- 1. Las 3 matrices principales del marco MITRE ATT&CK
- 2. Componentes clave del marco MITRE ATT&CK
- 3. Uso del marco MITRE ATT&CK
- 4. Implementación del marco MITRE ATT&CK
- 5. Herramientas y recursos de MITRE ATT&CK
- 6. Comparación de MITRE ATT&CK con otros modelos
- 7. Ventajas del marco MITRE ATT&CK
- 8. MITRE ATT&CK para distintas tecnologías
- 9. ¿Qué es MITRE Engenuity?
- 10. ¿Qué son las evaluaciones MITRE Engenuity ATT&CK?
- 11. MITRE ATT&CK para CISO
- 12. Historia y evolución del marco MITRE ATT&CK
- 13. Más información sobre MITRE ATT&CK
- 14. El marco MITRE ATT&CK y Cortex XDR
- 15. Preguntas frecuentes sobre MITRE ATT&CK
Contenido
- Las 3 matrices principales del marco MITRE ATT&CK
- Componentes clave del marco MITRE ATT&CK
- Uso del marco MITRE ATT&CK
- Implementación del marco MITRE ATT&CK
- Herramientas y recursos de MITRE ATT&CK
- Comparación de MITRE ATT&CK con otros modelos
- Ventajas del marco MITRE ATT&CK
- MITRE ATT&CK para distintas tecnologías
- ¿Qué es MITRE Engenuity?
- ¿Qué son las evaluaciones MITRE Engenuity ATT&CK?
- MITRE ATT&CK para CISO
- Historia y evolución del marco MITRE ATT&CK
- Más información sobre MITRE ATT&CK
- El marco MITRE ATT&CK y Cortex XDR
- Preguntas frecuentes sobre MITRE ATT&CK
¿Qué es MITRE ATT&CK?
Contenido
- Las 3 matrices principales del marco MITRE ATT&CK
- Componentes clave del marco MITRE ATT&CK
- Uso del marco MITRE ATT&CK
- Implementación del marco MITRE ATT&CK
- Herramientas y recursos de MITRE ATT&CK
- Comparación de MITRE ATT&CK con otros modelos
- Ventajas del marco MITRE ATT&CK
- MITRE ATT&CK para distintas tecnologías
- ¿Qué es MITRE Engenuity?
- ¿Qué son las evaluaciones MITRE Engenuity ATT&CK?
- MITRE ATT&CK para CISO
- Historia y evolución del marco MITRE ATT&CK
- Más información sobre MITRE ATT&CK
- El marco MITRE ATT&CK y Cortex XDR
- Preguntas frecuentes sobre MITRE ATT&CK
MITRE ATT&CK es un marco de referencia que ofrece conocimientos exhaustivos sobre las tácticas y técnicas que utilizan los ciberdelincuentes. Esta base de conocimientos reconocida en todo el mundo, desarrollada por MITRE Corporation, es una herramienta muy valiosa para los profesionales de la ciberseguridad que trabajan para reforzar sus defensas contra las ciberamenazas sofisticadas.
En esencia, MITRE ATT&CK es un catálogo que incluye multitud de tácticas, técnicas y procedimientos (TTP) usados por los ciberdelincuentes, y proporciona un modelo estructurado para el desarrollo de estrategias de defensa y modelado de ciberamenazas.
La arquitectura de este marco está ingeniosamente diseñada en torno a diversas tácticas que ilustran la forma en que los adversarios logran sus objetivos dentro de la red atacada. La estructura jerárquica ayuda a los encargados de la defensa a mitigar los efectos de las técnicas que plantean riesgos considerables para el entorno.
El carácter dinámico de MITRE ATT&CK garantiza que la base de conocimientos incluya siempre información actualizada y relevante, de modo que ofrezca inteligencia práctica para mejorar la estrategia de seguridad de las organizaciones. Con la integración de MITRE ATT&CK, los profesionales pueden desarrollar mecanismos de defensa eficaces y resilientes contra la ciberdelincuencia, que cambia sin cesar.
