En un entorno donde los ataques evolucionan constantemente, los equipos de seguridad necesitan algo más que firewalls y antivirus. Necesitan contexto. El MITRE ATT&CK Framework (Adversarial Tactics, Techniques, and Common Knowledge) es hoy por hoy una de las herramientas más importantes para entender cómo actúan los adversarios y cómo defenderse eficazmente.
Desarrollado por MITRE Corporation, ATT&CK es una base de datos estructurada de tácticas, técnicas y procedimientos (TTPs) utilizados por actores maliciosos reales. Más que una lista de amenazas, ATT&CK es un lenguaje común que permite describir, analizar y mejorar nuestras defensas basadas en evidencia empírica.
¿Qué es MITRE ATT&CK?
Es un marco que organiza las acciones de los atacantes en tres niveles jerárquicos:
- Tácticas: El objetivo general de una fase del ataque (e.g., “Ejecución”, “Persistencia”, “Exfiltración”).
- Técnicas: Cómo se logra ese objetivo (e.g., uso de PowerShell, servicios remotos, tareas programadas).
- Subtécnicas: Variantes más específicas de una técnica (e.g., ejecución vía PowerShell como subtécnica de ejecución).
ATT&CK permite mapear comportamientos conocidos de grupos como APT28, FIN7 o Lazarus, y compararlos con la postura defensiva de una organización.
Principales Tácticas en MITRE ATT&CK (Enterprise Matrix)
| Táctica | Objetivo del Atacante | Ejemplo Real |
|---|---|---|
| Reconocimiento | Identificar objetivos y recolectar información previa al ataque. | Uso de motores de búsqueda para recopilar correos de empleados. |
| Desarrollo de Recursos | Preparar la infraestructura del ataque (dominios, cuentas, malware). | Registro de dominios como “corp-mail[.]support” para phishing. |
| Acceso Inicial | Obtener acceso a la red víctima. | Campañas de spear phishing con archivos adjuntos infectados. |
| Ejecución | Ejecutar código malicioso en sistemas comprometidos. | Uso de PowerShell para descargar y ejecutar payloads. |
| Persistencia | Mantener el acceso tras reinicios o cierres de sesión. | Creación de tareas programadas ocultas. |
| Elevación de Privilegios | Obtener mayores permisos dentro del sistema. | Explotación de vulnerabilidades para ejecutar como administrador. |
| Evasión de Defensa | Evitar ser detectado por soluciones de seguridad. | Uso de cifrado o inyección de procesos. |
| Acceso a Credenciales | Obtener nombres de usuario y contraseñas. | Uso de Mimikatz para volcado de memoria de LSASS. |
| Descubrimiento | Mapear la red y recursos internos. | Comando net view para listar máquinas conectadas. |
| Movimiento Lateral | Expandir el acceso a otros sistemas dentro de la red. | Conexión a otras máquinas vía RDP con credenciales robadas. |
| Recopilación | Extraer datos internos de interés. | Buscar archivos PDF con palabras clave como “contrato” o “banco”. |
| Exfiltración | Enviar los datos robados fuera de la red. | Uso de Dropbox o canales cifrados HTTPS para sacar información. |
| Impacto | Destruir, cifrar o alterar sistemas o datos. | Ejecutar ransomware o wipers como NotPetya. |
¿Por qué ATT&CK es clave para los CISOs y CTOs?
- Permite mapear incidentes a técnicas específicas del adversario.
- Facilita la priorización de controles defensivos por riesgo real.
- Sirve como base para ejercicios de threat hunting y red teaming.
- Fomenta la madurez organizacional con un lenguaje estandarizado entre equipos técnicos y directivos.
Cómo usar ATT&CK en la práctica
- Evalúa tu postura de detección usando la matriz ATT&CK (¿Detectas T1059? ¿Y T1071?).
- Desarrolla casos de uso en tu SIEM basados en técnicas específicas.
- Haz simulaciones (Purple Team) mapeadas a ATT&CK para validar tus defensas.
- Consulta los perfiles de grupos como APT29 o FIN7 y compara su TTP con tus controles actuales.
Ventajas clave del framework
- Basado en inteligencia de amenazas reales y pública.
- Gratuito, actualizable y ampliamente adoptado por gobiernos y empresas.
- Disponible para entornos Enterprise, Mobile y Cloud.
- Integrado con herramientas como Sigma, Splunk, Microsoft Defender y Elastic SIEM.
Conclusión
El MITRE ATT&CK Framework es mucho más que una referencia técnica: es una herramienta estratégica que permite alinear defensa, monitoreo, respuesta y mejora continua. Si tu equipo aún no lo utiliza, es momento de integrarlo en tus procesos, entrenamientos y decisiones de inversión.
¿Ya sabes cómo te atacan? Entonces puedes saber cómo defenderte.
Bibliografía y Recursos Recomendados
- MITRE ATT&CK – Página Oficial
- Grupos de Amenazas APT en MITRE
- MITRE ATT&CK con Splunk
- Elastic Security con ATT&CK
- CISA y Frameworks de Seguridad
Autor: Héctor Herrera – CEO ActivosTI
