Inicio › Ciberseguridad › MITRE ATT&CK

Read this reference sheet in English

Resumen ejecutivo

MITRE ATT&CK es una base de conocimiento de acceso libre que describe cómo se comportan los atacantes, organizada en tácticas (sus objetivos) y técnicas (la forma de lograrlos). Se construye a partir de actividad observada en el mundo real y da a quienes defienden un lenguaje común para describir, detectar y comparar el comportamiento del adversario. Se ha convertido en una referencia estándar en todo el sector.

Qué es

MITRE ATT&CK es un catálogo estructurado del comportamiento del adversario, mantenido por la organización sin fines de lucro MITRE. Se presenta como una matriz donde las columnas son tácticas, es decir los objetivos que persigue un atacante, como el acceso inicial, la persistencia, la escalada de privilegios y la extracción de datos, y debajo de cada columna están las técnicas y subtécnicas, las formas concretas de lograr esos objetivos. Cada técnica incluye descripciones, ejemplos reales, ideas de detección y medidas de mitigación. Como se basa en actividad observada y no en teoría, los equipos la usan para describir lo que los atacantes hacen de verdad y no lo que podrían hacer en abstracto. Es de uso gratuito y está muy extendida.

Por qué importa

Antes de que existiera un marco compartido, cada equipo describía los ataques en un lenguaje propio e inconsistente, lo que dificultaba comparar incidentes, medir la cobertura o compartir inteligencia. ATT&CK da a todos el mismo vocabulario. Quienes defienden la usan para mapear su cobertura de detección, encontrar huecos y priorizar mejoras. Los equipos de inteligencia de amenazas la usan para describir actores de forma consistente. Los equipos rojos la usan para planear pruebas realistas, y los equipos azules para verificar que esas pruebas se ven. Para los profesionales, conocer ATT&CK es hoy una expectativa habitual en operaciones de seguridad, ingeniería de detección, inteligencia de amenazas y, cada vez más, en puestos de gobernanza y riesgo.

Cómo funciona

Un equipo suele empezar identificando qué técnicas son más relevantes para su entorno y sus adversarios probables. Después asocia sus detecciones y controles existentes a esas técnicas, y a menudo visualiza la cobertura como un mapa de calor sobre la matriz. Los huecos revelan dónde podría operar un atacante sin ser visto, lo que guía dónde construir detecciones nuevas o añadir mitigaciones. Durante un incidente, los analistas etiquetan el comportamiento observado con los identificadores de técnica, para que la actividad se entienda y se comparta de forma consistente. Los ejercicios de equipo rojo y de equipo púrpura usan ATT&CK para diseñar ataques y confirmar que las defensas los detectan. El marco se actualiza con regularidad a medida que se observa comportamiento nuevo.

Diagrama de arquitectura

Flujo de trabajo

Ataques frecuentes

• Técnicas de acceso inicial como el phishing y la explotación de aplicaciones expuestas
• Escalada de privilegios para obtener un control de mayor nivel
• Técnicas de persistencia que mantienen al atacante dentro del entorno
• Técnicas de acceso a credenciales que cosechan contraseñas y tokens
• Técnicas de extracción que sacan los datos robados de la red

Errores frecuentes

• Intentar cubrir todas las técnicas a la vez en lugar de priorizar por relevancia
• Mapear la cobertura en papel sin validar que las detecciones de verdad se disparan
• Confundir tener una herramienta con tener detección para una técnica
• Ignorar las subtécnicas y dar por cubierta una técnica amplia
• Usar ATT&CK como una lista de verificación y no como un panorama vivo y probado

Buenas prácticas

• Priorizar las técnicas según su relevancia para sus adversarios probables
• Asociar las detecciones a las técnicas y validar que de verdad se disparan
• Usar mapas de calor de cobertura para comunicar los huecos a la dirección
• Realizar ejercicios de equipo púrpura para confirmar la detección de las técnicas elegidas
• Etiquetar incidentes e inteligencia con los identificadores de técnica de forma consistente
• Revisar la cobertura con regularidad, a medida que el marco y las amenazas cambian

Lista de verificación

• Técnicas prioritarias identificadas para el entorno
• Detecciones asociadas a esas técnicas
• Cobertura de detección validada con pruebas, no solo documentada
• Huecos de cobertura priorizados y con responsable asignado
• Incidentes etiquetados con identificadores de técnica de ATT&CK
• Revisión periódica a medida que se publican técnicas y actualizaciones nuevas

Herramientas recomendadas

Normas del sector

Relevancia profesional

MITRE ATT&CK es imprescindible para analistas de SOC, ingenieros de detección, cazadores de amenazas, analistas de inteligencia de amenazas y equipos rojos. Los analistas de GRC y los profesionales de riesgo la usan cada vez más para describir amenazas y medir la cobertura defensiva. Saber mapear, probar y comunicar la cobertura con ATT&CK diferencia con fuerza en las entrevistas de operaciones de seguridad.

Preguntas de entrevista

• ¿Qué es MITRE ATT&CK y cómo está estructurado?
• ¿Cuál es la diferencia entre una táctica y una técnica?
• ¿Cómo usaría ATT&CK para encontrar huecos en la cobertura de detección?
• ¿Por qué validar la cobertura importa más que mapearla en papel?
• ¿Cómo se relacionan ATT&CK y la cadena de ataque?

Certificaciones relacionadas

Para profundizar

• MITRE ATT&CK (en inglés)
• MITRE ATT&CK Navigator (en inglés)
• MITRE D3FEND (en inglés)

Preguntas frecuentes