La inteligencia de amenazas (CTI), explicada.

Una lista de bloqueo de mil IP maliciosas no es inteligencia de amenazas. Tampoco lo es un artículo de noticias sobre una banda de ransomware, ni una hoja de cálculo con hashes de ficheros que alguien descargó de un feed. Todo eso son entradas. La inteligencia de amenazas cibernéticas (CTI) es lo que obtienes después de que alguien haya evaluado esas entradas, determinado cuáles son relevantes para tu organización, las haya corroborado contra otras fuentes, y haya convertido el resultado en algo sobre lo que una persona concreta puede actuar: un CISO decidiendo dónde invertir el presupuesto, un respondedor de incidentes decidiendo si una alerta es la misma campaña de la semana pasada, o un ingeniero de detección decidiendo qué regla escribir a continuación. Este artículo cubre qué es realmente la CTI, los cuatro niveles que la estructuran, cómo se relacionan los IOC con la disciplina más amplia, el ciclo de inteligencia que ejecutan los equipos de CTI, cómo se comparte la inteligencia entre organizaciones, y cómo todo ello acaba convirtiéndose en detecciones mapeadas a MITRE ATT&CK.

Inteligencia frente a información

La palabra «inteligencia» no es decoración. La información en bruto –una dirección IP, una publicación filtrada de un foro, el blog de un proveedor sobre una nueva familia de malware– se convierte en inteligencia solo después de pasar por un proceso: recolección desde una fuente conocida, evaluación de la fiabilidad de esa fuente, correlación con lo que ya sabes, y análisis que responde a una pregunta que alguien realmente hizo. Un montón de IOC sin verificar en una hoja de cálculo no es inteligencia; es una reserva de inteligencia potencial, esperando a ser procesada. Esta distinción importa porque también es la diferencia entre un indicador y la disciplina que produce, cura y contextualiza indicadores. Si quieres profundizar en los tipos de indicadores en sí –hashes de ficheros, IP, dominios, mutex, huellas JA3– y en la Pirámide del Dolor, que clasifica cuán caro le resulta a un atacante cambiar cada uno, consulta nuestro artículo dedicado a los indicadores de compromiso. Este artículo se queda un nivel por encima: la CTI como el programa y el proceso que le da sentido a esos indicadores.

Los cuatro niveles de la CTI

La forma más útil de organizar la inteligencia de amenazas es según quién la consume y con qué rapidez necesita moverse. El sector generalmente divide la CTI en cuatro niveles, cada uno con una audiencia, un marco temporal y un formato de salida distintos:

La inteligencia estratégica responde a «¿deberíamos preocuparnos, y por qué?». Raras veces nombra una dirección IP concreta; describe tendencias –un grupo de ransomware como servicio expandiéndose hacia un nuevo sector, un actor de estado-nación virando hacia el compromiso de la cadena de suministro– en un lenguaje que un consejo de administración puede usar para justificar decisiones de presupuesto o de apetito de riesgo. La inteligencia operacional está un nivel más abajo: sigue una campaña o un actor concreto lo bastante de cerca como para informar decisiones durante un incidente activo, como si la intrusión que estás gestionando esta semana coincide con las herramientas y objetivos de un grupo ya perfilado en otro sitio. La inteligencia táctica es donde la CTI empieza a parecer una entrada de ingeniería: describe exactamente cómo se comporta un adversario, en términos sobre los que los equipos de detección pueden construir, normalmente referenciando IDs específicos de técnicas de MITRE ATT&CK. La inteligencia técnica es el nivel más rápido y más perecedero: los IOC atómicos que se envían a firewalls, EDR y SIEM en el momento en que se validan, y que se degradan más rápido a medida que los atacantes rotan su infraestructura.

Una función de CTI madura produce los cuatro niveles, porque sirven a decisiones completamente distintas. Un CISO no necesita un hash; a un firewall no le importan las tendencias sectoriales. Los niveles no son una jerarquía de importancia: son una jerarquía de velocidad y audiencia, y confundirlos es una de las formas más comunes en que los programas de CTI fallan a la hora de llegar a la gente que los necesita.

IOC vs TTP: dos monedas distintas

La inteligencia técnica y la táctica manejan dos tipos de evidencia fundamentalmente distintos. Un IOC es un artefacto específico y desechable de una instancia concreta de ataque: este hash exacto, esta IP exacta, este dominio exacto. Es preciso e inequívoco, pero barato de invalidar para un atacante: recompila el binario y el hash cambia, alquila un nuevo VPS y la IP cambia. Un TTP (tactic, technique, and procedure, o táctica, técnica y procedimiento) describe cómo opera un adversario –su método para conseguir acceso inicial, escalar privilegios o moverse lateralmente– independientemente de qué herramientas o infraestructura concretas esté usando hoy. Cambiar un TTP significa rediseñar toda una operación, razón por la cual la detección basada en TTP es mucho más duradera que el bloqueo basado en IOC.

