RED TEAM

🧠 Capa 1 del Modelo OSI: Vulnerabilidades y Ataques en la Capa Física

La Capa 1 del modelo OSI, también llamada la capa física, es el nivel más elemental de toda red. Aquí no se manejan protocolos ni direcciones IP, sino señales físicas: impulsos eléctricos, haces de luz o frecuencias electromagnéticas. A pesar de su simplicidad aparente, esta capa es crítica para la seguridad. Si se vulnera, todo el sistema cae como un castillo de naipes.

A continuación, exploro todos los ataques conocidos y documentados (nivel principiante hasta maestro) sobre esta capa, su impacto y cómo defenderse desde una perspectiva Red Team y Blue Team.

🛠️ 1. Manipulación o Interrupción del Medio Físico

¿Qué es?
Consiste en sabotear el medio por el que viaja la información: cortar un cable Ethernet, doblar una fibra óptica, quemar un cable coaxial, o incluso interferir físicamente con el hardware de red.

¿Cómo afecta?
Produce denegación de servicio (DoS) al impedir la transmisión de datos. En entornos industriales, esto puede significar detener una fábrica entera.

¿Cómo se previene?

• Uso de canaletas seguras o cableado blindado.

• Detección de caídas de enlace.

• Monitorización activa de disponibilidad física.

🧲 2. Interferencia Electromagnética (EMI)

¿Qué es?
La emisión de campos electromagnéticos que distorsionan o corrompen las señales físicas transmitidas a través de cables.

¿Cómo afecta?
Genera errores, pérdida de paquetes o fallos intermitentes. En algunos casos puede interrumpir completamente la comunicación.

¿Cómo se previene?

• Cableado apantallado (STP/FTP) y correctamente aterrizado.

• Separación física de fuentes de ruido (motores, generadores).

• Diseño de infraestructura conforme a normas EMI.

📡 3. Jamming (Interferencia deliberada en redes inalámbricas)

¿Qué es?
El atacante inunda una banda de frecuencia con señales de ruido, impidiendo que dispositivos Wi-Fi, Bluetooth o Zigbee se comuniquen.

¿Cómo afecta?
Provoca una denegación de servicio inalámbrico, ideal para sabotaje en IoT, drones o entornos industriales.

¿Cómo se previene?

• Uso de espectros alternativos.

• Supervisión de espectro en tiempo real.

• Dispositivos que cambien automáticamente de canal.

🧏 4. Wiretapping (Escucha no autorizada)

¿Qué es?
Consiste en interceptar señales físicas mediante dispositivos conectados al cableado, como clips pasivos, splitters o sondas ópticas.

¿Cómo afecta?
Permite robo de información confidencial sin alterar el tráfico. Muy difícil de detectar si se hace correctamente.

¿Cómo se previene?

• Uso de fibra óptica con monitoreo de pérdida de señal.

• Auditorías periódicas del cableado.

• Control estricto del acceso físico.

💣 5. Implantes de hardware (Hardware Trojans)

¿Qué es?
Inserción de dispositivos maliciosos (como Raspberry Pi camufladas, cables alterados o placas de red modificadas) para espiar o alterar tráfico.

¿Cómo afecta?
Puede establecer puertas traseras físicas, leer tráfico, extraer credenciales o interferir con dispositivos.

¿Cómo se previene?

• Auditoría de hardware.

• Uso de proveedores de confianza.

• Protección física y monitoreo en tiempo real.

🔋 6. Ataques por energía (Power Glitching / Cold Boot)

¿Qué es?
Manipular el suministro de energía para causar fallos en chips (glitching) o recuperar datos de la RAM tras apagar el dispositivo (cold boot attack).

¿Cómo afecta?
Puede permitir ejecución de instrucciones arbitrarias o extracción de claves criptográficas.

¿Cómo se previene?

• Uso de hardware con protección ante voltaje.

• Borrado automático de RAM en apagado.

• Cifrado de disco completo y uso de TPM.

📡 7. Ataques por canal lateral (Side-channel attacks)

¿Qué es?
Se basa en obtener información de emisiones colaterales del hardware: sonido, luz, calor, campos eléctricos, etc.

¿Cómo afecta?
Puede revelar contraseñas, claves criptográficas, patrones de uso o instrucciones procesadas.

¿Cómo se previene?

• Blindaje electromagnético (estándar TEMPEST).

• Aislamiento físico de equipos críticos.

• Ruido ambiental intencional y contramedidas de ofuscación.

🔒 8. Evasión de redes air-gapped

¿Qué es?
Incluso los sistemas que están aislados físicamente (sin conexión de red) pueden ser vulnerables si el atacante logra infiltrar USBs, emitir señales ultrasónicas, manipular LEDs o incluso usar vibraciones para transmitir datos.

