Inteligencia de amenazas y búsqueda proactiva de amenazas

Una conexión en un registro solo se convierte en inteligencia útil cuando alguien explica por qué importa para una decisión. Un dato es una observación aislada, la información añade significado y la inteligencia añade análisis y pertinencia.

Empieza por la decisión

«203.0.113.45 se conectó por el puerto 443» es un dato. «Esa dirección alojó una página de suplantación de identidad la semana pasada» es información. «Un grupo que ataca a nuestro sector la utiliza para mando y control; busca conexiones anteriores y considera bloquearla» es inteligencia. La última afirmación conecta las evidencias con una amenaza, un entorno y una acción.

Un requisito de inteligencia es una pregunta vinculada a una decisión y a una persona responsable. Un requisito prioritario de inteligencia (PIR) identifica lo que la dirección más necesita responder. «¿Qué grupos de ransomware atacan a los hospitales de aquí y cómo acceden?» puede orientar una decisión de financiación. «Recopila más datos sobre ransomware» no da al analista un punto final claro.

Sigue el ciclo de vida

1. Planificación y dirección: acuerda los requisitos, los destinatarios y los plazos.
2. Recopilación: reúne los informes y registros internos necesarios para responderlos.
3. Procesamiento: traduce, normaliza, elimina duplicados y estructura los datos.
4. Análisis: relaciona las observaciones, evalúa las explicaciones e indica la confianza.
5. Difusión: envía un producto utilizable a la persona que debe actuar.
6. Retroalimentación: pregunta si respondió a la pregunta y qué debe cambiar.

Algunos diagramas del ciclo de vida combinan el procesamiento con otro paso y muestran cinco etapas. El trabajo sigue avanzando desde una pregunta, pasando por las evidencias y el análisis, hasta la entrega y la retroalimentación. Comprar una fuente de datos proporciona recopilación; deja el resto del trabajo a la organización.

Analiza una decisión de financiación

La persona responsable de seguridad de un hospital debe decidir si financiar este trimestre la autenticación multifactor (MFA) para el acceso remoto. El analista recopila un aviso de una agencia nacional, dos informes del sector sanitario y los registros de la red privada virtual (VPN) del hospital. El procesamiento extrae las técnicas descritas y pone las horas de los registros en un formato común.

El análisis revela que tres de los cuatro grupos descritos accedieron mediante credenciales de VPN robadas. Los registros muestran 1200 intentos fallidos de inicio de sesión en la VPN desde países desconocidos en 30 días. Los informes respaldan la existencia del riesgo de acceso; los intentos fallidos muestran intentos de acceso, no una entrada exitosa. Un informe breve de una página recomienda aplicar primero MFA a la VPN, mientras que el centro de operaciones de seguridad (SOC) recibe los indicadores. La persona responsable pide los costes en el siguiente informe: esa retroalimentación configura el siguiente requisito.

Separa las observaciones de los juicios

«El archivo contactó con este servidor» es una observación. «El actor está preparando ransomware» es una valoración que necesita evidencias y un nivel de confianza. Escríbelas por separado para que el lector pueda cuestionar el razonamiento sin perder los hechos.

El sesgo de confirmación favorece las evidencias que encajan con una teoría inicial. El sesgo de anclaje mantiene la primera estimación pese a las nuevas evidencias. El sesgo de proyección supone que el adversario piensa como el analista. Utiliza el análisis de hipótesis alternativas: enumera explicaciones plausibles, registra los supuestos y busca evidencias que contradigan cada explicación. Después, un compañero puede revisar cómo se llegó al juicio.

Un informe de amenazas puede apoyar varias decisiones. Un directivo necesita comprender la exposición del negocio, mientras que un ingeniero de detección necesita conocer el comportamiento que debe reconocer una regla. Los tipos de inteligencia describen estos usos diferentes.

Compara los cuatro tipos

Un sistema de gestión de información y eventos de seguridad (SIEM) busca y correlaciona registros de seguridad. Las herramientas de detección y respuesta en dispositivos finales (EDR) recopilan información sobre la actividad de los dispositivos finales y actúan sobre ella. La inteligencia técnica puede alimentar estas herramientas directamente después de su validación.

Los detalles técnicos suelen durar de horas a semanas porque los atacantes pueden sustituirlos a bajo coste. Un juicio estratégico puede orientar decisiones durante meses o años. Son expectativas útiles sobre la vigencia, no reglas de caducidad para cada elemento. El hash de un archivo conocido como malicioso sigue identificando el mismo archivo después de que termine una campaña.

Convierte un informe en cuatro productos

Supón que un informe describe ataques de ransomware contra fabricantes. El consejo de administración recibe un párrafo estratégico sobre interrupciones de la producción y la inversión necesaria para reducir ese riesgo. Debe poder tomar una decisión sin interpretar líneas de comandos.

El responsable de seguridad recibe una nota operacional: un afiliado está explotando este mes una debilidad concreta de VPN en la región. La nota indica los objetivos probables de la campaña actual y su urgencia.

Los ingenieros de detección reciben detalles tácticos: el grupo desactiva las copias de seguridad y utiliza PowerShell para la ejecución remota. Estos comportamientos indican qué registros, controles y lógica de detección necesitan atención. El SIEM y el firewall reciben el apéndice técnico: tres hashes SHA-256, dos dominios y una dirección IP, con su contexto e información de tratamiento.

Los productos comparten evidencias, pero responden a preguntas distintas. Enviar todo el apéndice bruto al consejo de administración traslada el trabajo del analista a un lector que no puede utilizarlo. Dar solo una tendencia a largo plazo a un analista deja sin resolver la tarea inmediata de detección.

Haz que un informe facilite la acción

Comienza un informe interno con los juicios principales. Continúa con las evidencias que los respaldan, la confianza, las acciones recomendadas y un apéndice de indicadores cuando sea útil. Indica quién debe actuar y cuándo; una campaña que termina mañana necesita un plazo distinto del de una decisión presupuestaria del próximo trimestre. Incluye una etiqueta de intercambio como TLP:AMBER, del protocolo del semáforo, para indicar a los lectores hasta dónde puede difundirse el informe.

Algunas organizaciones utilizan tres niveles de inteligencia e incluyen los indicadores técnicos dentro de la inteligencia táctica. Examina los destinatarios y el contenido antes de clasificar el producto. Un cambio de nombre no cambia lo que necesita un directivo o una herramienta de detección.

Un perfil de amenazas útil explica qué actores importan a la organización y por qué. Empieza por la intención, lo que quiere un actor; la capacidad, los recursos y habilidades que puede utilizar; y la oportunidad, el acceso o la debilidad disponibles para él.

Compara las motivaciones y el acceso de los actores

Una amenaza persistente avanzada (APT) tiene habilidades y recursos considerables, mantiene el acceso y vuelve después de ser expulsada. Describe un comportamiento sostenido y organizado. El patrocinio estatal es habitual, pero los grupos criminales con capacidad también pueden operar a ese nivel. Considera el comportamiento y el acceso del actor como evidencias, no lo impresionante que resulte su nombre.

Las operaciones criminales suelen dividir el trabajo. Los intermediarios de acceso inicial venden puntos de acceso a redes comprometidas. En el ransomware como servicio, los desarrolladores proporcionan ransomware a afiliados que realizan los ataques y comparten los ingresos. Por ello, defenderse del método de entrada de un afiliado puede importar más que reconocer una marca concreta de software malicioso.

