès el servidor intern de TechNova esborra /var/log/auth.log per ocultar els seus accessos per SSH. Explica per què, si TechNova té ben muntada la seva arquitectura de logging, aquest esborrat serveix de poc. Descriu les dues mesures defensives concretes que ho neutralitzen i quin paper juga l'emmagatzematge WORM.

Exercici 2. El RoE de TechNova inclou provar la capacitat de detecció del SOC. Dissenya una prova controlada i traçable per verificar si el SOC detecta la manipulació de registres, indica quina evidència capturaries i per què aquesta activitat no contradiu el principi que el pentester deixa rastre auditable.

Exercici 3. Explica, amb les teves paraules, per què un pentester professional no oculta la seva activitat al client encara que tècnicament sàpiga fer-ho, i què manté en el seu lloc. Relaciona-ho amb la regla d'or de la lliçó 05-02 sobre els artefactes.

Solució 1. L'esborrat serveix de poc perquè, amb una arquitectura correcta, els esdeveniments d'auth.log ja s'han reenviat en temps real a un SIEM central fora de l'host: esborrar la còpia local no elimina la còpia central. Mesures: (1) reenviament centralitzat de logs (p. ex. rsyslog enviant a siem.technova.lab per TCP), de manera que l'evidència surt de l'host tan bon punt es genera; (2) alerta davant manipulació/silenci —el propi intent d'esborrat o l'aturada del servei de logging és un senyal que el SIEM detecta. L'emmagatzematge WORM garanteix que, un cop al SIEM, els registres no es poden modificar ni esborrar durant la retenció —ni tan sols per un administrador compromès—, de manera que l'evidència és alhora duradora i íntegra; afegir encadenament per hash permet provar que no hi va haver manipulació.

Solució 2. Prova controlada: coordinada amb el contacte tècnic (enfocament purple team), modificar un fitxer vigilat per integritat de fitxers (FIM) i/o generar una aturada del servei d'auditoria en un host de prova, i observar si el SIEM/SOC alerta; opcionalment, esborrar un log local ja reenviat i confirmar que la còpia central roman intacta. Evidència: l'hora exacta de cada acció, l'alerta generada (o la seva absència), i la comparació entre el log local i el central. No contradiu el principi de rastre auditable perquè tota la prova està documentada a la bitàcola i coordinada amb el client: el pentester no esborra per amagar-se, sinó que provoca senyals de manera traçable per mesurar la detecció; el detecti o no el SOC, el resultat és un descobriment de l'informe amb la seva recomanació.

Solució 3. Un pentester professional no oculta la seva activitat perquè el seu encàrrec és ajudar el client a defensar-se, no vèncer-lo: necessita que TechNova pugui reconstruir cada acció per verificar que es va mantenir dins de l'abast, per aprendre de la simulació i per no contaminar una possible investigació real. Amagar-se destruiria la traçabilitat, la seva pròpia coartada d'abast i el valor de l'exercici. En el seu lloc manté un registre auditable: bitàcola amb hores, comandes rellevants, hosts tocats i artefactes creats. Això enllaça directament amb la regla d'or de 05-02: tot artefacte (compte, tasca, clau, webshell) es documenta i es reverteix, lliurant al client la llista completa. Deixar rastre i revertir artefactes són les dues cares de la mateixa ètica professional: res ocult, tot traçable, tot retornat.

Hem tancat el Mòdul 5 amb la lliçó que millor distingeix un professional: la cobertura de petjades, ensenyada des de la defensa. Vam veure quines tècniques anti-forense existeixen —manipulació i esborrat de logs, timestomping, esborrat d'historial, neteja d'artefactes— i per què un atacant les fa servir, però el protagonista va ser el costat defensiu: garantir la integritat i la traçabilitat dels registres amb reenviament centralitzat, logging immutable (WORM), encadenament per hash, NTP i alertes de manipulació, tractant sempre l'host compromès com a font no fiable. I vam deixar claríssima la regla que governa tot el mòdul: el pentester no oculta la seva activitat; deixa un rastre auditable, documenta i reverteix cada artefacte, i fa servir aquestes tècniques només per provar la detecció del SOC si el RoE ho contempla.

Amb això acaba la post-explotació. Al llarg del mòdul vam escalar privilegis (05-01), vam entendre la persistència de manera controlada (05-02), vam mesurar l'abast a la xarxa (05-03) i ara vam assegurar la traçabilitat (05-04). En cada pas el mandat va ser el mateix: capturar evidència —comandes, sortides, marques de temps, artefactes, la cadena de compromís, el mapa de la xarxa interna— de manera neta i documentada. Aquesta evidència no és el final: és la matèria primera del Mòdul 6: Reporte i Remediació. Tot allò que hem capturat de manera autoritzada i controlada es converteix ara en l'informe: es documenten els descobriments (06-01), es classifiquen per risc amb CVSS (06-02), es proposen remediacions (06-03) i es presenten els resultats (06-04). La feina tècnica ha acabat; comença la feina de convertir-la en valor per a TechNova.