Bienvenida al curso · Threat intelligence: fundamentos

Lunes: un feed comunitario comparte el hash del adjunto de una campaña de phishing con el asunto "Factura Pendiente" (campaña ficticia, la que lo acompañará en todo el curso). El SOC de Cafetal Digital lo bloquea en el antivirus y cierra el caso. Martes:

Adjunto                       SHA-256 (primeros 16)    Bloqueado
Factura_Pendiente_0412.zip    9f2c41d07ab3e6c5...      sí
Factura_Pendiente_0413.zip    4b81ee0c95d2a71f...      no
Factura_Pendiente_0414.zip    c07d3a9e18f4b2d6...      no

El atacante recompiló el archivo y cada envío trae un hash distinto. Lo que no cambió: el asunto, el tipo de adjunto, el patrón del dominio remitente y lo que hace el archivo al abrirse. David Bianco lo resumió en 2013 con la pirámide del dolor: bloquear un hash le cuesta al atacante segundos; detectar su forma de trabajar le obliga a cambiarla.

Bienvenido a Threat intelligence: fundamentos. Aprenderá a convertir el ruido de noticias, feeds y listas de indicadores en algo que sirva para decidir: qué parchear primero, qué bloquear hoy, qué vigilar esta semana y qué contarle a la gerencia.

Qué va a lograr

Explicar qué distingue la inteligencia de amenazas de la simple información y redactar requerimientos (PIR) con dueño.
Analizar un ataque con la pirámide del dolor, el Diamond Model, la Cyber Kill Chain y MITRE ATT&CK.
Evaluar fuentes e indicadores, aplicar su caducidad y entender cómo viajan en STIX y TAXII.
Consultar servicios de reputación, MISP u OpenCTI sin filtrar datos de su organización.
Producir un informe con BLUF, niveles de confianza y etiqueta TLP.

Para quién es y qué necesita

Es para analistas de SOC que empiezan, estudiantes y gente de soporte o sistemas que recibe avisos e indicadores y quiere saber cuánto confiar en ellos. No necesita programar. Conviene haber hecho Introducción al SOC: su primer turno como analista.

Basta un navegador para ATT&CK y ATT&CK Navigator, y un editor o una hoja de cálculo. Python 3 es opcional: el script del módulo 3 se puede reemplazar por un cálculo a mano.

Cómo está organizado

Módulo	Qué aprende	Laboratorio
1. Qué es la inteligencia de amenazas	Definición, historia, niveles y ciclo de inteligencia	Redactar requerimientos para una empresa ficticia
2. Modelos de análisis	Pirámide del dolor, Diamond Model, Kill Chain y ATT&CK	Mapear un boletín a ATT&CK con Navigator
3. Fuentes e indicadores	OSINT, feeds, IOCs, STIX y TAXII, MISP, OpenCTI y reputación	Enriquecer ocho IOCs y decidir qué hacer con cada uno
4. Producir y compartir inteligencia	Informe con BLUF, confianza, TLP y comunidades, más la conclusión	Redactar un informe interno y su versión comunitaria
Evaluación	6 preguntas sobre todo el curso	Aprueba con 70 %

Cómo aprovecharlo

Los cuatro laboratorios trabajan sobre la misma campaña y la misma empresa, y no tienen una única respuesta correcta: traen una solución de referencia para comparar. Escriba la suya completa antes de abrirla; si mira primero, ya no sabe si habría llegado por su cuenta.

El primer laboratorio parece el más sencillo y suele salir peor. Escribir "saber qué amenazas hay" es fácil; escribir quién pide la información, qué decisión tomará con ella y para cuándo cuesta varios intentos. En el módulo 3, nunca pegue en un servicio de reputación un indicador de un caso real de su trabajo: consultar ya es avisar a quien mira esas consultas.

Al aprobar la evaluación final recibe el certificado y la insignia.

Tiempo estimado

Unas 4 horas y media, hora y media en laboratorios.