Mira más allá del perímetro

Una persona interna ya tiene acceso, por lo que un firewall en el borde de la red no puede abordar todo el riesgo. El principio de mínimo privilegio reduce a qué puede llegar ese acceso. La prevención de pérdida de datos y el análisis del comportamiento de los usuarios pueden ayudar a identificar usos indebidos y errores, con el contexto del trabajo habitual de la persona.

Una amenaza a través de la cadena de suministro utiliza un tercero de confianza para llegar a los clientes: una actualización, un proveedor de servicios gestionados o una biblioteca. En el compromiso de SolarWinds Orion de 2020, los atacantes insertaron una puerta trasera en actualizaciones de software firmadas. SolarWinds informó inicialmente de que menos de 18 000 clientes podrían haber instalado productos afectados. La instalación de un producto afectado y la explotación posterior confirmada son afirmaciones distintas.

Parte del negocio

Una tienda en línea con 80 empleados depende de su tienda pública y maneja datos de clientes. Los delincuentes con motivación económica importan porque el robo de pagos y las interrupciones amenazan los ingresos. Los atacantes oportunistas importan porque la tienda está expuesta a internet. Las amenazas internas no intencionales importan porque el personal puede exponer registros de clientes. Un grupo estatal centrado en la investigación de defensa tiene poca relevancia para el perfil actual de esta tienda.

Registra la motivación, los métodos observados y la oportunidad de cada actor relevante. Utiliza ese perfil para seleccionar informes, comportamientos de ATT&CK y temas de búsqueda de amenazas. Revísalo cuando el negocio cambie sus servicios o su tecnología.

La atribución vincula una actividad con un actor. El software malicioso compartido, el alojamiento alquilado y las pistas falsas deliberadas dificultan ese juicio. Los proveedores también utilizan nombres distintos: MITRE ATT&CK sigue a APT28 (G0007), también llamado Fancy Bear y Forest Blizzard. Indica las evidencias y la confianza que respaldan la atribución; el trabajo de detección puede continuar mientras el actor siga siendo desconocido.

Una fuente puede ser conocida y, aun así, irrelevante para la decisión. Otra puede ser muy pertinente, pero estar demasiado poco respaldada para justificar un bloqueo. Evalúa el acceso, la utilidad y las evidencias como cuestiones separadas.

Encuentra las fuentes adecuadas

La inteligencia de fuentes abiertas (OSINT) procede de material disponible públicamente: avisos gubernamentales, informes de investigación, código público, registros de vulnerabilidades y publicaciones de investigadores. La define su disponibilidad pública; un informe vendido públicamente puede seguir siendo de fuente abierta. Un CERT (equipo de respuesta a emergencias informáticas) o un CSIRT (equipo de respuesta a incidentes de seguridad informática) coordina incidentes y suele publicar avisos.

Las fuentes cerradas restringen los destinatarios. Incluyen grupos de intercambio exclusivos para miembros, informes privados de proveedores y fuentes con licencia y límites de redistribución. Los registros internos de SIEM, EDR, mesa de ayuda e incidentes también son fuentes restringidas y describen directamente la actividad de la organización. Una plataforma de inteligencia de amenazas (TIP) como MISP, OpenCTI u Open Threat Exchange puede eliminar duplicados, enriquecer, vincular y distribuir inteligencia. Sigue necesitando requisitos y el criterio de los analistas.

La web profunda es contenido no indexado, incluidos portales privados corrientes. La web oscura necesita redes especiales como Tor. La supervisión especializada puede identificar credenciales filtradas o menciones de víctimas. Organiza esa recopilación mediante proveedores autorizados y con asesoramiento legal; no compres datos robados ni trates con delincuentes.

Evalúa la utilidad y el respaldo

Los objetivos de examen llaman a estos factores «niveles de confianza». Ayudan a decidir si un elemento es apto para actuar. La confianza analítica describe por separado la solidez de las evidencias y del razonamiento que respaldan un juicio. La pertinencia mide la utilidad; no hace que una afirmación sea más verdadera.

Un informe de la mañana sobre software malicioso dirigido al ERP de la organización, corroborado por un segundo proveedor, es oportuno y pertinente. Una afirmación sobre una técnica de explotación de un firewall que la organización no tiene es irrelevante para los controles inmediatos. Una lista de direcciones IP de 2023 sin explicación necesita validarse antes de convertirse en una lista de bloqueo.

Distingue dos tipos de evaluación

El sistema del Almirantazgo califica la fiabilidad de la fuente de A a E, con F para una fiabilidad desconocida, y la credibilidad de la información de 1 a 5, con 6 para una credibilidad desconocida. A significa completamente fiable; E significa no fiable. La información calificada con 1 está confirmada por otras fuentes; 5 significa improbable. B2 significa que una fuente normalmente fiable comunica información probablemente verdadera. Una fuente fiable puede repetir una afirmación falsa, por lo que las dos calificaciones se mantienen separadas.

La probabilidad se refiere a si ocurrirá un evento. La confianza se refiere al respaldo de esa estimación. La escala de estimación de la Directiva de la Comunidad de Inteligencia de Estados Unidos (ICD) 203 usa «poco probable» para 20–45 %, «probable» para 55–80 % y «muy probable» para 80–95 %. «Es probable que el portal de pagos sea atacado. Tenemos una confianza moderada en ese juicio» expresa los dos juicios por separado. Registra la escala utilizada y las evidencias independientes, los supuestos y las lagunas que sustentan el nivel de confianza.

Un indicador de compromiso (IOC) es un artefacto observable que sugiere un ataque con cierto grado de confianza. Su valor procede de su función, las evidencias y su antigüedad, además del propio valor. Un indicador de ataque (IOA) destaca el comportamiento de un ataque en curso, como un proceso que lee la memoria del almacén de credenciales.

Reconoce los tipos de indicadores

Otros artefactos útiles incluyen URL, asuntos, rutas de archivos, claves del Registro, nombres de objetos de exclusión mutua y cadenas de agente de usuario. El hash de un archivo identifica contenido exacto. Los hashes SHA-256 de «invoice_4471» e «invoice_4472» comienzan por 207b0dad y 60072dc4; cambiar un carácter cambia el resultado. Se prefiere SHA-256 para la identificación porque se han demostrado colisiones prácticas para MD5 y SHA-1.

Recopila, analiza y aplica

La recopilación reúne artefactos de incidentes, entornos aislados de análisis, fuentes y colaboradores. Conserva dónde y cuándo se observó cada uno. Durante el análisis, valida el formato y enriquece el valor: utiliza registros de dominios, historial de DNS pasivo, reputación, geolocalización, escáneres de múltiples motores y resultados de entornos aislados. WHOIS puede proporcionar información de registro; el DNS pasivo proporciona resoluciones observadas anteriormente. Registra si el recurso entregó contenido de suplantación de identidad, alojó una carga útil o sirvió para mando y control.

La aplicación pone a trabajar la inteligencia validada. Un filtro DNS puede bloquear un dominio; EDR puede bloquear el hash de un archivo confirmado como malicioso; una lista de vigilancia del SIEM puede mostrar coincidencias. Busca también en registros históricos, porque un nuevo informe puede explicar actividad que ya ocurrió.

