Tiempo de lectura: 4 minutos.
Detectar comportamientos, no solo indicadores
Durante años, la defensa se apoyó en listas: hashes de archivos maliciosos, direcciones IP y dominios peligrosos. Funcionan, pero el atacante los cambia en minutos. David Bianco lo explicó con su pirámide del dolor: en la base están los indicadores fáciles de reemplazar (hashes, IP, dominios) y en la cima las tácticas, técnicas y procedimientos (TTP), que obligan al atacante a cambiar su forma de trabajar.
Por eso un SOC maduro busca comportamientos. «Un documento de Office que abre una consola de comandos» sigue siendo sospechoso aunque el archivo cambie cada día.
Qué es MITRE ATT&CK
Es una base de conocimiento gratuita, mantenida por la organización MITRE, que documenta lo que los atacantes han hecho en ataques reales. Su matriz principal, para redes corporativas y nube, se organiza en 15 tácticas, desde el reconocimiento hasta el impacto. Cada táctica agrupa técnicas, y cada técnica tiene una ficha con su identificador, las plataformas afectadas, ejemplos, mitigaciones y formas de detectarla.
El identificador es el lenguaje común del sector. Cuando un informe dice T1190, cualquier analista sabe que habla de explotar una aplicación expuesta a internet.
Cómo lo usa un SOC
- Para ver sus puntos ciegos. Con la herramienta gratuita ATT&CK Navigator se colorean las técnicas que el SOC detecta y las que no. El mapa resultante dice dónde invertir.
- Para investigar. Cada hallazgo de un incidente se etiqueta con su técnica, y la secuencia cuenta la historia del ataque.
- Para priorizar. Si los grupos que atacan a tu sector usan ciertas técnicas, esas son las primeras que debes cubrir.
- Para probarse. Un ejercicio de purple team reproduce técnicas reales y mide si las detecciones funcionan.
Un matiz: una matriz «toda en verde» no significa seguridad total. Una técnica puede ejecutarse de muchas formas y una sola regla rara vez las cubre todas.
Aprender sin cruzar la línea
Estudiar cómo ataca un adversario no autoriza a imitarlo. En Ecuador, entrar a un sistema ajeno sin autorización es delito (art. 234 del COIP), aunque el sistema esté expuesto en internet. Las técnicas se practican en laboratorios propios y aislados; en el sector público y la infraestructura crítica digital, las pruebas de seguridad requieren autorización escrita con alcance y duración, como dispone la Ley Orgánica para el Fortalecimiento de la Ciberseguridad de Ecuador.
Preguntas frecuentes
¿ATT&CK es solo para equipos grandes? No. Un SOC de tres personas puede usarlo para decidir qué reglas escribir primero y para explicar con claridad lo que detecta.
¿Qué diferencia hay entre una táctica y una técnica? La táctica es el objetivo del momento (por ejemplo, moverse a otro equipo); la técnica es la forma de lograrlo (por ejemplo, usar el escritorio remoto con credenciales obtenidas).
¿Usar ATT&CK me hace cumplir la ley? No por sí solo. Pero un mapa de cobertura es una forma concreta de demostrar que existen mecanismos de monitoreo y detección, algo que la normativa ecuatoriana exige al sector público y a los servicios esenciales.
¿Por dónde empiezo? Abre la matriz en la web de MITRE, elige tres técnicas que te preocupen y pregúntate si hoy podrías verlas en tus registros.
Fuentes
- MITRE. (2026). ATT&CK Enterprise tactics (versión 20).
- MITRE. (s. f.). ATT&CK Navigator.
- Bianco, D. J. (2013). The pyramid of pain [Entrada de blog]. http://detect-respond.blogspot.com/2013/03/the-pyramid-of-pain.html
- Asamblea Nacional del Ecuador. (2026, 22 de mayo). Ley Orgánica para el Fortalecimiento de la Ciberseguridad. Registro Oficial, Quinto Suplemento N.º 290.
Licencia y nota
Texto publicado bajo licencia CC BY-SA 4.0. Contenido educativo.
Opiniones personales del autor.