Tunneling

Tunneling es una técnica de red que consiste en encapsular un protocolo dentro de otro para hacer posible la comunicación entre dos extremos a través de una red intermedia. Es una técnica muy común en usos legítimos, como las VPN, pero también aparece con frecuencia en contextos maliciosos, donde se usa para ocultar tráfico, esquivar controles o establecer canales de mando y control.

En la práctica, el tunneling permite que un paquete viaje "dentro" de otro protocolo que sí está permitido o pasa desapercibido en la red. Eso hace posible, por ejemplo, canalizar tráfico SSH dentro de TLS, o encapsular tráfico a través de DNS cuando otros caminos están bloqueados. Desde el punto de vista del atacante, esto sirve para mantener comunicación, exfiltrar información o pivotar dentro de una red sin levantar sospechas.

Su uso malicioso suele estar muy ligado a C2 y a evasión de filtrados. Si una organización solo permite salida por ciertos protocolos, el atacante puede aprovechar precisamente esos protocolos para crear un canal oculto y persistente. Por eso el tunneling es tan relevante en detección de red: no siempre hay que buscar malware "raro", a veces lo que delata la actividad es un protocolo normal usado de una forma anómala.

En seguridad ofensiva y defensiva, tunneling es una pieza clave porque demuestra que no todo el tráfico sospechoso se ve a simple vista. Entenderlo ayuda tanto a diseñar mejores controles como a detectar comunicaciones que parecen legítimas, pero que en realidad están siendo usadas para ocultar actividad adversaria.