Analiza un correo notificado

Un usuario informa de «Factura 4471 vencida» con invoice_4471.zip. Registra el remitente, el asunto y el hash del archivo adjunto. El análisis en un entorno aislado encuentra un script que contacta con hxxps://update-portal[.]example/load. El enriquecimiento muestra que el dominio se registró tres días antes y se resolvía en 203.0.113.45, también utilizada por dos dominios similares.

El analista bloquea el dominio en el resolvedor DNS, añade el hash al EDR y busca en 30 días de registros del proxy. Cuatro estaciones de trabajo contactaron con el dominio. Esos equipos se convierten en pistas para la investigación; examinar el contexto de la conexión permite establecer qué ocurrió en cada uno. El bloqueo detiene futuras coincidencias mediante ese control, pero deja pendiente la investigación de la actividad anterior.

Gestiona la presentación y la antigüedad

Los informes neutralizan los valores para evitar que se abran por accidente: https se convierte en hxxps y los puntos en [.]. Restaura la forma operativa, o restablece el indicador, antes de cargarlo en una herramienta que espera una dirección normal.

Establece fechas de revisión o caducidad según el tipo y las evidencias. Una dirección IP podría revisarse después de 30 días; los dominios y los hashes de archivos pueden seguir siendo útiles durante más tiempo. El alojamiento compartido y las redes de distribución de contenidos requieren cuidado porque bloquear una IP puede afectar a muchos servicios legítimos. Una coincidencia requiere contexto, y una búsqueda sin resultados solo significa que los valores buscados no se encontraron en los registros disponibles.

Las tácticas, técnicas y procedimientos (TTP) describen el comportamiento en tres niveles. Una táctica es el objetivo, una técnica es el método general y un procedimiento es la implementación particular del actor. Esa distinción explica por qué algunas detecciones siguen funcionando cuando cambian el software malicioso y los servidores.

Separa objetivo, método e implementación

Para la persistencia, la táctica consiste en mantener un punto de acceso. Tarea programada o trabajo: tarea programada (T1053.005) es una técnica que puede lograrlo. Un procedimiento incluye el nombre exacto de la tarea, la ruta del archivo, el comando y el desencadenante.

En un procedimiento observado, un actor con derechos de administrador registra una tarea llamada «OneDriveSync». Ejecuta C:\Users\Public\sync.exe en cada inicio de sesión como SYSTEM. El nombre de la tarea puede cambiar mientras la técnica de tarea programada sigue siendo la misma. La ruta y el nombre de la tarea describen evidencias que se deben examinar; el desencadenante recurrente explica el propósito de persistencia.

Interpreta la pirámide del dolor

La pirámide del dolor de David Bianco, publicada en 2013, ordena aquello que el adversario debe cambiar después de que un defensor lo detecte y bloquee. De menor a mayor coste:

1. Valores hash: trivial; volver a generar o empaquetar el archivo.
2. Direcciones IP: fácil; obtener otra dirección de servidor.
3. Nombres de dominio: sencillo; registrar y configurar otro nombre.
4. Artefactos de red y de equipos: molesto; cambiar rutas, nombres o detalles de protocolo distintivos.
5. Herramientas: difícil; sustituir y probar capacidades funcionales.
6. TTP: muy difícil; aprender e implementar otra forma de operar.

La pirámide mide el coste de adaptación del adversario. No clasifica la gravedad de una intrusión ni indica al defensor que descarte todos los indicadores de niveles inferiores.

Compara las detecciones ante un cambio de campaña

Una intrusión produce un hash del cargador, la dirección de mando y control (C2) 198.51.100.77 y el dominio update-portal.example. También deja la tarea «OneDriveSync», utiliza una herramienta de extracción de credenciales e inicia desde una aplicación de Office un intérprete de scripts conectado a internet.

Si el actor vuelve a generar el cargador y cambia tanto la dirección del servidor como el dominio, las tres detecciones de valores exactos dejan de producir coincidencias. Una detección del nombre de la tarea sigue funcionando hasta que cambia el nombre. Una detección centrada en la herramienta puede sobrevivir hasta que cambie la herramienta. Una regla para el comportamiento de Office a script y de script a red puede sobrevivir a todas esas sustituciones porque vigila el método.

Proporciona los datos que necesita el comportamiento

Una regla de comportamiento genera una alerta cuando winword.exe o excel.exe inicia powershell.exe, wscript.exe o mshta.exe, y el proceso hijo establece una conexión saliente en un plazo de 60 segundos. Esto necesita la relación de ascendencia de los procesos, marcas de tiempo y eventos de red vinculados al proceso. Una lista de dominios por sí sola no puede respaldarla.

Las detecciones basadas en el comportamiento requieren ajustes porque el software legítimo y los administradores también utilizan scripts y tareas programadas. Examina los usos normales antes de elegir excepciones. Excluir de forma general a todos los administradores eliminaría visibilidad útil sobre cuentas privilegiadas comprometidas.

Un hash confirmado como malicioso proporciona una coincidencia precisa para un archivo y se despliega rápidamente. Los valores de infraestructura necesitan comprobaciones sobre propiedad compartida y antigüedad. Combina el bloqueo rápido de indicadores y las búsquedas retrospectivas con detecciones de comportamiento probadas para obtener una cobertura más duradera.

MITRE ATT&CK significa tácticas, técnicas y conocimiento común sobre adversarios. Es una base de conocimientos compartida elaborada a partir de intrusiones observadas. MITRE la inició en 2013 y la publicó en 2015. Proporciona al analista un vocabulario para el comportamiento y evidencias de cómo se ha manifestado ese comportamiento.

Elige el dominio y la versión

ATT&CK tiene los dominios Enterprise, Mobile e ICS (sistemas de control industrial). Enterprise abarca sistemas como Windows, macOS, Linux, servicios en la nube, proveedores de identidad, dispositivos de red, contenedores y ESXi. Mobile trata Android e iOS; ICS trata sistemas de control industrial.

Enterprise v20, publicada en octubre de 2026, tiene 15 columnas de tácticas: Reconocimiento, Desarrollo de recursos, Acceso inicial, Ejecución, Persistencia, Escalamiento de privilegios, Sigilo, Deterioro de las defensas, Acceso a credenciales, Descubrimiento, Movimiento lateral, Recopilación, Mando y control, Exfiltración e Impacto.

Una táctica explica el propósito de un adversario. Estas columnas no son una cronología obligatoria: un intruso puede repetir el descubrimiento después de desplazarse a otro sistema, omitir una táctica o perseguir varios propósitos en una sola acción.

En v19, publicada en abril de 2026, la antigua táctica Evasión de defensas de Enterprise se dividió en Sigilo (TA0005) y Deterioro de las defensas (TA0112). Sigilo oculta la actividad; Deterioro de las defensas daña o desactiva la visibilidad y los controles defensivos. Por ello, las capas antiguas de Enterprise con 14 columnas deben interpretarse teniendo en cuenta la versión. Las etiquetas de tácticas de otros dominios pueden ser diferentes.

Interpreta los identificadores

El sufijo de una subtécnica, separado por un punto, añade especificidad. LSASS es el servicio de subsistema de autoridad de seguridad local de Windows. La lectura de su memoria respalda T1003.001; un informe que solo diga «extracción de credenciales» respalda la técnica más general T1003. Una técnica puede servir a varias tácticas: Tarea programada (T1053.005) puede apoyar la ejecución, la persistencia o el escalamiento de privilegios.