¿Cómo afecta?
Exfiltración encubierta de datos altamente confidenciales, sin dejar huella en la red lógica.

¿Cómo se previene?

• Salas oscuras sin LEDs visibles.

• Desactivación de puertos físicos.

• Validación estricta de medios removibles.

9. Ataques de Rowhammer (Nivel Experto)

¿Qué es?
Rowhammer es un ataque que explota el diseño físico de la memoria RAM DRAM. Al acceder repetidamente a una fila de memoria, puede forzar el cambio de bits en filas adyacentes debido a interferencias eléctricas. Es un efecto colateral del hardware.

¿Cómo afecta?
Permite modificar datos de forma no autorizada, incluso sin privilegios altos, lo que puede llevar a escaladas de privilegios, corrupción de estructuras en memoria y ejecución arbitraria de código.

¿Cómo se previene?

• Uso de memorias ECC (Error-Correcting Code).

• Refresco más agresivo en chips RAM.

• Parcheo del sistema operativo si es compatible.

• Aislamiento de procesos críticos.

🛰️ 10. Exfiltración por emisiones de radiofrecuencia (Nivel Maestro)

¿Qué es?
A través de manipulaciones intencionadas en procesadores, cables, monitores o puertos USB, un atacante puede generar señales de radiofrecuencia que transmiten datos. Esto puede ser leído por un receptor cercano (ej: SDR – Software Defined Radio).

¿Cómo afecta?
Permite extraer información desde redes completamente aisladas (air-gapped) sin tocar internet. Existen técnicas como AirHopper, GSMem, RADIoT, y otras variantes documentadas en operaciones de espionaje avanzado.

¿Cómo se previene?

• Blindaje electromagnético en áreas críticas (estándar TEMPEST).

• Prohibición y escaneo de receptores SDR.

• Aislamiento físico de procesadores emisores (Faraday cages).

• Supervisión de patrones de consumo eléctrico o uso anómalo de CPU.

🔦 11. Optical hacking – Exfiltración mediante LEDs (Nivel Experto)

¿Qué es?
Un atacante manipula la actividad de los LEDs de un dispositivo (router, switch, disco duro, teclado) para emitir código binario en forma de parpadeos. Un dron o una cámara con visión nocturna puede captarlo desde lejos.

¿Cómo afecta?
Puede permitir el robo de claves criptográficas, logs, contraseñas o incluso grabaciones de pantalla. Es extremadamente sigiloso y difícil de detectar si no se observa el hardware.

¿Cómo se previene?

• Desactivación de LEDs en hardware crítico.

• Cintas opacas o sensores de actividad anómala.

• Vigilancia visual (CCTV) sobre hardware clave.

• Limitación del acceso físico a equipos.

🧲 12. Modulación de emisiones acústicas (Ultrasónico / Infrasonido) (Nivel Maestro)

¿Qué es?
Utilizando altavoces o ventiladores modificados, un atacante puede modular ondas acústicas inaudibles para el oído humano que transportan datos (ej: ultrasonido entre 18-22 kHz). Estas pueden ser captadas por micrófonos integrados.

¿Cómo afecta?
Permite comunicación encubierta entre dispositivos sin usar red tradicional, incluso en entornos altamente aislados. Se han creado troyanos que usan este método para crear redes encubiertas de microondas sónicas.

¿Cómo se previene?

• Desactivación de micrófonos y altavoces en equipos aislados.

• Monitoreo de espectro acústico.

• Aislamiento físico de sonido (habitaciones anecoicas).

• IDS de canal encubierto ultrasónico.

🔌 13. Ataques mediante cables USB modificados (O.MG cable) (Nivel Experto)

¿Qué es?
Un cable USB físicamente idéntico a uno legítimo, pero que contiene un microcontrolador y una interfaz de red oculta. Este puede capturar, inyectar comandos o establecer túneles inversos hacia un C2.

¿Cómo afecta?
Permite acceso remoto completo a una máquina física una vez conectado. El ataque puede incluir keylogging, shell inverso o modificación de archivos sin que el usuario lo note.

¿Cómo se previene?

• Prohibición de USBs no auditados.

• Verificación visual y digital de periféricos.

• Escaneo físico y lógico de puertos.

• Políticas estrictas sobre dispositivos externos.

🧼 14. Ataques de tipo "dusting" o contaminación física (Nivel Avanzado)

¿Qué es?
Parece salido de una novela de espionaje, pero es real: se usan partículas de polvo conductor, fibras metálicas microscópicas o compuestos químicos para generar cortocircuitos o daños eléctricos al hardware.