Cabe mencionar que el marco MITRE ATT&CK evoluciona de forma continua y va incorporando cambios o actualizaciones. Para obtener la información más reciente, siempre es conveniente consultar el sitio web oficial de MITRE ATT&CK (https://attack.mitre.org/).
Las 3 matrices principales del marco MITRE ATT&CK
Las tres matrices principales del marco MITRE ATT&CK son Enterprise, Mobile e ICS (sistemas de control industrial). Cada matriz funciona como una hoja de ruta que los profesionales de la ciberseguridad pueden usar como guía en el complejo panorama de los comportamientos de los atacantes y los patrones de ataque específicos de los distintos entornos.
Matriz Enterprise
La matriz Enterprise, que es la más completa de las tres, se centra en las tácticas y técnicas que los atacantes usan contra sistemas Windows, macOS y Linux. Incluye diversas tácticas (desde el acceso inicial y la ejecución hasta el comando y control y la exfiltración) y ofrece detalles sobre los posibles vectores de ataque dentro de las redes corporativas. Esta matriz es una herramienta crucial para las organizaciones a la hora de identificar vulnerabilidades, mejorar sus funciones de detección y reforzar sus defensas contra las ciberamenazas sofisticadas.
Matriz Mobile
En lo que respecta a la matriz Mobile, la atención se centra en las amenazas que afectan a las plataformas iOS y Android. Esta matriz incluye amenazas que afectan a dispositivos móviles en exclusiva, como el uso de exploits contra aplicaciones o funciones del sistema operativo para obtener información y acceso no autorizado. Es una herramienta esencial para conocer las tácticas que se usan en los entornos móviles y que cambian sin cesar, y ayuda a los equipos de seguridad a desarrollar estrategias sólidas para proteger los datos confidenciales que contienen los dispositivos móviles.
Matriz ICS
La matriz ICS destaca las ciberamenazas que afectan a los entornos industriales en los que predomina la tecnología operativa (TO). Se centra en las tácticas y técnicas que usan los atacantes para bloquear, controlar o dañar los procesos industriales. Esta matriz es esencial para proteger la infraestructura crítica, ya que proporciona información práctica sobre la intersección de la seguridad física y la cibernética, con lo que ayuda a implementar medidas eficaces contra las amenazas que afectan a las operaciones industriales.
Descubra la forma en que la matriz MITRE ATT&CK categoriza las tácticas, técnicas y procedimientos que usan los atacantes: ¿Qué es la matriz MITRE ATT&CK?
Componentes clave del marco MITRE ATT&CK
El marco MITRE ATT&CK es un recurso crucial en el ámbito de la ciberseguridad. Proporciona una matriz exhaustiva de las tácticas, técnicas y procedimientos que utilizan los actores de amenazas. Se basa en los conocimientos sobre seguridad aportados por la comunidad y ayuda a las organizaciones a conocer y mitigar las ciberamenazas, que cambian sin cesar, y a mejorar su estrategia de seguridad.
Tácticas MITRE
| Táctica | Objetivo de los atacantes |
| 1. Reconocimiento | Recabar información útil para planificar operaciones futuras. |
| 2. Desarrollo de recursos | Establecer recursos que sirvan de ayuda para las operaciones. |
| 3. Acceso inicial | Infiltrarse en la red de la víctima. |
| 4. Ejecución | Ejecutar código malicioso. |
| 5. Persistencia | Mantener su presencia a largo plazo. |
| 6. Obtención de privilegios de mayor nivel | Conseguir permisos de mayor nivel. |
| 7. Evasión de las defensas | Evitar ser detectados |
| 8. Acceso a credenciales | Robar nombres de usuario y contraseñas. |
| 9. Detección | Llegar a conocer el entorno de la víctima. |
| 10. Movimiento lateral | Moverse por el entorno de la víctima. |
| 11. Recopilación | Reunir datos de interés para lograr su objetivo. |
| 12. Comando y control | Comunicarse con los sistemas atacados para controlarlos. |
| 13. Exfiltración | Robar datos. |
| 14. Impacto | Manipular, bloquear o destruir los sistemas y datos de la víctima. |
Las tácticas constituyen el «por qué» de una técnica o subtécnica de ATT&CK. Cada táctica representa un objetivo concreto de un atacante, como obtener acceso inicial a un sistema, ejecutar código malicioso o exfiltrar datos.