Convierte una página en un plan defensivo

Lee primero la descripción y las plataformas compatibles. Los ejemplos de procedimientos muestran cómo grupos o software identificados aplicaron la técnica, con referencias. Las mitigaciones sugieren controles. Desde v18, en octubre de 2025, las estrategias de detección enlazan con análisis específicos de cada plataforma y los componentes de datos que requieren, como eventos de creación de procesos o de conexiones de red.

Esto permite a un ingeniero preguntar si existen los registros necesarios antes de crear una regla. La página de un grupo también enumera las técnicas observadas, lo que permite crear una capa de amenazas para los actores relevantes.

Registra la versión de ATT&CK en las asignaciones, los informes y los mapas de calor. Las versiones suelen publicarse en abril y octubre. Las técnicas pueden cambiar o revocarse: v19 revocó Deteriorar las defensas (T1562) y redistribuyó su contenido en técnicas como Desactivar o modificar herramientas (T1685). Un identificador antiguo necesita revisión, aunque el comportamiento descrito siga siendo relevante.

Una asignación de ATT&CK conecta un comportamiento con una técnica identificada y sus evidencias. Un nombre de archivo, una etiqueta de un proveedor o una familia de software malicioso pueden orientar la investigación, pero la asignación describe lo que ocurrió. Comienza con una descripción de la acción en lenguaje claro.

Sigue las evidencias en cinco pasos

1. Encuentra el comportamiento. Extrae del registro la acción, el objeto y el resultado.
2. Investígalo. Comprende qué hace la acción y qué pueden establecer sus evidencias.
3. Identifica la táctica. Pregunta qué propósito cumple aquí la acción.
4. Identifica la técnica. Encuentra el método general que encaja.
5. Identifica la subtécnica. Utilízala cuando las evidencias respalden ese detalle.

Compara el borrador con la interpretación de otro analista. Conserva el fragmento del registro o informe que respalda cada fila para que otra persona pueda revisar la asignación.

Analiza una intrusión

Una observación puede respaldar varias asignaciones porque el método y el propósito se solapan. Mantén explícitas las evidencias de cada afirmación. Encontrar Mimikatz identifica software (S0002); no establece que se haya leído LSASS salvo que las evidencias de ejecución respalden esa acción.

Elige el nivel de detalle

Si un informe solo dice «suplantación de identidad mediante mensajes fraudulentos», asigna Suplantación de identidad mediante mensajes fraudulentos (T1566). El archivo adjunto y el enlace son subtécnicas distintas, y el informe no ha elegido entre ellas. Registra una laguna cuando falten evidencias. Un identificador más específico solo es útil cuando está justificado.

El mismo mecanismo de tarea puede tener propósitos distintos. Una tarea que inicia un programa una vez respalda Ejecución. Una tarea configurada para cada inicio de sesión respalda Persistencia. Registra varias tácticas cuando las evidencias respalden varios objetivos.

Evita la asignación de técnicas por palabras clave. Una frase sobre «credenciales» puede describir el uso de una cuenta robada, no el robo de credenciales. Un identificador de vulnerabilidades y exposiciones comunes (CVE) nombra una vulnerabilidad; explotar un fallo en un servidor expuesto al público corresponde a Explotar aplicación expuesta al público (T1190). Trata el fallo y el comportamiento como campos separados.

Facilita la revisión del resultado

Utiliza una tabla con comportamiento, evidencias, táctica, técnica o subtécnica, versión de ATT&CK y confianza. Ese resultado puede alimentar un informe de incidente, una capa de Navigator o un plan de búsqueda de amenazas. Mantén visiblemente inciertas las asignaciones dudosas para que un lector posterior no confunda una inferencia del analista con una acción registrada.

Un mapa de calor de ATT&CK hace visible una pregunta: ¿qué comportamientos relevantes puede detectar la organización y dónde están sus carencias? Empieza por las amenazas que importan al negocio y después compáralas con la cobertura defensiva demostrada.

Crea dos capas diferentes

ATT&CK Navigator añade anotaciones a la matriz en capas guardadas como JSON. Una capa de amenazas puntúa las técnicas utilizadas por los actores del perfil de amenazas. Una capa de cobertura registra las detecciones o los controles de la organización. Asigna a cada capa un nombre, una versión de ATT&CK y una leyenda para que una celda oscura tenga un significado claro.

Para obtener una puntuación sencilla de amenaza, cuenta cuántos grupos relevantes han utilizado cada técnica. Una puntuación de cuatro significa cuatro grupos de ese perfil, no cuatro ataques ni una probabilidad de compromiso cuatro veces mayor. La cobertura puede registrarse como inexistente, parcial o probada. Especifica en la leyenda si describe la existencia de una regla, los resultados de las pruebas o la prevención.

Analiza diez técnicas relevantes

Cuatro grupos relevantes producen esta capa de amenazas:

Cuatro de las diez técnicas tienen detecciones probadas: el 40 % de esta capa de amenazas. Ese denominador son las diez técnicas seleccionadas. No es el 40 % de todo ATT&CK, de todos los procedimientos ni de todos los ataques posibles.

Entre las técnicas sin cobertura, PowerShell tiene la puntuación más alta. Le siguen Tarea programada y RDP. El equipo planifica primero el registro de bloques de scripts de PowerShell y una regla para comandos de PowerShell codificados. Una carencia con menor puntuación puede seguir siendo urgente cuando afecta a un activo crítico; mantén ese contexto del negocio visible junto a la puntuación.

Subsana la carencia desde los datos hasta la prueba

Lee la estrategia de detección y los análisis de la técnica para identificar los registros necesarios. Una regla propuesta para comandos codificados no puede funcionar si falta el contenido del comando. Activa la recopilación, confirma que los registros llegan con campos utilizables y un plazo de conservación adecuado, y después crea y ajusta la regla.

Realiza pruebas con simulaciones autorizadas y seguras y comprueba si se genera la alerta esperada. La prueba establece la cobertura del procedimiento y las condiciones que se han ejercitado. Una técnica puede contener muchos procedimientos, así que registra cuál se probó y qué sigue siendo parcial.

Las mitigaciones abordan distintas partes de un mismo comportamiento. Para Memoria de LSASS (T1003.001), la protección de LSA o Credential Guard y unos privilegios de depuración más restringidos pueden reducir la exposición junto con la detección. Una celda coloreada debe indicar qué tipo de cobertura representa.

Mantén el mapa útil a lo largo del tiempo

Compara las capas entre trimestres para mostrar las mejoras completadas y los riesgos pendientes. Revisa el perfil de amenazas y el alcance de las plataformas antes de ampliar la cobertura: una organización que solo utiliza Windows obtiene poco al rellenar celdas de macOS que no le afectan. Las celdas de amenaza alta y cobertura débil también proporcionan temas de búsqueda de amenazas mientras se realiza el trabajo de ingeniería.

La cadena de ataque cibernético describe una intrusión en siete fases. Los analistas de Lockheed Martin Eric Hutchins, Michael Cloppert y Rohan Amin la presentaron en 2011 para conectar el conocimiento sobre la operación de un adversario con la acción defensiva.