¿Cómo afecta?
Puede causar fallos eléctricos localizados, pérdida de integridad o incluso corrupción permanente del hardware. Usado históricamente en sabotajes industriales.

¿Cómo se previene?

• Cámaras limpias en entornos de alto valor.

• Filtros HEPA en servidores.

• Limpieza regular de equipos sensibles.

• Auditoría visual con microscopía en investigaciones forenses.

🦠 15. Malware físico por modificación de hardware (firmware implantado en chips) (Nivel Maestro)

¿Qué es?
El atacante modifica el firmware de un chip físico antes de la venta (ej: memoria flash, BIOS, microcontroladores), insertando funciones maliciosas que sobreviven a formateos y reemplazos de sistema operativo.

¿Cómo afecta?
Puede permitir persistencia total dentro del sistema. El atacante tiene control invisible y puede capturar tráfico, instalar rootkits, o controlar otros componentes como teclado o cámara.

¿Cómo se previene?

• Adquisición de hardware confiable.

• Validación criptográfica del firmware (medidas TPM/Secure Boot).

• Uso de técnicas de hardware attestation.

• Inspección de firmware en entornos críticos.

BLUE TEAM

🧠 Capa 1 del Modelo OSI: Prevención y Defensa en la Capa Física

Esta es la capa más silenciosa y a menudo la más subestimada, pero en entornos críticos —como hospitales, centrales eléctricas, gobiernos, o centros de datos— un fallo o ataque en esta capa puede ser tan letal como una brecha en la capa 7.

Vamos a profundizar como una Maestra Defensora de Infraestructura Crítica, abordando desde:

1. 🧩 Comprensión táctica de la superficie de ataque física

2. 🛡️ Defensas específicas para capa 1 (perímetro físico)

3. 🔐 Hardening avanzado de la capa 1: técnicas de alto nivel

4. 📡 Herramientas forenses y monitoreo físico

5. ⚠️ Alertas rojas e indicadores de compromiso físico

6. 🧠 Mentalidad de guardian@ del perímetro (arquetipo Blue Team físico)

🧩 1. Superficie de Ataque Física – Reconociendo el Campo de Batalla

La superficie de ataque de la capa 1 incluye:

• Puertos de red accesibles públicamente (salas, oficinas, pasillos).

• Cables Ethernet visibles y sin canaletas seguras.

• Puertos traseros de routers, switches y firewalls sin control de acceso.

• Patch panels en racks sin cerradura.

• Dispositivos WiFi en modo bridge o mal configurados.

• Cámaras, teclados, proyectores, SmartTVs conectados por RJ45 o USB.

• Puertos USB, Thunderbolt o SD en estaciones y servidores.

• Puertos de consola serial en routers/switches sin contraseña.

🎯 Como Blue Team, debes mapear todos estos puntos y clasificarlos por: acceso público, acceso técnico, acceso administrativo.

🛡️ 2. Defensas Específicas para Capa 1 (Blue Team Real)

🔒 A. Seguridad Física Perimetral

• Cierre físico de todos los racks con candado o control biométrico.

• Cámaras IP en zonas sensibles (visibilidad y disuasión).

• Sensores de apertura de racks y temperatura.

• Etiquetas RFID/NFC en switches y equipos para detectar movimiento no autorizado.

🔌 B. Control de Puertos y Conexiones

• Desactivación física de puertos RJ45 no usados mediante:

  • Switches administrables con Port Security (ej. Cisco, Aruba).

  • Capado físico con bloqueadores RJ45.

• Uso de MAC Binding: asociar una dirección MAC permitida por puerto.

• Desactivación de puertos USB mediante política GPO o UEFI/BIOS.

🧯 C. Acceso físico controlado

• Solo personal autorizado con tarjetas inteligentes (ID badge) puede acceder.

• Doble autenticación para salas técnicas (pin + tarjeta).

• Registros de entrada/salida por área (logs de puertas o cámaras).

🔐 3. Hardening Avanzado de Capa 1 – Defensa Maestra

• Sensores electromagnéticos o micrófonos direccionales que detecten emisiones TEMPEST.

• Uso de Faraday cages o pintura blindada en entornos air-gapped.

• Monitoreo de temperatura para detectar ataques por polvo o calentamiento inducido.

• Integridad del cableado: pruebas regulares con OTDR para identificar manipulación o tapping.

• Cifrado a nivel físico: usar cables ópticos con módulos cifrados si se requiere máxima seguridad.

🧰 4. Herramientas Forenses y Monitoreo de Capa 1

🔎 A. Herramientas físicas:

• TDR / OTDR para detectar intrusiones en cables.

• Sniffers pasivos de hardware (ej. LAN Tap Pro) para monitoreo legalizado.