Estas tácticas no son independientes, sino que forman un entramado de posibles metodologías que los atacantes pueden adaptar y combinar según sus objetivos y el entorno que esté en su punto de mira.
El marco categoriza estas tácticas de forma que reflejen el ciclo de un ciberataque, desde la fase de reconocimiento (durante la que el atacante reúne información sobre los posibles objetivos) hasta la de impacto (en la que se inflige el daño en sí). Este modelo por fases ayuda a conocer en su totalidad la progresión de un ataque y también contribuye al desarrollo de estrategias de defensa por capas que aborden las vulnerabilidades en cada etapa.
Al diseccionar cada táctica, los profesionales de la ciberseguridad pueden profundizar en las técnicas y subtécnicas en las que se basan, lo que les proporciona información práctica sobre los métodos específicos que usan los atacantes para lograr sus objetivos. Este nivel de detalle es vital para desarrollar mecanismos precisos de detección y adaptar las defensas a las características únicas de cada amenaza.
El valor práctico del marco se ve enriquecido por el énfasis que pone en la aplicación real de dichas tácticas, el cual se basa en casos reales e informes sobre incidentes. Los equipos de seguridad pueden aprovechar esta información para simular situaciones de ataque, poner a prueba sus defensas y perfeccionar sus estrategias de respuesta a incidentes. Esto les permite asegurarse de que están preparados para contrarrestar las cambiantes tácticas que usan los ciberdelincuentes.
Tácticas de la matriz Enterprise (14)
La matriz Enterprise incluye las siguientes tácticas de ataque:
- Reconocimiento: recabar información útil para planificar operaciones futuras.
- Desarrollo de recursos: establecer recursos que sirvan de ayuda para las operaciones.
- Acceso inicial: infiltrarse en la red de la víctima.
- Ejecución: ejecutar código malicioso.
- Persistencia: mantener su presencia a largo plazo.
- Obtención de privilegios de mayor nivel: conseguir permisos de mayor nivel.
- Evasión de las defensas: evitar ser detectados.
- Acceso a credenciales: robar nombres de usuario y contraseñas.
- Detección: llegar a conocer el entorno objetivo.
- Movimiento lateral: desplazarse por el entorno objetivo.
- Recopilación: reunir datos de interés para lograr su objetivo.
- Comando y control: comunicarse con los sistemas atacados para controlarlos.
- Exfiltración: robar datos.
- Impacto: manipular, bloquear o destruir sistemas y datos.
Tácticas de la matriz Mobile (14)
La matriz Mobile incluye las siguientes tácticas de ataque:
- Acceso inicial: infiltrarse en un dispositivo.
- Ejecución: ejecutar código malicioso.
- Persistencia: mantener su presencia a largo plazo.
- Obtención de privilegios de mayor nivel: conseguir permisos de mayor nivel.
- Evasión de las defensas: evitar ser detectados.
- Acceso a credenciales: robar nombres de usuario, contraseñas u otros secretos con los que se accede a los recursos.
- Detección: llegar a conocer el entorno objetivo.
- Movimiento lateral: desplazarse por el entorno objetivo.
- Recopilación: reunir datos de interés para lograr su objetivo.
- Comando y control: comunicarse con los dispositivos atacados para controlarlos.
- Exfiltración: tratar de robar datos.
- Impacto: manipular, bloquear o destruir dispositivos y datos.
- Efectos basados en la red: interceptar o manipular el tráfico de red que entra o sale de un dispositivo.
- Efectos basados en los servicios remotos: controlar o supervisar el dispositivo mediante servicios remotos.
Tácticas de la matriz ICS (12)
La matriz ICS incluye las siguientes tácticas de ataque:
- Acceso inicial: infiltrarse en el entorno de sistemas de control industrial.
- Ejecución: ejecutar código o manipular sin autorización las funciones, los parámetros y los datos de los sistemas.
- Persistencia: mantener su presencia a largo plazo en el entorno de ICS.
- Obtención de privilegios de mayor nivel: conseguir permisos de mayor nivel.