Sigue las siete fases

1. Reconocimiento: investigar a las personas y los sistemas expuestos.
2. Preparación de recursos de ataque: preparar código malicioso o una técnica de explotación junto con un medio de entrega.
3. Entrega: enviarlo por correo electrónico, web, USB u otra vía.
4. Explotación: activar el código mediante una vulnerabilidad o una acción del usuario.
5. Instalación: introducir software malicioso u otro mecanismo que mantenga el acceso.
6. Mando y control (C2): establecer un canal para dirigir el sistema comprometido.
7. Acciones sobre los objetivos: perseguir el propósito, como el robo, el cifrado o el desplazamiento a otros sistemas.

La preparación de recursos de ataque ocurre en el entorno del atacante. Los defensores suelen observar poco de ella directamente. Otras fases pueden dejar evidencias en registros de correo, dispositivos finales, red o identidad.

Analiza una intrusión completa

Un atacante estudia anuncios de empleo y perfiles del personal para encontrar empleados de finanzas: reconocimiento. Crea una hoja de cálculo con una macro maliciosa: preparación de recursos de ataque. Enviarla como una factura de un proveedor es la entrega. Un usuario habilita su contenido y la macro se ejecuta: explotación.

Una puerta trasera que se inicia al iniciar sesión constituye la instalación. Sus contactos mediante HTTPS cada cinco minutos constituyen el C2. Copiar registros de clientes a un servidor externo son acciones sobre los objetivos. Cada etiqueta describe la actividad respaldada por evidencias; si la recopilación termina antes de observar una fase, registra que faltan evidencias.

La idea defensiva de la cadena es interrumpir la operación antes de que alcance su objetivo. Un bloqueo efectivo en la entrega puede impedir las fases posteriores de ese intento. Por lo general, cuesta menos que responder después de un robo de datos, y el intento fallido sigue proporcionando inteligencia sobre el siguiente.

Elige un curso de acción

El modelo de 2011 relaciona las fases con detectar, denegar, interrumpir, degradar, engañar y destruir. «Detectar» identifica una acción. «Denegar» la impide. «Interrumpir» detiene su funcionamiento. «Degradar» reduce su eficacia. «Engañar» proporciona al adversario información o respuestas que lo inducen a error.

«Destruir» describe una acción ofensiva contra los recursos del adversario. El análisis defensivo no autoriza el acceso a esos recursos. Mantén las acciones dentro de las facultades de la organización y del proceso de respuesta aprobado.

Reconoce los límites del modelo

La cadena original se ajusta mejor al software malicioso entregado desde fuera que a una intrusión interna o mediante una cuenta de nube robada. Sitúa gran parte de la actividad posterior al compromiso dentro de las acciones sobre los objetivos, ocultando distinciones como el escalamiento de privilegios y la recopilación. La cadena de ataque unificada de Paul Pols, publicada en 2017, amplía la descripción a 18 fases.

Las operaciones reales pueden volver a fases anteriores: un intruso puede realizar más reconocimiento después de entrar. Compara varias intrusiones fase por fase para identificar métodos de entrega y configuraciones de C2 recurrentes, y después combina esa visión de campaña con evidencias más detalladas del comportamiento. Un bloqueo temprano es un resultado útil, pero los intentos relacionados y los equipos ya expuestos también merecen investigación.

El modelo del diamante de análisis de intrusiones, publicado por Sergio Caltagirone, Andrew Pendergast y Christopher Betz en 2013, describe un evento de intrusión. En ese evento, un adversario utiliza una capacidad a través de una infraestructura contra una víctima para producir un resultado.

Sitúa las evidencias en el vértice adecuado

Una dirección IP de C2 es infraestructura. El código que utiliza esa dirección es capacidad. Registra tanto a las personas o la organización como a los sistemas afectados bajo víctima; «un portátil» puede ocultar por qué se seleccionó ese activo.

La infraestructura de tipo 1 pertenece al adversario o está totalmente controlada por él, como un servidor alquilado. La infraestructura de tipo 2 está controlada por un intermediario, como un sitio web comprometido. El intermediario puede ser otra víctima. Las empresas de alojamiento y los registradores son proveedores de servicios que pueden ayudar a investigar o retirar infraestructura.

Añade las circunstancias del evento

Las metacaracterísticas del modelo describen la marca de tiempo, la fase, el resultado, la dirección, la metodología y los recursos. La marca de tiempo indica cuándo; la fase sitúa la actividad en una operación más amplia; el resultado registra éxito, fracaso o desconocido. La dirección puede mostrar una entrega de la infraestructura a la víctima o C2 de la víctima a la infraestructura. La metodología nombra la clase de actividad, mientras que los recursos describen el software, los conocimientos o el dinero necesarios.

El modelo ampliado añade un eje sociopolítico entre el adversario y la víctima: el motivo de esa elección del objetivo. Su eje tecnológico conecta la capacidad y la infraestructura: por ejemplo, la resolución DNS y la comunicación HTTPS que permiten a una puerta trasera llegar a su controlador.

Explora una relación cada vez

Una alerta de EDR en un portátil de finanzas identifica una puerta trasera que contacta con cdn-sync.example. Empieza con el portátil como víctima, la puerta trasera como capacidad y el dominio como infraestructura. Mantén al adversario como desconocido.

El DNS pasivo conecta el dominio con 203.0.113.45 y muestra update-portal.example en esa dirección. Esto proporciona una segunda pista de infraestructura. Un repositorio de software malicioso vincula otra muestra de puerta trasera con ese segundo dominio, lo que añade una capacidad. Un colaborador informa del dominio en incidentes en dos empresas de logística, lo que añade pistas sobre víctimas.

Cada paso de exploración produce una relación que hay que verificar. El alojamiento compartido por sí solo es una evidencia débil de control común, por lo que debes conservar las fechas y buscar corroboración antes de agrupar a clientes sin relación entre sí. El resultado útil es un rastro de evidencias cada vez mayor, no un nombre de actor obtenido rápidamente.

Conecta eventos sin afirmar más de lo que sabes

Los eventos ordenados en el tiempo para una víctima forman un hilo de actividad. Los hilos y eventos relacionados forman un grupo de actividad cuando comparten características significativas, como infraestructura, capacidad u objetivos. El grupo se aproxima a un adversario o campaña y sigue siendo una agrupación analítica hasta que evidencias más sólidas respalden la atribución.

Los vértices vacíos indican al analista dónde faltan evidencias. Déjalos como desconocidos y utiliza las aristas conocidas para planificar la siguiente búsqueda. Un diamante que parece completo porque está lleno de conjeturas es menos útil que uno incompleto cuyas relaciones se pueden comprobar.

Un solo incidente puede requerir una presentación del progreso, un plan de detección y una investigación de infraestructura. La cadena de ataque cibernético, ATT&CK y el modelo del diamante organizan las mismas evidencias para estas preguntas distintas.

Elige primero la pregunta

Analiza una intrusión de tres formas

Un correo de suplantación de identidad entrega una hoja de cálculo a un equipo de finanzas. Un usuario habilita su macro. La macro instala una puerta trasera, registra una tarea programada para el inicio de sesión y contacta con cdn-sync.example mediante HTTPS. El SOC aísla el portátil antes de observar más actividad.

