Detección de amenazas mediante MITRE ATT&CK

ATT&CK permite relacionar comportamientos adversarios con fuentes de datos, detecciones y controles defensivos.

¿Qué es MITRE ATT&CK?

MITRE ATT&CK® es una base de conocimiento pública que describe tácticas, técnicas y procedimientos utilizados por adversarios a partir de observaciones reales.

Su principal utilidad es proporcionar un lenguaje común para comprender cómo actúan los atacantes y transformar ese conocimiento en capacidades de detección, respuesta y defensa.

De indicadores aislados a comportamiento adversario

Una detección tradicional puede concentrarse en indicadores específicos como una dirección IP, un dominio, un hash o un archivo malicioso. Estos indicadores siguen siendo útiles, pero pueden cambiar rápidamente.

ATT&CK permite complementar este enfoque observando comportamientos: por ejemplo, cómo un adversario obtiene credenciales, ejecuta comandos, se desplaza lateralmente o extrae información.

¿Cómo puede utilizarse para detectar amenazas?

Una organización puede relacionar eventos de seguridad con técnicas ATT&CK y preguntarse qué comportamientos adversarios puede observar, qué datos de monitoreo y registros de seguridad necesita, qué técnicas no está detectando y qué controles dificultan realmente la acción del atacante.

Puede utilizarse junto con registros de sistemas, EDR, SIEM, autenticación e identidad, actividad de red, servicios cloud y aplicaciones críticas.

Un mapa ATT&CK no garantiza una buena detección

Marcar una técnica como cubierta no significa necesariamente que pueda detectarse de forma confiable. Dos organizaciones pueden mostrar la misma técnica como cubierta y tener capacidades de detección muy distintas.

Por ello, es necesario evaluar la calidad de los datos de monitoreo y registros de seguridad, precisión de las señales, cobertura real del comportamiento y resistencia de la detección frente a evasión.

ATT&CK y defensa informada por amenazas

ATT&CK puede apoyar actividades como threat hunting, ingeniería de detecciones, análisis de inteligencia, emulación de adversarios, evaluación de controles y respuesta a incidentes. La ventaja está en utilizar conocimiento del adversario para decidir qué observar, qué detectar y qué proteger primero.

Conclusión

MITRE ATT&CK permite pasar de una visión centrada exclusivamente en herramientas o indicadores hacia una comprensión más estructurada del comportamiento adversario. Su valor no está en colorear una matriz completa, sino en identificar amenazas relevantes, mejorar los datos de monitoreo y los registros de seguridad y desarrollar detecciones que realmente aporten capacidad defensiva.

Seguridad de la información al alcance de todos