- Evasión: evitar los mecanismos de defensa.
- Detección: localizar información para evaluar e identificar sus objetivos dentro del entorno.
- Movimiento lateral: desplazarse por el entorno de ICS.
- Recopilación: reunir datos de interés y conocimientos específicos sobre el entorno de ICS para lograr su objetivo.
- Comando y control: comunicarse con los sistemas, controladores y plataformas atacados y controlarlos mediante el acceso al entorno de ICS.
- Inhibición de las funciones de respuesta: impedir que las funciones de seguridad, protección, evaluación de la calidad e intervención de operadores puedan responder a un fallo, un peligro o una carencia de seguridad.
- Desactivar procesos de control: manipular, inhabilitar o dañar procesos de mecanismos físicos de control.
- Impacto: manipular, bloquear o destruir sistemas de ICS, así como sus datos y el entorno en el que se encuentran.
Técnicas MITRE ATT&CK
Si profundizamos en el marco MITRE ATT&CK, observamos una sofisticada matriz de técnicas y subtécnicas que constituyen los cimientos de las tácticas explicadas en la sección anterior. Cada técnica proporciona una descripción detallada de los métodos que aplican de los ciberdelincuentes para conseguir sus objetivos tácticos.
Estas técnicas se desglosan en subtécnicas, que ofrecen más detalles sobre el arsenal de los atacantes y revelan las acciones específicas que se realizan para ejecutar la estrategia general.
Por ejemplo, la táctica denominada «acceso inicial» puede incluir técnicas como el envío de correos de spear phishing o el uso de exploits contra aplicaciones públicas. Las subtécnicas describen los matices de dichos métodos, como el tipo específico de la vulnerabilidad atacada en la aplicación pública, o bien la inclusión de un archivo adjunto o un enlace malicioso en los correos de spear phishing. Este modelo por capas permite a los encargados de la defensa identificar el método general de ataque y conocer los entresijos de su ejecución.
La exhaustiva catalogación de estas técnicas y subtécnicas del marco se actualiza continuamente para que refleje el carácter cambiante de las ciberamenazas. Cada entrada se complementa con ejemplos reales, indicadores de riesgo y estrategias de mitigación, lo que proporciona inteligencia práctica a los profesionales de la seguridad. Gracias a este nivel de detalle, es posible elaborar una estrategia proactiva de defensa y los equipos pueden anticipar posibles vectores de ataque y reforzar sus defensas en consecuencia.
Los profesionales de la seguridad aplican este conocimiento profundo para adaptar sus medidas de seguridad con más precisión, lo que mejora su capacidad de detección, respuesta y mitigación de amenazas. El marco MITRE ATT&CK plasma los métodos de actuación de los atacantes con todo lujo de detalles, gracias a lo cual las organizaciones pueden mejorar la resiliencia y la capacidad de respuesta de su estrategia de ciberseguridad.
Descubra la forma en que las técnicas MITRE ATT&CK categorizan y describen los métodos y tácticas que usan los adversarios en sus ciberataques: ¿Qué son las técnicas MITRE ATT&CK?
¿Qué son las subtécnicas?
Las subtécnicas son descripciones más específicas de los comportamientos que adoptan los ciberdelincuentes para alcanzar un objetivo. Describen un comportamiento de forma más específica que las técnicas y proporcionan detalles que ayudan a los equipos de seguridad a elaborar una táctica de ciberseguridad precisa para mitigar riesgos específicos. Por ejemplo, un atacante podría lanzar un ataque de keylogger para acceder a credenciales.
Procedimientos de MITRE ATT&CK
Los procedimientos son las implementaciones específicas que los atacantes usan para ejecutar una técnica o subtécnica. Por ejemplo, un procedimiento podría ser el uso de PowerShell por parte de un ciberdelincuente para inyectar procesos en lsass.exe y extraer credenciales de acceso de la memoria de Local Security Authentication Server (LSASS) de la víctima. En el marco ATT&CK, los procedimientos se clasifican como técnicas observadas en acción en la sección de ejemplos de procedimientos de las páginas relativas a las técnicas.
¿En qué se diferencian las subtécnicas y los procedimientos?