La descripción con la cadena de ataque identifica entrega, explotación, instalación y C2. Indica que no se han observado acciones sobre los objetivos. El aislamiento es una acción defensiva; la ausencia de observaciones posteriores sigue dependiendo de los datos que se recopilaron.

ATT&CK separa los comportamientos: Archivo adjunto de suplantación de identidad dirigida (T1566.001) para el archivo adjunto, Ejecución por el usuario: archivo malicioso (T1204.002) para habilitarlo, Tarea programada (T1053.005) para el inicio recurrente y Protocolos web (T1071.001) para el C2 mediante HTTPS. Cada asignación remite a un hecho del incidente.

El evento del modelo del diamante registra un adversario desconocido, la macro y la puerta trasera como capacidad, la dirección del remitente y el dominio contactado como infraestructura, y el equipo de finanzas junto con el portátil afectado como víctima. Sugiere comprobar otros mensajes del remitente y otros equipos que contacten con el dominio.

Conecta fases y comportamientos con cuidado

Reconocimiento se corresponde estrechamente entre ATT&CK y la cadena de ataque. Desarrollo de recursos se solapa con la preparación de recursos de ataque. Acceso inicial y Ejecución pueden describir la entrega y la explotación; Persistencia se solapa con la instalación; Mando y control se solapa con C2. Muchas de las tácticas restantes de ATT&CK encajan dentro de las acciones sobre los objetivos.

La relación es aproximada. ATT&CK ofrece distinciones detalladas posteriores al compromiso que la cadena original comprime. Forzar una táctica de ATT&CK a encajar exactamente en una fase de la cadena de ataque puede ocultar el propósito o la secuencia que muestran las evidencias.

Distingue las descripciones de ataques de los planes de pruebas

El Manual de la metodología abierta de pruebas de seguridad (OSSTMM) de ISECOM y la Guía de pruebas de seguridad web de OWASP organizan las pruebas autorizadas: planificación, realización de comprobaciones y presentación de resultados. Son metodologías de pruebas. Los tres marcos de análisis de ataques describen la actividad del adversario para su análisis.

Un plan de pruebas puede utilizar un comportamiento de ATT&CK para elegir una simulación autorizada y después usar sus resultados para actualizar la cobertura. El plan y el vocabulario de comportamiento cumplen funciones distintas. Ningún marco establece por sí solo la identidad del actor; la atribución sigue requiriendo evidencias y un nivel de confianza por separado.

La búsqueda proactiva de amenazas es una búsqueda proactiva, iterativa y dirigida por personas de actividad adversaria que las detecciones automatizadas no han detectado. El especialista considera que ya puede existir una intrusión y después busca evidencias en dispositivos finales, redes, identidades y servicios en la nube.

Distingue las actividades próximas

Una alerta anterior puede proporcionar una pista para una búsqueda. Una búsqueda que encuentra un incidente lo transfiere al equipo de respuesta a incidentes. Estos límites describen el propósito del trabajo; los equipos pueden intercambiar evidencias durante todo el proceso.

Los atacantes pueden pasar desapercibidos mediante el uso malicioso de herramientas legítimas del sistema, utilizando herramientas integradas como PowerShell o Windows Management Instrumentation. Las herramientas que los administradores utilizan a diario necesitan un análisis contextual. El tiempo de permanencia sin detectar es el tiempo que un intruso permanece sin ser detectado. Las búsquedas pretenden reducirlo; algunas intrusiones permanecen ocultas durante meses o años.

Relaciona el tipo de búsqueda con su punto de partida

Una búsqueda basada en hipótesis pone a prueba una afirmación concreta sobre el comportamiento. Una búsqueda basada en inteligencia comienza con los indicadores o las TTP de un nuevo informe y puede buscar en registros antiguos. Una búsqueda basada en una línea base establece la actividad normal y examina las desviaciones. Una búsqueda asistida por modelos utiliza aprendizaje automático para mostrar patrones inusuales que una persona debe examinar.

Estos tipos pueden funcionar juntos. Un informe sobre persistencia mediante tareas programadas puede conducir a una hipótesis, una comparación de frecuencias con la línea base y una agrupación asistida por modelos de acciones inusuales de tareas. El especialista sigue interpretando las evidencias.

Elige lugares relevantes donde buscar

Las configuraciones y los errores de configuración ofrecen pistas: nuevas cuentas de administrador, registros desactivados, cambios en directivas de grupo y servicios recién expuestos. Los activos críticos como controladores de dominio, sistemas de pago, servidores de copias de seguridad y el ERP merecen atención porque su compromiso tiene un coste elevado.

Las redes segmentadas o desconectadas pueden tener menor visibilidad. En entornos industriales, prefiere la recopilación pasiva porque el escaneo activo puede interrumpir equipos frágiles. Elige un método adecuado tanto para el activo como para la amenaza.

Comprueba la visibilidad antes de prometer una respuesta

Una búsqueda necesita registros pertinentes de dispositivos finales, red, identidad o nube, un plazo de conservación suficiente y herramientas para consultarlos. La conservación suele alcanzar 90 días o más, pero la ventana necesaria depende de la pregunta. Verifica qué equipos y campos están realmente presentes y cómo se reconocerá la actividad normal.

El modelo de madurez de la búsqueda de amenazas va desde HM0 Inicial, que depende de alertas automatizadas, pasando por HM1 Mínimo, que busca indicadores; HM2 Procedimental, que utiliza procedimientos escritos por otros; y HM3 Innovador, que crea procedimientos, hasta HM4 Líder, que automatiza las búsquedas exitosas y las convierte en detecciones. Buscar indicadores es útil, pero deja de encontrar coincidencias cuando cambia la infraestructura.

Si no se encuentran evidencias que respalden la hipótesis, informa del comportamiento probado, el alcance, los métodos y los límites de visibilidad. Los registros ausentes se convierten en un hallazgo de visibilidad. Un valor atípico benigno documentado mejora la línea base. Ambos son resultados que permiten actuar incluso cuando la búsqueda no produce un incidente.

Una hipótesis de búsqueda de amenazas plantea un comportamiento adversario concreto que puede estar presente en un entorno definido. Da al especialista una dirección de búsqueda y un punto de parada. Una afirmación como «hay una APT aquí» no proporciona ninguno de los dos.

Construye las cuatro partes

Una hipótesis útil nombra el comportamiento, el alcance, las evidencias observables y la fuente de datos. El alcance incluye los sistemas y el tiempo. Prueba: «Si este comportamiento ocurre en estos sistemas durante este periodo, estos registros deberían contener estas evidencias».

Entre los puntos de partida se encuentran informes sobre actores relevantes, carencias de ATT&CK con amenazas altas, incidentes anteriores, nuevos servicios en la nube, fusiones, anomalías diarias y hallazgos de equipos de ataque. Empieza con una de estas pistas y después describe el comportamiento con suficiente precisión para buscarlo.

Acota una búsqueda de tareas programadas

«Los atacantes están utilizando PowerShell» produce demasiada actividad legítima. Una hipótesis más acotada es: «Un adversario creó tareas programadas, Tarea programada (T1053.005), en estaciones de trabajo de finanzas durante los últimos 30 días que ejecutan programas desde carpetas en las que los usuarios pueden escribir, como C:\Users\Public o AppData».

