Detection Maturity Level: ¿Qué tan madura es tu capacidad de detección de amenazas?

En ciberseguridad, no basta con tener herramientas: es vital saber qué tan bien las estamos usando. El Detection Maturity Level (DML), propuesto por David J. Bianco (el mismo creador de la Pirámide del Dolor), es un modelo que permite a los líderes de seguridad medir y mejorar la efectividad real de sus capacidades de detección.

Este modelo no se enfoca en la cantidad de alertas generadas, sino en la calidad, contexto y utilidad operativa de los datos que obtenemos para responder a incidentes. Para un CISO o CTO, el DML es una brújula estratégica para saber si sus inversiones en SIEM, EDR, NDR o Threat Intelligence están dando frutos reales.

¿Qué es el DML?

El Detection Maturity Level es un marco que categoriza los distintos tipos de datos que una organización puede recolectar para detectar amenazas, clasificándolos desde los más básicos (e.g., hashes, IPs) hasta los más avanzados (e.g., TTPs o técnicas del adversario).

La idea central es que no todos los indicadores son iguales: mientras unos son fáciles de recolectar y usar pero también fáciles de evadir, otros son más complejos, pero más valiosos y resistentes a la evasión.

Niveles del Detection Maturity Level (DML)

Nivel	Tipo de Indicador	Descripción y Ejemplos Reales	Madurez
1	Hash (MD5, SHA1, SHA256)	Firmas únicas de archivos maliciosos. Son muy fáciles de detectar con antivirus, pero también muy fáciles de evadir. Ejemplo: Hash de un archivo de ransomware detectado en VirusTotal. Una recompilación del malware anula su efectividad.	Baja
2	Direcciones IP	IPs de servidores de comando y control (C2) o exfiltración. Útiles para bloqueos rápidos, pero los atacantes rotan sus IPs fácilmente. Ejemplo: Bloqueo de IP 185.100.87.202 asociada a una botnet. El atacante puede cambiarla con un proxy o VPN.	Baja
3	Dominios	Dominios usados para phishing, C2, payload delivery, etc. Requieren más esfuerzo para cambiar, pero aún son fácilmente reemplazables. Ejemplo: microsoft-support-login[.]com usado en una campaña de credenciales falsas.	Media-Baja
4	Artefactos de Red o del Host	Información relacionada con el comportamiento del atacante dentro del sistema o red. Más difícil de modificar sin afectar la operación del ataque. Ejemplo: Nombre de archivo win32update.ps1 o rutas como C:\Users\Public\svc-loader.exe.	Media
5	Herramientas del Atacante	Software usado por actores maliciosos, como Cobalt Strike, Empire, o Mimikatz. Identificar estas herramientas permite mitigar múltiples ataques. Ejemplo: Detectar la firma del beacon de Cobalt Strike o DLLs relacionadas con Meterpreter.	Media-Alta
6	Técnicas (MITRE ATT&CK)	Detectar actividades relacionadas con técnicas específicas como Execution via PowerShell (T1059) o Credential Dumping (T1003). Implica conocer patrones de comportamiento. Ejemplo: Registros que evidencian PowerShell con argumentos sospechosos sin firma digital.	Alta
7	Tácticas y Procedimientos	Este es el nivel más maduro. Requiere monitoreo continuo y capacidades avanzadas para correlacionar eventos, entender contexto y predecir acciones futuras. Ejemplo: Detección de una cadena de ataque basada en spear-phishing, ejecución de scripts y movimiento lateral con RDP, asociado históricamente al grupo APT29.	Muy Alta

¿Por qué el DML es clave para los líderes de ciberseguridad?

• Permite evaluar la eficacia real del SOC, más allá de KPIs de volumen.
• Sirve como guía para madurar gradualmente los procesos de detección.
• Ayuda a justificar presupuestos e inversiones orientadas a aumentar visibilidad y contexto.
• Fortalece la defensa en profundidad al enfocarse en lo difícil de evadir.

¿Cómo mejorar tu nivel de DML?

• Usa MITRE ATT&CK para mapear técnicas y ajustar las reglas del SIEM o EDR.
• Incorpora inteligencia de amenazas que incluya TTPs y no solo indicadores básicos.
• Capacita al equipo en threat hunting y análisis de comportamiento.
• Invierte en tecnologías que recojan contexto profundo (como NDR y UEBA).

Conclusión

El Detection Maturity Level (DML) te permite medir no solo cuánto ves, sino qué tan bien entiendes lo que ves. Como líder, moverte hacia niveles más altos significa lograr una defensa que va más allá de la reacción: es anticipación, contexto y resiliencia. Si solo estás operando en los primeros tres niveles, tu visibilidad es limitada y fácilmente evadible.

¿Estás listo para madurar tu estrategia de detección?