En el marco ATT&CK, las subtécnicas y los procedimientos se refieren a cosas diferentes. Una subtécnica explica en detalle cómo se ejecutan los ciberataques, mientras que los procedimientos se usan para describir la aplicación de las técnicas en la práctica. Además, como los procedimientos son implementaciones específicas de métodos y subtécnicas, pueden incluir varias subtécnicas adicionales como parte de la descripción.
Por ejemplo, el uso de PowerShell por parte de un ciberdelincuente para inyectar procesos en lsass.exe y extraer credenciales de la memoria de LSASS de la víctima es una implementación de un procedimiento que contiene varias subtécnicas que abarcan PowerShell, el acceso a credenciales y la inyección de procesos contra LSASS.
Obtenga más información sobre las diferencias entre las subtécnicas y los procedimientos del marco MITRE ATT&ACK: ¿En qué se diferencian las subtécnicas y los procedimientos de MITRE ATT&CK?
Uso del marco MITRE ATT&CK
Los ejercicios de Red Team y emulación de atacantes utilizan el marco para simular ataques reales. Las simulaciones ayudan a determinar la eficacia de las medidas de seguridad actuales y a identificar los posibles puntos débiles de la red de una organización. Las organizaciones pueden desarrollar defensas y estrategias de respuesta más sólidas mediante la imitación de los comportamientos y las tácticas de atacantes reales.
El desarrollo de análisis de comportamientos es otra forma crucial de aplicar el marco MITRE ATT&CK. Al analizar los patrones y las técnicas que se describen en el marco, los equipos de seguridad pueden mejorar sus sistemas de detección para identificar actividades sospechosas que se salgan de la norma y mitigar las amenazas cuanto antes.
El marco MITRE ATT&CK hace que la evaluación de la madurez y de las carencias defensivas de los centros de operaciones de seguridad (SOC) esté más estructurada. Proporciona a los SOC una referencia clara respecto a la que medir sus capacidades de detección, respuesta y mitigación de ciberamenazas, lo que facilita la aplicación de mejoras específicas a las operaciones de seguridad.
Por último, el marco enriquece la inteligencia sobre ciberamenazas gracias a que ofrece un método detallado y organizado para categorizar los comportamientos de los ciberdelincuentes e intercambiar información sobre ellos. Este enriquecimiento ayuda a las organizaciones a conocer mejor el panorama de amenazas y, por tanto, a prepararse de forma más eficaz para combatir los posibles ciberataques.
Implementación del marco MITRE ATT&CK
| Evaluación de MITRE | Producto evaluado | Recurso |
|---|---|---|
| MITRE APT 3 | Cortex XDR | Webinar: Análisis de los resultados de MITRE ATT&CK a cargo de Forrester |
| MITRE APT 29 | Cortex XDR | Informe técnico: Informe técnico: Guía definitiva de la 2.ª ronda de evaluaciones MITRE ATT&CK para EDR |
| MITRE Carbanak FIN 7 | Cortex XDR | Vídeo: Vídeo de la 3.ª ronda de MITRE ATT&CK E-Book: Guía esencial de la 3.ª ronda de MITRE ATT&CK Webcast: Carbanak + FIN7: análisis de la 3.ª ronda de MITRE ATT&CK |
| MITRE Wizard Spider & Sandworm | Cortex XDR | Webcast: Análisis de las evaluaciones MITRE ATT&CK® de 2022 Video: Evaluaciones MITRE Engenuity ATT&CK de 2022 – Wizard Spider y Sandworm E-Book: Guía esencial de la 4.ª ronda de evaluaciones MITRE ATT&CK Guía esencial de la 4.ª ronda de evaluaciones MITRE ATT&CK MITRE ATT&CK IV: guía de 2022 2022 MITRE-4 ATT&CK Guide |
Para empezar a usar el marco MITRE ATT&CK, consulte la página de introducción. Eche también un vistazo a la sección de recursos del sitio web y al blog para informarse sobre otros proyectos relacionados y casos de uso, y obtener más material. El marco ATT&CK presenta todas las tácticas y técnicas de ataque de forma sencilla y clara. En cada columna, se muestran las tácticas de ataque en la parte superior y las técnicas individuales, en la inferior.