La evidencia esperada es un registro de creación de tareas que muestre ese destino. El evento 4698 de Seguridad de Windows registra la creación de tareas cuando está activada la auditoría correspondiente. Comprueba la directiva y la recopilación antes de la búsqueda. Lee la acción de la tarea, su creador, el equipo y la hora, e investiga las coincidencias independientemente de la cuenta que las creó. Las credenciales de administrador también pueden utilizarse indebidamente.

La condición de la carpeta acota deliberadamente la hipótesis. Las tareas que se ejecutan desde carpetas protegidas quedan fuera de esa búsqueda, así que conserva ese límite en el informe.

Decide qué contaría en su contra

Escribe un resultado refutatorio antes de buscar. Por ejemplo, todas las tareas coincidentes podrían corresponder a software conocido, registros de despliegue aprobados y comportamiento esperado de los procesos. Ese hallazgo cuenta en contra de la hipótesis en el alcance definido cuando los registros necesarios están completos. Los resultados vacíos de equipos que nunca enviaron el evento 4698 dejan la pregunta sin resolver.

Busca evidencias de explicaciones normales con el mismo empeño que las de explicaciones maliciosas. Registra los cambios de hipótesis y alcance mientras trabajas; de lo contrario, la afirmación final puede referirse a una pregunta que nunca se puso a prueba.

Ordena el trabajo y muestra las carencias de datos

Una clasificación sencilla puntúa la probabilidad, el impacto y la disponibilidad de datos de 1 a 3 y después los multiplica. En este ejemplo:

A va primero con este método. B afecta a activos importantes, pero carece de datos utilizables, por lo que su primera tarea es activar la recopilación. La puntuación ordena el trabajo; no es una probabilidad ni sustituye la gestión urgente de incidentes.

Una búsqueda crea valor cuando sus evidencias cambian la respuesta, la línea base, la recopilación o la detección. PEAK, presentado por el equipo SURGe de Splunk en 2023, organiza el trabajo como Preparar, Ejecutar y Actuar, con el Conocimiento como fuente de información para cada fase.

Ejecuta el proceso

Durante Preparar, investiga el comportamiento, formula la hipótesis y define el alcance, los datos y el plan. Durante Ejecutar, recopila y analiza registros, afina las búsquedas y escala de inmediato los hallazgos críticos. Durante Actuar, conserva el trabajo, comunica los hallazgos e implementa mejoras. El conocimiento incluye el contexto del negocio, la inteligencia de amenazas, la experiencia y lo que descubre esta búsqueda.

La búsqueda precisa encuentra valores o patrones conocidos. El análisis de frecuencias de valores cuenta valores y examina los más raros. La agrupación y el agrupamiento por similitud muestran eventos relacionados. El establecimiento de una línea base compara la actividad con el comportamiento normal a lo largo del tiempo. Una cronología puede después conectar valores atípicos con otras acciones en el equipo.

Analiza las frecuencias de nombres de tareas y examina el contexto

Un especialista cuenta los nombres en 2000 equipos Windows:

«SysHealthCheck» es la más rara y ejecuta C:\Users\Public\svc.exe sin firma en tres equipos de finanzas. Ese contexto hace que merezca investigación. «BackupAgentDaily» también es rara en el conjunto de equipos, pero corresponde a software instalado solo en servidores. Agrupar por función del equipo explica su frecuencia.

La rareza ordena la inspección; la clasificación necesita más evidencias. Comprueba la ascendencia de procesos, el usuario, la firma del archivo, la reputación del hash, los contactos de red y la hora de creación. Clasifica un resultado como benigno, sospechoso o malicioso según lo que establezcan estas comprobaciones. Documenta los valores atípicos legítimos en la línea base.

Examina los intervalos como otra pista

Un equipo contacta con 198.51.100.77 con intervalos de 300, 302, 298, 301, 299, 300, 303 y 297 segundos. La media es de 300 segundos y la desviación estándar de aproximadamente 1,9 segundos: una dispersión reducida. La navegación humana suele tener intervalos mucho menos regulares.

El software malicioso puede establecer una comunicación periódica con C2 y añadir una variación aleatoria de los intervalos para que se aproximen a un intervalo habitual sin ser idénticos. Los servicios legítimos de actualización y de hora también contactan con destinos regularmente. Comprueba el proceso que inicia las conexiones, el historial del destino y su prevalencia en equipos comparables antes de clasificar una conexión periódica.

Actúa preservando las evidencias

Escala la actividad maliciosa al equipo de respuesta a incidentes según el proceso de la organización. Coordina las acciones con el equipo de respuesta; evita eliminar el archivo o iniciar sesión de forma interactiva de maneras que alteren las evidencias o alerten al intruso.

Convierte la búsqueda en una regla nueva o ajustada, una corrección de visibilidad, un cambio de configuración, inteligencia compartida o una línea base mejorada. El registro de bloques de scripts de PowerShell, por ejemplo, registra el evento 4104 y puede subsanar una carencia para análisis posteriores.

El informe conserva la hipótesis, el alcance, las fuentes, las consultas, los hallazgos, los falsos positivos y las tareas de seguimiento asignadas. Mide las detecciones creadas, las carencias subsanadas, las técnicas investigadas y el tiempo hasta el resultado, junto con los incidentes encontrados. Las consultas y notas guardadas permiten al siguiente analista repetir o automatizar el trabajo útil.

La defensa activa interactúa con un adversario, lo ralentiza o lo estudia mediante acciones defensivas en el entorno de la propia organización. El engaño, el bloqueo dinámico y la contención rápida pueden apoyarla. El ciberengaño crea recursos que los usuarios legítimos no tienen ningún motivo de negocio para tocar.

Elige el señuelo según el propósito

Un sistema señuelo no tiene finalidad de producción. Un dato o credencial señuelo puede estar dentro de un entorno por lo demás real: una cuenta de administrador que nunca se usa, una clave falsa de nube, un registro señuelo de una base de datos o un documento centinela que informa del acceso. Necesita un mecanismo de alerta que registre qué se tocó y de dónde procedía el contacto.

Deja que la ubicación determine la conclusión

Un servidor de archivos falso cerca de activos de finanzas puede revelar descubrimiento interno o movimiento lateral. Un sistema señuelo expuesto a internet recibe sobre todo escaneos amplios y ataques automatizados. Ambos pueden recopilar inteligencia útil, pero un escaneo externo por sí solo aporta pocas evidencias de que se haya seleccionado a una empresa concreta.

La línea base esperada es fundamental. Si los usuarios reales abren habitualmente un archivo señuelo, sus alertas mezclan la actividad normal con el comportamiento de interés. Haz que los señuelos resulten plausibles para un intruso y mantenlos fuera de los flujos de trabajo legítimos. Ten en cuenta los escáneres de seguridad conocidos al revisar los contactos.

Pasa de un contacto a una búsqueda

Una empresa coloca FIN-BACKUP-02 en la red de finanzas. No tiene usuarios legítimos y se esperan cero conexiones. A las 02:14 recibe un intento de conexión SMB desde una estación de trabajo de finanzas.

La alerta proporciona una pista precisa: equipo de origen, destino, servicio y hora. El especialista examina la actividad de esa estación de trabajo alrededor del contacto y encuentra un programa desconocido ejecutado por una tarea programada e inicios de sesión de escritorio remoto con una cuenta que debería estar inactiva. Las evidencias combinadas impulsan la investigación; el señuelo facilitó la detección de una ruta oculta.