Esta es la misma lógica detrás de la Pirámide del Dolor de David Bianco, que clasifica los tipos de indicador según cuánto dolor le causas a un adversario cuando se los niegas –hashes e IP en la base, TTP en la cima. Cubrimos ese modelo, junto con un catálogo completo de tipos de IOC y ejemplos, en indicadores de compromiso explicados. La versión corta a efectos de CTI: la inteligencia técnica (IOC) te da coincidencias rápidas y precisas contra amenazas conocidas; la inteligencia táctica (TTP) te da resiliencia frente a variantes de la misma amenaza que aún no has visto. Un programa de CTI que solo produce feeds de IOC se queda permanentemente un paso por detrás; uno que también produce análisis a nivel de TTP le da a la ingeniería de detección algo duradero sobre lo que construir.

El ciclo de inteligencia, aplicado a las amenazas

Los equipos de CTI no recolectan de forma indiscriminada: ejecutan un bucle estructurado, adaptado del oficio clásico de la inteligencia, que mantiene el trabajo atado a decisiones reales en lugar de convertirse en un ejercicio de acumulación sin fin:

1. Planificación y dirección. Define el requisito de inteligencia: ¿qué decisión necesita tomar alguien, y qué necesitaría saber para tomarla? «¿Somos un objetivo plausible para este nuevo afiliado de ransomware?» tiene respuesta. «Cuéntanos sobre el ransomware» no la tiene.
2. Recolección. Reúne material en bruto en función de ese requisito –telemetría interna del SOC, informes de fuentes abiertas, feeds de pago, boletines de ISAC (Information Sharing and Analysis Center), monitorización de la dark web, y feeds estructurados vía STIX/TAXII.
3. Procesamiento. Normaliza formatos, elimina duplicados, traduce y extrae entidades para que la recolección en bruto se convierta en algo con lo que los analistas puedan trabajar de verdad, en lugar de un montón de informes desconectados.
4. Análisis y producción. Correlaciona fuentes, pondera la fiabilidad, separa el hecho confirmado de la inferencia, y redacta el producto real –un informe estratégico, una evaluación operacional, un análisis táctico de TTP, o un paquete técnico de IOC.
5. Difusión. Entrega cada producto al nivel que lo necesita, en el formato que ese nivel puede usar –una presentación para el consejo no es un feed para el SIEM, y ninguno debería intentar ser el otro.
6. Retroalimentación. Los consumidores le dicen al equipo de CTI si el producto realmente respondió a su pregunta, lo cual remodela los requisitos del siguiente ciclo. Este paso de bucle de retorno es lo que mantiene un programa de CTI relevante, en lugar de producir informes que nadie lee.

Confianza y fiabilidad de la fuente

No toda la información recolectada merece la misma confianza, y los buenos productos de CTI lo dicen explícitamente. Muchos programas toman prestado el Código Almirantazgo (Admiralty Code, también llamado Admiralty System), derivado de la OTAN, que puntúa un informe en dos ejes independientes: fiabilidad de la fuente (A, completamente fiable, hasta F, la fiabilidad no se puede juzgar) y credibilidad de la información (1, confirmada por otras fuentes, hasta 6, la veracidad no se puede juzgar). Un informe puede llevar una calificación como «B2»: una fuente normalmente fiable, probablemente cierta pero aún no confirmada de forma independiente. Use o no un equipo esa notación exacta, la disciplina subyacente es universal: declara tu nivel de confianza, muestra tus fuentes, y nunca dejes que un solo informe sin verificar impulse una decisión de alto riesgo. Esta es también la razón por la que el análisis separa explícitamente lo que se sabe de lo que se evalúa –un hábito que mantiene honestos a los productos estratégicos y operacionales bajo escrutinio.

Feeds de inteligencia de amenazas y estándares de intercambio

Un indicador o una técnica descubierta por una organización es mucho más valiosa una vez que otras también pueden actuar sobre ella, razón por la cual el intercambio de inteligencia de amenazas es todo un ecosistema construido sobre estándares comunes en lugar de adjuntos de correo ad hoc.

STIX y TAXII. STIX (Structured Threat Information eXpression) es el lenguaje estandarizado, basado en JSON, para describir objetos de inteligencia de amenazas –indicadores, actores de amenaza, malware, campañas, patrones de ataque y las relaciones entre ellos– de modo que la inteligencia de una organización signifique exactamente lo mismo cuando la herramienta de otra organización la lea. TAXII (Trusted Automated eXchange of Intelligence Information) es el protocolo de transporte que mueve contenido STIX entre servidores y clientes por HTTPS. La forma abreviada de verlo: STIX es el qué y TAXII es el cómo; ambos viven bajo la gobernanza de OASIS, lo que mantiene el formato neutral respecto a proveedores.

Traffic Light Protocol (TLP). Compartir inteligencia sensible también requiere acordar quién tiene permiso para verla y reenviarla. TLP, mantenido por FIRST, marca cada elemento compartido con un color sencillo: TLP:RED significa solo para los destinatarios nombrados, TLP:AMBER (y el más estricto TLP:AMBER+STRICT) significa limitado a la organización del destinatario, TLP:GREEN significa que se puede compartir dentro de la comunidad más amplia, y TLP:CLEAR significa sin restricciones. Es una etiqueta ligera, no un control técnico, pero permite a los analistas pasar detalles sensibles de una campaña entre organizaciones sin ambigüedad sobre su redistribución.

