Qué es la threat intelligence y para qué sirve

Imagine que usted trabaja en el SOC de Cafetal Digital, una empresa ficticia de pagos en línea de San José. Cada mañana llegan noticias de ataques, listas de direcciones IP maliciosas, boletines de fabricantes y rumores en redes sociales. Si usted intentara leerlo todo, no le quedaría tiempo para defender nada. La inteligencia de amenazas (Cyber Threat Intelligence, CTI; en inglés se dice threat intelligence) existe para resolver ese problema: convertir ese ruido en conocimiento útil para tomar decisiones.

Qué es: información no es inteligencia

En una frase: la CTI es conocimiento basado en evidencia sobre las amenazas que afectan a una organización, analizado para que alguien tome una decisión. Conviene separar tres conceptos que a menudo se confunden:

• Dato: un hecho aislado. Por ejemplo, la dirección 198.51.100.23 apareció en un registro del firewall.
• Información: datos con contexto. Esa dirección figura en un boletín como servidor de mando y control de una campaña de phishing.
• Inteligencia: información analizada, evaluada y relevante para una audiencia concreta. "La campaña que usa esa infraestructura apunta a entidades financieras de Centroamérica con facturas falsas de SINPE (el sistema de pagos interbancarios de Costa Rica); es probable que Cafetal Digital sea objetivo en las próximas semanas y recomendamos bloquear el dominio y avisar al equipo de finanzas."

La diferencia clave es que la inteligencia responde a una pregunta de alguien y propone una acción. Diez mil IPs sin contexto no son inteligencia.

Breve historia y contexto

El término viene del mundo militar y gubernamental, que analiza al adversario para decidir. La ciberseguridad tomó de ahí su método y su vocabulario.

Año	Hito
1988	Tras el gusano Morris nace el CERT/CC, el primer equipo de respuesta a incidentes
1990	Se funda FIRST, el foro que agrupa a los equipos de respuesta de todo el mundo
1999	Se crea FS-ISAC, comunidad de intercambio del sector financiero
2011	Lockheed Martin publica la Cyber Kill Chain
2013	Mandiant publica el informe APT1; aparecen la pirámide del dolor y el Diamond Model
2015	MITRE publica ATT&CK, su base de conocimiento de técnicas de adversarios
2021	STIX 2.1 y TAXII 2.1 se aprueban como estándares abiertos de OASIS
2022	FIRST publica TLP 2.0; en Costa Rica, ataques de ransomware llevan a declarar emergencia nacional

Por qué importa

Un programa de inteligencia bien orientado ayuda a:

1. Priorizar. Ninguna organización puede parchear ni vigilar todo. Saber qué actores atacan a su sector permite enfocar recursos.
2. Detectar antes. Los comportamientos descritos en informes públicos se convierten en reglas del SIEM y en hipótesis de threat hunting.
3. Responder mejor. Durante un incidente, conocer las técnicas habituales de un grupo le dice al equipo dónde buscar a continuación.
4. Informar a la dirección. La gerencia necesita entender riesgos en términos de negocio para decidir presupuestos.

Sin CTI, el SOC bloquea indicadores viejos y se entera de las campañas cuando ya entraron.

Dónde se usa

La CTI siempre tiene un cliente. Estos son los consumidores típicos:

Consumidor	Para qué la usa
SOC	Enriquecer alertas y decidir si un indicador es grave
Respuesta a incidentes	Saber qué buscar después del primer hallazgo
Ingeniería de detecciones	Escribir reglas a partir de técnicas reales
Gestión de vulnerabilidades	Parchear primero lo que se explota de verdad
Fraude y marca	Detectar dominios y perfiles que suplantan a la empresa
Gerencia y CISO	Entender el riesgo y decidir inversiones

Cada uno necesita un formato y un nivel de detalle distinto, y eso lo verá en la próxima lección.

Qué no es CTI

• No es comprar un feed y conectarlo al firewall sin revisarlo.
• No es leer foros clandestinos por curiosidad: eso exige autorización y marco legal. Aquí trabajará solo con fuentes abiertas y datos ficticios.
• No es adivinar quién está detrás de un ataque. La atribución es difícil y al defensor suele importarle más cómo atacan que quién es.

Conceptos clave

Concepto	Qué significa
IOC	Indicador de compromiso: un dato observable como una IP, un dominio o un hash que revela actividad maliciosa
TTP	Tácticas, técnicas y procedimientos: la forma de trabajar de un atacante
Actor de amenaza	La persona o grupo que ejecuta los ataques, a menudo con un nombre de seguimiento
Campaña	Un conjunto de ataques con un mismo objetivo y método durante un periodo
Requerimiento (PIR)	Una pregunta prioritaria que la organización necesita responder
SIEM	Sistema que reúne y correlaciona los registros de seguridad de la organización
EDR	Agente en cada equipo que detecta y bloquea comportamientos maliciosos
CSIRT	Equipo de respuesta a incidentes; los nacionales emiten alertas públicas

El buen analista evalúa fuentes, separa hechos de suposiciones y escribe para que su audiencia actúe: el método importa más que las herramientas.