---

Bibliografía y Recursos Recomendados

• David J. Bianco – Detection Maturity Levels (Blog original)
• MITRE ATT&CK – https://attack.mitre.org
• Elastic Security Whitepapers – Elastic Threat Detection Maturity
• Google Chronicle – Detection maturity in cloud-native SIEMs
• SANS Institute – Threat Hunting and Behavioral Analytics

Autor: Héctor Herrera – CEO ActivosTI

MITRE ATT&CK Framework: El Lenguaje Común para Entender y Combatir Ciberataques

En un entorno donde los ataques evolucionan constantemente, los equipos de seguridad necesitan algo más que firewalls y antivirus. Necesitan contexto. El MITRE ATT&CK Framework (Adversarial Tactics, Techniques, and Common Knowledge) es hoy por hoy una de las herramientas más importantes para entender cómo actúan los adversarios y cómo defenderse eficazmente.

Desarrollado por MITRE Corporation, ATT&CK es una base de datos estructurada de tácticas, técnicas y procedimientos (TTPs) utilizados por actores maliciosos reales. Más que una lista de amenazas, ATT&CK es un lenguaje común que permite describir, analizar y mejorar nuestras defensas basadas en evidencia empírica.

¿Qué es MITRE ATT&CK?

Es un marco que organiza las acciones de los atacantes en tres niveles jerárquicos:

• Tácticas: El objetivo general de una fase del ataque (e.g., “Ejecución”, “Persistencia”, “Exfiltración”).
• Técnicas: Cómo se logra ese objetivo (e.g., uso de PowerShell, servicios remotos, tareas programadas).
• Subtécnicas: Variantes más específicas de una técnica (e.g., ejecución vía PowerShell como subtécnica de ejecución).

ATT&CK permite mapear comportamientos conocidos de grupos como APT28, FIN7 o Lazarus, y compararlos con la postura defensiva de una organización.

Principales Tácticas en MITRE ATT&CK (Enterprise Matrix)

Táctica	Objetivo del Atacante	Ejemplo Real
Reconocimiento	Identificar objetivos y recolectar información previa al ataque.	Uso de motores de búsqueda para recopilar correos de empleados.
Desarrollo de Recursos	Preparar la infraestructura del ataque (dominios, cuentas, malware).	Registro de dominios como “corp-mail[.]support” para phishing.
Acceso Inicial	Obtener acceso a la red víctima.	Campañas de spear phishing con archivos adjuntos infectados.
Ejecución	Ejecutar código malicioso en sistemas comprometidos.	Uso de PowerShell para descargar y ejecutar payloads.
Persistencia	Mantener el acceso tras reinicios o cierres de sesión.	Creación de tareas programadas ocultas.
Elevación de Privilegios	Obtener mayores permisos dentro del sistema.	Explotación de vulnerabilidades para ejecutar como administrador.
Evasión de Defensa	Evitar ser detectado por soluciones de seguridad.	Uso de cifrado o inyección de procesos.
Acceso a Credenciales	Obtener nombres de usuario y contraseñas.	Uso de Mimikatz para volcado de memoria de LSASS.
Descubrimiento	Mapear la red y recursos internos.	Comando net view para listar máquinas conectadas.
Movimiento Lateral	Expandir el acceso a otros sistemas dentro de la red.	Conexión a otras máquinas vía RDP con credenciales robadas.
Recopilación	Extraer datos internos de interés.	Buscar archivos PDF con palabras clave como “contrato” o “banco”.
Exfiltración	Enviar los datos robados fuera de la red.	Uso de Dropbox o canales cifrados HTTPS para sacar información.
Impacto	Destruir, cifrar o alterar sistemas o datos.	Ejecutar ransomware o wipers como NotPetya.

¿Por qué ATT&CK es clave para los CISOs y CTOs?

• Permite mapear incidentes a técnicas específicas del adversario.
• Facilita la priorización de controles defensivos por riesgo real.
• Sirve como base para ejercicios de threat hunting y red teaming.
• Fomenta la madurez organizacional con un lenguaje estandarizado entre equipos técnicos y directivos.

Cómo usar ATT&CK en la práctica

• Evalúa tu postura de detección usando la matriz ATT&CK (¿Detectas T1059? ¿Y T1071?).
• Desarrolla casos de uso en tu SIEM basados en técnicas específicas.
• Haz simulaciones (Purple Team) mapeadas a ATT&CK para validar tus defensas.
• Consulta los perfiles de grupos como APT29 o FIN7 y compara su TTP con tus controles actuales.

Ventajas clave del framework

• Basado en inteligencia de amenazas reales y pública.
• Gratuito, actualizable y ampliamente adoptado por gobiernos y empresas.
• Disponible para entornos Enterprise, Mobile y Cloud.
• Integrado con herramientas como Sigma, Splunk, Microsoft Defender y Elastic SIEM.

Conclusión

El MITRE ATT&CK Framework es mucho más que una referencia técnica: es una herramienta estratégica que permite alinear defensa, monitoreo, respuesta y mejora continua. Si tu equipo aún no lo utiliza, es momento de integrarlo en tus procesos, entrenamientos y decisiones de inversión.

¿Ya sabes cómo te atacan? Entonces puedes saber cómo defenderte.

---

Bibliografía y Recursos Recomendados

• MITRE ATT&CK – Página Oficial
• Grupos de Amenazas APT en MITRE
• MITRE ATT&CK con Splunk
• Elastic Security con ATT&CK
• CISA y Frameworks de Seguridad

Autor: Héctor Herrera – CEO ActivosTI