ATT&CK se estructura como una matriz en la que cada secuencia de ataque consta al menos de una técnica por táctica. Avanzando de izquierda a derecha, se puede ensamblar una secuencia de ataque completa (desde el acceso inicial hasta el comando y control). Es posible que se utilicen varias técnicas para ejecutar una sola táctica. Por ejemplo, un ataque de spear phishing puede recurrir a la vez tanto a un archivo adjunto como a un enlace.
ATT&CK se puede utilizar de diversas formas para mejorar las operaciones de seguridad, la inteligencia sobre amenazas y la arquitectura de seguridad. Veamos algunos de los principales casos de uso:
- Emulación del ataque
- Programas de Red Team
- Desarrollo de análisis de comportamiento
- Evaluación de carencias defensivas
- Evaluación de la madurez del SOC
- Inteligencia sobre ciberamenazas
Para los proveedores que participan, las evaluaciones de MITRE Engenuity ATT&CK son una oportunidad de detectar áreas susceptibles de mejora (por ejemplo, les permiten actualizar las reglas de prevención, detección y respuesta en que se basan las políticas de ciberseguridad). Aunque no se establece una clasificación de los proveedores ni se otorgan puntuaciones globales que permitan compararlos entre sí, las pruebas proporcionan un resumen independiente de las distintas metodologías utilizadas por los profesionales de la seguridad para detectar y prevenir las campañas de ataque más sofisticadas.
Descubra cómo implementar e identificar las técnicas MITRE ATT&CK más pertinentes para los datos confidenciales de su empresa: ¿Cómo implemento técnicas MITRE ATT&CK?
Retos a la hora de implementar el marco MITRE ATT&CK
Las organizaciones pueden superar estos retos con la colaboración de un experto en ciberseguridad que proporcione formación y orientación sobre cómo utilizar el marco. De este modo, las organizaciones se asegurarán de utilizarlo de forma eficaz y de sacarle el máximo partido.
Herramientas y recursos de MITRE ATT&CK
Si seguimos profundizando, nos encontramos con que el marco MITRE ATT&CK es una mina de herramientas y recursos para mejorar la ciberseguridad. Dichas herramientas permiten conocer mejor el marco y ayudan a los profesionales de la seguridad implementar sus estrategias eficazmente.
Algunos de los recursos más destacables son ATT&CK Navigator, MITRE Cyber Analytics Repository (CAR), Caldera y Atomic Red Team. Cada uno sirve para un propósito concreto en el ecosistema de ciberseguridad y ofrece información y funciones adaptadas a diversos aspectos de la detección, el análisis y la simulación de amenazas.
ATT&CK Navigator
ATT&CK Navigator es una herramienta de visualización extraordinaria. Permite a los usuarios explorar y personalizar la amplia gama de tácticas, técnicas y procedimientos (TTP) que se documentan en el marco ATT&CK. Su interfaz interactiva permite relacionar los mecanismos de defensa de una organización con las posibles amenazas para resaltar los puntos fuertes y las vulnerabilidades.
Cyber Analytics Repository (CAR)
MITRE Cyber Analytics Repository (CAR) aplica una estrategia distinta para centrarse en el aspecto analítico de la ciberseguridad. Proporciona un completo conjunto de análisis basados en técnicas ATT&CK que se pueden aplicar directamente a los datos relativos a los eventos y la red. Este repositorio es muy valioso para mejorar las funciones de detección y conocer los detalles técnicos de diversos métodos de ataque.
Caldera y Atomic Red Team
Caldera y Atomic Red Team ofrecen herramientas prácticas para simular técnicas de ataque y poner a prueba las defensas de la red. Caldera es un sistema automático de emulación de atacantes que usa el marco ATT&CK para crear situaciones de ataque realistas. Atomic Red Team, por su parte, proporciona una biblioteca de scripts para ejecutar técnicas específicas, lo que permite a los equipos poner a prueba su resiliencia frente a amenazas conocidas.