Plataformas. MISP (Malware Information Sharing Platform) es el hub de código abierto ampliamente usado para almacenar, correlacionar y compartir inteligencia entre comunidades de confianza, importando y exportando vía STIX/TAXII. OpenCTI es una plataforma de código abierto más reciente, construida nativamente en torno al modelo de datos STIX, que estructura la inteligencia como un grafo conectado de indicadores, actores, campañas y técnicas en lugar de una lista plana.

ISAC y feeds. Muchos sectores gestionan un Information Sharing and Analysis Center (ISAC): comunidades específicas de sector (servicios financieros, sanidad, energía y otros tienen cada uno el suyo) donde los miembros comparten inteligencia relevante para su panorama de amenazas compartido, bajo reglas de confianza acordadas. Por debajo de eso, los feeds técnicos gratuitos completan el cuadro: URLhaus, ThreatFox y MalwareBazaar, del proyecto abuse.ch, junto con AlienVault OTX y VirusTotal, alimentan al nivel técnico con un flujo constante de indicadores validados.

De la CTI a la detección mapeada a MITRE ATT&CK

MITRE ATT&CK es el vocabulario común que permite que la CTI táctica se convierta directamente en trabajo de ingeniería. En lugar de un párrafo narrativo como «el actor usó una tarea programada para mantener el acceso», un producto de CTI táctica etiqueta ese comportamiento con un ID de técnica específico –en este ejemplo, T1053.005 (Scheduled Task). Ese ID significa lo mismo para todos los equipos que consumen ATT&CK, lo que hace posible entregarle un informe directamente a un ingeniero de detección en lugar de un largo ejercicio de traducción.

El traspaso normalmente funciona así:

1. La CTI identifica la técnica. Un informe táctico describe el comportamiento de un adversario y lo mapea a uno o más IDs de técnica de ATT&CK.
2. La ingeniería de detección se pregunta «¿qué evidencia deja esto?». Para una técnica de persistencia mediante tarea programada, eso podría ser el Windows Event ID 4698, o una nueva entrada bajo las claves de registro del Task Scheduler.
3. El ingeniero escribe la regla. Una regla Sigma expresa ese patrón de log en un formato agnóstico de plataforma que se convierte al lenguaje de consulta de un SIEM específico; una regla YARA puede, por separado, capturar el payload soltado o un artefacto de memoria ligado a la misma técnica.
4. La regla se prueba y se ajusta contra telemetría real para controlar los falsos positivos, y luego se despliega en el contenido de detección de producción.
5. La cobertura se rastrea contra la propia matriz de ATT&CK, de modo que el equipo puede ver de un vistazo qué técnicas puede detectar realmente y cuáles siguen siendo puntos ciegos –una práctica a menudo llamada mapeo de cobertura de detección basado en ATT&CK.

Este es todo el sentido de separar la inteligencia táctica de la técnica: un IOC te da una detección para una instancia de ataque, pero una técnica mapeada a ATT&CK y convertida en una regla conductual te da una detección para cada variante futura del mismo comportamiento, incluso después de que el atacante haya quemado todos los hashes e IP que conocías. Para la mecánica de escribir y probar esas reglas una vez que la CTI ha identificado la técnica, consulta nuestro artículo complementario sobre reglas Sigma y YARA explicadas.

Construir una capacidad de CTI

Una función de CTI no necesita un equipo grande para aportar valor real. La mayoría de los programas empiezan pequeños y van añadiendo fuentes con el tiempo: la telemetría interna (lo que realmente está golpeando tu propio SOC) suele ser la fuente de mayor señal que tienes, porque tiene garantizada su relevancia para ti; los informes de fuentes abiertas y los blogs de proveedores añaden amplitud; los feeds de pago y la membresía en un ISAC añaden profundidad y aviso más temprano; y una plataforma como MISP u OpenCTI le da al equipo un sitio donde almacenar, correlacionar y difundir todo de forma consistente, en lugar de dispersar hallazgos entre hojas de cálculo e hilos de chat. La disciplina que importa más que cualquier herramienta es el propio ciclo de inteligencia: atar cada esfuerzo de recolección a un requisito concreto, y cerrar el bucle de retroalimentación para que el programa siga produciendo lo que sus consumidores realmente necesitan.

En resumen

La CTI no es un feed al que te suscribes: es un proceso que convierte información recolectada en decisiones, a cuatro velocidades distintas para cuatro audiencias distintas. La inteligencia estratégica moldea el presupuesto y el apetito de riesgo; la inteligencia operacional moldea la respuesta a incidentes; la inteligencia táctica, mapeada a MITRE ATT&CK, moldea lo que construyen los ingenieros de detección; y la inteligencia técnica, el mundo de movimiento rápido de los IOC, moldea qué se bloquea hoy. STIX y TAXII hacen posible mover esa inteligencia entre organizaciones en un lenguaje común, y toda la disciplina existe para responder bien a una pregunta: dado todo lo que ahora sabemos sobre cómo operan los adversarios, ¿qué deberíamos hacer realmente al respecto?

Preguntas frecuentes