Asigna técnicas de ATT&CK a las acciones observadas cuando las evidencias lo respalden. Mantén el contacto en sí separado de los supuestos sobre lo que ocurrió antes o sobre qué grupo lo causó. El sistema señuelo puede convertirse en una fuente interna de inteligencia y la búsqueda puede identificar una regla de comportamiento que convenga automatizar.

Contén el riesgo del señuelo

Aísla los sistemas señuelo, limita su capacidad para llegar a producción y supervisa su actividad de cerca para que un señuelo comprometido no pueda convertirse en un punto de partida de ataques. Los sistemas de alta interacción necesitan especialmente este cuidado porque ejecutan software real. Obtén una revisión legal y de privacidad para la recopilación que registra la actividad y los datos de los visitantes. Mantén la interacción dentro de los sistemas y las acciones autorizados.

Engage de MITRE ayuda a planificar el engaño y la interacción con el adversario en torno a objetivos definidos. El engaño funciona junto con la supervisión del SOC, los especialistas en búsqueda de amenazas y el equipo de respuesta. Su valor distintivo es un recurso con una línea base de uso legítimo cercana a cero, no una visión completa de todas las rutas de intrusión.

Compartir permite que el incidente de una organización se convierta en una alerta temprana para otra. Los intercambios útiles incluyen contexto, confianza y normas de tratamiento, además de indicadores. La publicación especial 800-150 del NIST recomienda acordar los objetivos, el alcance y el tratamiento del intercambio antes de que comience un intercambio urgente.

Elige la comunidad y la plataforma

Un centro de intercambio y análisis de información (ISAC) presta servicio a un sector como finanzas, sanidad o energía. Una organización de intercambio y análisis de información (ISAO) puede formarse en torno a otro interés común, como una región. Los CERT y CSIRT nacionales coordinan incidentes y publican advertencias. Algunos ejemplos son CISA en Estados Unidos, el NCSC del Reino Unido y CERT-EU para las instituciones de la Unión Europea.

Aporta hallazgos relevantes además de recibirlos. MISP organiza eventos y etiquetas compartidos y puede sincronizar servidores de los miembros. OpenCTI almacena inteligencia vinculada en un grafo de conocimiento basado en STIX. Open Threat Exchange (OTX) agrupa indicadores relacionados en «pulsos» de la comunidad. La plataforma facilita el intercambio; las normas de la comunidad rigen su contenido y sus destinatarios.

Separa el contenido del transporte

STIX 2.1 es el lenguaje de inteligencia de OASIS basado en JSON. Los objetos de dominio describen indicadores, software malicioso, actores de amenazas, conjuntos de intrusiones, patrones de ataque, campañas, vulnerabilidades y cursos de acción. Los objetos de relación conectan estos conceptos; un avistamiento registra que se observó algo.

Un indicador STIX incluye un patrón y una fecha de inicio de validez. Por ejemplo, [domain-name:value = 'update-portal.example'] expresa una coincidencia de dominio. El patrón identifica qué buscar; el objeto que lo contiene proporciona contexto y validez.

TAXII 2.1 transporta STIX mediante HTTPS. Un servidor ofrece colecciones que los clientes autorizados leen y a las que, cuando está permitido, añaden elementos. STIX describe la inteligencia; TAXII la transporta. La elección de un formato por sí sola no concede permiso para redistribuir un informe.

Aplica TLP 2.0

El protocolo del semáforo (TLP) de FIRST comunica la divulgación permitida:

TLP 2.0, publicado en 2022, sustituyó TLP:WHITE por TLP:CLEAR. TLP es una convención de intercambio, no cifrado ni un sistema de clasificación de seguridad.

Para un informe TLP:AMBER de un ISAC, el destinatario puede informar a su SOC y a los clientes que necesiten protección. No puede publicar el informe ni reenviarlo a toda la comunidad. Una divulgación más amplia requiere permiso de la fuente.

Prepara el informe para sus destinatarios permitidos

Antes de difundirlo, elimina los datos personales innecesarios, los nombres internos de equipos y los detalles que identifiquen a la víctima. Comprueba los requisitos aplicables de protección de datos, los contratos, los acuerdos de confidencialidad y el consentimiento. Conserva los indicadores y las descripciones de comportamiento útiles sin exponer la identidad de la víctima cuando sea posible. Depurar un informe y respetar su etiqueta TLP son tareas distintas: eliminar un nombre de equipo no amplía el permiso original de intercambio.

La defensa basada en inteligencia dirige el esfuerzo hacia los adversarios y comportamientos que importan a la organización. Las mismas evidencias pueden cambiar las prioridades de respuesta, los parches, las estimaciones de riesgo del negocio, la arquitectura y la detección.

Conecta la inteligencia con cinco funciones

Para la ingeniería, las credenciales de VPN robadas sugieren MFA resistente a la suplantación de identidad. La extracción de la memoria de LSASS sugiere Credential Guard y privilegios limitados de administrador y depuración. El movimiento basado en RDP sugiere un acceso más restringido a RDP y segmentación. El control responde al método observado y al entorno al que puede afectar.

Distingue la gravedad de la explotación

El sistema común de puntuación de vulnerabilidades (CVSS) describe la gravedad técnica en una escala de 0 a 10. El catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA identifica fallos con evidencias fiables de explotación real. El sistema de puntuación de predicción de explotación (EPSS) de FIRST estima la probabilidad, de 0 a 1, de explotación en los próximos 30 días. Ninguno de ellos describe por sí solo todo el riesgo para el negocio del activo afectado.

Compara dos hallazgos. A tiene CVSS 9,8, EPSS 0,03, no figura en KEV y está en un servidor de pruebas interno. B tiene CVSS 7,5, EPSS 0,92, figura en KEV y afecta a la pasarela VPN crítica expuesta a internet. B va primero porque se combinan la explotación actual, la exposición y la importancia para el negocio. Ordenar solo por CVSS pasaría por alto esos hechos. La ausencia de KEV sigue dejando incertidumbre sobre la explotación; no demuestra que sea seguro.

Utiliza STRIDE para examinar un diseño

El modelado de amenazas examina el diseño de un sistema antes de un ataque. STRIDE de Microsoft agrupa las amenazas según la propiedad de seguridad en riesgo:

La inteligencia añade qué amenazas están utilizando ahora los adversarios relevantes. Ayuda a priorizar la revisión del diseño sin reducir el modelado de amenazas a una lista de nombres de software malicioso actual.

Convierte las decisiones en resultados medibles

Los indicadores pueden alimentar listas de vigilancia del SIEM, listas de bloqueo del EDR y filtros DNS. Sigma suele expresar reglas de detección en registros; YARA expresa reglas para patrones de archivos. Las reglas basadas en el comportamiento siguen necesitando los datos correctos, pruebas y ajustes.

Mide las detecciones creadas, el tiempo desde la recepción de un indicador hasta su aplicación, los incidentes encontrados con inteligencia y los requisitos respondidos. Pregunta a los destinatarios si el producto cambió una decisión. Su retroalimentación actualiza los requisitos, mientras que los hallazgos de incidentes y búsquedas aportan la siguiente ronda de evidencias.