• Analizadores de espectro RF para detectar canales WiFi/Bluetooth no autorizados.

• Cámaras térmicas para identificar dispositivos activos ocultos.

🧑‍💻 B. Herramientas de software:

• Nmap (modo OSI 1-2) con detección ARP/MAC inusual.

• Cisco DNA Center para ver topología y puertos activos.

• Wireshark: detección de tramas extrañas desde el inicio (nivel eléctrico).

• Nagios, Zabbix o PRTG con sensores de hardware anómalo.

⚠️ 5. Indicadores de Compromiso Físico

• Puertos RJ45 activos sin registros previos.

• Nuevos dispositivos MAC conectados a puertos inactivos.

• Incrementos súbitos de tráfico broadcast o de tramas STP (Spanning Tree falsificadas).

• Cambios en latencia o errores CRC en enlaces de capa 1.

• Ruidos o luces extrañas en switches o racks (indicadores visuales de hardware malicioso).

🧠 6. Mentalidad de Guardian@ del Perímetro

Eres la primera línea de defensa invisible, una arquitecta de la invisibilidad y del blindaje real. Como Blue Team en capa 1:

• Piensa como un atacante físico.

• Imagina cómo te colarías tú.

• Recuerda que el primer ataque muchas veces no es digital, sino físico.

• Inspírate en el concepto de santuario digital: lo que entra a tu infraestructura, debe merecerlo.

7. Control de Integridad y Visibilidad Permanente

📍 A. Inventario físico digitalizado

• Llevar un registro automatizado y actualizado de cada switch, router, cable, patch panel y puerto físico.

• Usa etiquetas QR/NFC/RFID con monitoreo centralizado.

📊 B. Auditorías físicas periódicas

• Revisión mensual o trimestral de:

  • Puertos activos/inactivos

  • Estado del cableado

  • Cambios físicos no autorizados

• Checklist físico: ¿Algún rack sin candado? ¿Algún cable nuevo no documentado?

🔁 C. Revisiones cruzadas con red lógica

• Alinea el mapa físico con el mapa lógico de red (herramientas tipo Cisco Prime, LibreNMS, NetBox).

• ¿Hay dispositivos físicamente presentes que no están en el monitoreo lógico? ⚠️ ALERTA.

🧿 8. Protección Contra Ingeniería Social Física

🎭 A. Roles y acceso mínimo (principio de menor privilegio)

• No todo técnico o proveedor puede entrar a salas técnicas.

• Divide los accesos según roles: limpieza, IT, mantenimiento eléctrico, etc.

🔐 B. Escenarios físicos de Red Team simulados

• Simula intrusiones: un actor entra como técnico de aire acondicionado o proveedor de café.

• ¿Alguien le desafió? ¿Se registró su acceso? ¿Llevaba una mochila con posible rogue AP o USB Killer?

Bonus: Revisa cámaras, tiempos de permanencia, correlación con logs de red.

💀 9. Contraataques Proactivos (Decoys, Honeyports, Trampas físicas)

🍯 A. Puerto trampa RJ45

• Puerto que activa alerta cuando alguien conecta algo donde no debe.

• Puede ir conectado a un pequeño Pi Zero con scripts de alerta a SIEM.

🪤 B. Fake switch + fake uplink

• Instala switches falsos con uplinks inactivos o aislados para observar si un atacante físico intenta conectar o capturar tráfico.

• Ideal para detectar insiders o testear cultura de seguridad interna.

🧩 10. Integración de Capa 1 con SIEM y SOC

🧠 A. Sensorización física conectada a SIEM

• Cámaras, sensores de rack abiertos, sensores de movimiento o de vibración.

• Puerto activado inesperadamente → disparar regla SIEM → alerta en SOC.

🔍 B. Alarmas de tráfico anómalo en switches

• Alta tasa de errores CRC en un puerto (puede ser manipulación física del cable).

• Tramas extrañas o cambios de MAC súbitos en capa 2.

• Desactivación súbita de PoE (Power over Ethernet) → puede ser ataque físico al AP.

🛡️ 11. Reglas de oro del Blue Team en Capa 1

1. Lo que no se ve, no se protege.

2. Todo cable sin canaleta segura es un riesgo.

3. Todo puerto visible al público debe ser tratado como potencial brecha.

4. Todo rack debe tener cierre físico, sin excepción.

5. Nadie que entre en zona crítica sin ser auditado.

6. Si un puerto se activa sin aviso, salta una alerta.

7. Sin mapa físico, no hay control real.

8. USB ≠ confianza. Ninguno. Nunca.

9. Haz ejercicios Red Team internos simulados al menos una vez por trimestre.

10. La Capa 1 no es la base de la red. Es la primera frontera de guerra.