LecturaQué es ATT&CK y por qué existe
Imagine que trabaja en el SOC de una cooperativa de ahorro en San José. Un proveedor le envía un informe de amenazas de veinte páginas sobre un grupo que ataca entidades financieras de la región. Su jefa le pregunta algo muy concreto: "¿estamos preparados para eso?". Sin un lenguaje común que traduzca ese informe a reglas, registros y controles de su red, responder es casi imposible. MITRE ATT&CK existe para resolver ese problema.
Qué es ATT&CK
ATT&CK significa Adversarial Tactics, Techniques, and Common Knowledge. Es una base de conocimiento pública y gratuita, mantenida por MITRE, una organización estadounidense sin fines de lucro fundada en 1958 que opera centros de investigación financiados por el gobierno, y que también mantiene el catálogo de vulnerabilidades CVE. Describe cómo se comportan los atacantes reales una vez que intentan entrar o ya están dentro de una organización. No es una lista de vulnerabilidades ni de malware: es un catálogo de comportamientos observados en incidentes reales y documentados en fuentes públicas.
Cada comportamiento tiene un identificador estable: T1566 es Phishing y T1059.001 es el uso de PowerShell como intérprete. Con esos códigos, un analista en Costa Rica y un fabricante de EDR en Estados Unidos hablan de lo mismo sin ambigüedad.
Por qué existe
En su experimento inicial, MITRE descubrió que los defensores se concentraban en indicadores fáciles de cambiar, como direcciones IP o hashes, y muy poco en el comportamiento. Desde su publicación, el marco se actualiza con aportes de la comunidad, normalmente dos veces al año.
| Año | Hito |
|---|---|
| 2013 | Experimento interno de MITRE en una red de pruebas para estudiar el comportamiento del atacante tras el acceso inicial. |
| 2015 | Publicación del marco ATT&CK, centrado en Windows corporativo. |
| 2017 | Se suman la matriz Mobile y PRE-ATT&CK, dedicada a lo que ocurre antes del ataque. |
| 2019 | Nace el Center for Threat-Informed Defense, que produce recursos libres como planes de emulación. |
| 2020 | Llegan la matriz ICS y las sub-técnicas; PRE-ATT&CK se integra en Enterprise como las tácticas Reconnaissance y Resource Development. |
| 2021 | MITRE publica D3FEND, su marco hermano dedicado a las técnicas defensivas. |
Una idea útil para entender su valor es la pirámide del dolor, propuesta por David Bianco. En la base están los indicadores que al atacante le cuesta poco cambiar: hashes, IPs y dominios. En la cima están las tácticas, técnicas y procedimientos (TTP). Si usted detecta un hash, el atacante recompila su herramienta y sigue. Si usted detecta el comportamiento, por ejemplo "Excel lanza un intérprete de scripts", el atacante tiene que cambiar su forma de trabajar, y eso le duele mucho más.
Para qué lo usa un defensor
En el día a día de un equipo azul, ATT&CK aparece en cuatro usos principales:
- Inteligencia de amenazas: traducir informes a técnicas concretas y comparar grupos entre sí.
- Detección: etiquetar cada regla del SIEM o del EDR con la técnica que detecta, para saber qué está cubierto y qué no.
- Evaluación y emulación: probar los controles reproduciendo técnicas de forma segura y medir qué se detectó.
- Comunicación: explicar a dirección, con un mapa de colores, dónde está fuerte y dónde está expuesta la organización.
Si no domina este idioma, depende de otros para entender sus propias alertas y no puede responder con datos a la pregunta "¿estamos preparados?". Por eso aparece en ofertas de empleo de analista SOC, cazador de amenazas, ingeniero de detecciones y analista de inteligencia.
Dónde se usa
| Lugar | Cómo aparece ATT&CK |
|---|---|
| SIEM (Wazuh, Splunk, Microsoft Sentinel, Elastic) | Cada alerta trae la táctica y la técnica de la regla que la disparó |
| Consolas EDR | La cadena de un incidente se muestra como una secuencia de técnicas |
| Reglas Sigma | Llevan etiquetas como attack.t1059.001 |
| Informes de amenazas de CISA, CSIRT y proveedores | Incluyen una tabla de técnicas observadas |
| Ejercicios de purple team y evaluaciones de productos | Cada paso de la prueba es una técnica |
| Informes a dirección | Mapas de calor de cobertura sobre la matriz |
Conceptos clave
| Concepto | Qué significa |
|---|---|
| Equipo azul | El equipo que defiende: monitorea, detecta y responde |
| SOC | Security Operations Center, el centro de operaciones donde trabajan los analistas que vigilan las alertas |
| SIEM | Security Information and Event Management, el sistema que centraliza registros y genera alertas con reglas |
| EDR | Endpoint Detection and Response, el agente que vigila procesos, archivos y conexiones en cada equipo |
| IOC | Indicator of Compromise, un dato concreto de un ataque, como un hash, una IP o un dominio |
| TTP | Tácticas, técnicas y procedimientos: el comportamiento del atacante |
| Telemetría | Los registros y eventos que un sistema produce y que permiten ver lo que ocurre en él |
| Capa | Un archivo que colorea técnicas de la matriz con un propósito, como "lo que detectamos" |
Lo que ATT&CK no hace
ATT&CK solo cubre lo que se ha observado y documentado, no dice qué tan probable es cada técnica en su red, y marcar una técnica como "cubierta" no significa detectarla en todas sus variantes. En el curso verá cómo usarlo con criterio, sin convertirlo en una lista de casillas.