Comparación de MITRE ATT&CK con otros modelos
MITRE ATT&CK destaca por su catalogación completa y detallada de las tácticas, técnicas y procedimientos (TTP) que usan los actores de amenazas. Como se actualiza de forma continua, no pierde relevancia respecto a los cambios en el panorama de amenazas, lo que lo distingue de los modelos que no se revisan con tanta frecuencia.
Otros modelos, como Cyber Kill Chain, se centran en la sucesión de pasos que siguen los atacantes para infiltrarse en un sistema. Este modelo ayuda a conocer la progresión de un ataque, lo que permite a los encargados de la defensa prever y bloquear las amenazas en distintas fases. Mientras que Cyber Kill Chain ofrece una perspectiva de ataque lineal, MITRE ATT&CK abarca un espectro más amplio al detallar las técnicas de postexplotación y los movimientos laterales que se producen en las redes atacadas.
Cyber Kill Chain
El modelo Cyber Kill Chain ofrece un marco para entender la anatomía de los ciberataques y dividirlos en segmentos asequibles. Este modelo ayuda a los encargados de la defensa a identificar y frustrar ataques de forma más eficaz adaptando a cada etapa las estrategias defensivas, que abarcan desde medidas proactivas durante la fase de reconocimiento hasta soluciones antimalware y de filtrado de correo electrónico durante el uso de herramientas a modo de armas («weaponización»).
Sin embargo, la progresión lineal del modelo puede no abarcar todas las tácticas polifacéticas que se usan en ataques avanzados. En cambio, el marco MITRE ATT&CK ofrece una visión más detallada de los métodos de actuación de los atacantes y un conjunto de recursos más completo para defenderse de las ciberamenazas.
Decantarse por MITRE ATT&CK u otros modelos suele depender de las necesidades y las funciones específicas del equipo de ciberseguridad. Aunque hay quien prefiere el modelo estructurado de Cyber Kill Chain porque es sencillo y se centra en la prevención, otros valoran la amplia y detallada gama de situaciones que cubre MITRE ATT&CK. La decisión depende de si la prioridad es conocer la anatomía de un ataque o desarrollar una defensa versátil contra una amplia gama de tácticas de ataque.
Marco MITRE D3FEND
El marco MITRE D3FEND complementa el enfoque ofensivo del marco MITRE ATT&CK con contramedidas defensivas de ciberseguridad para detectar, mitigar y prevenir los ciberataques de forma proactiva. D3FEND es el acrónimo de «Detection, Denial, and Disruption Framework Empowering Network Defense» (marco de detección, denegación y bloqueo para potenciar la defensa de la red).
D3FEND proporciona técnicas defensivas que indican a los equipos de seguridad cuáles son las medidas más eficaces contra determinados comportamientos de los atacantes, lo que permite mejorar la eficacia de las estrategias de ciberseguridad. El marco MITRE D3FEND aporta información práctica que permite conocer las técnicas de weaponización que podrían utilizar los adversarios en los ciberataques, como el cifrado de malware para evadir las defensas.
Ventajas del marco MITRE ATT&CK
Una de las principales ventajas de integrar MITRE ATT&CK es la mejora de la inteligencia sobre amenazas y de las operaciones de seguridad. Los equipos pueden aplicar el marco para simular ataques reales, identificando vulnerabilidades en sus sistemas para después explotarlas. Este modelo proactivo refuerza las estrategias de seguridad y ayuda a los equipos de seguridad a informarse sobre las ciberamenazas, que no dejan de evolucionar.
Además, establece un lenguaje común para los profesionales de la ciberseguridad. Al categorizar y describir las amenazas de manera estandarizada, se simplifican las comunicaciones entre los equipos y con las partes interesadas externas, lo que mejora la colaboración y reduce los tiempos de respuesta cuando se produce un incidente.
Las organizaciones también se benefician de las actualizaciones continuas y las contribuciones de la comunidad a la base de datos de MITRE ATT&CK. El marco evoluciona a medida que se observan y documentan técnicas y tácticas nuevas, de modo que constituye un recurso actualizado que refleja el entorno de amenazas actual.
MITRE ATT&CK para distintas tecnologías
El marco MITRE ATT&CK se puede aplicar a cualquier tecnología o aplicación de software que pueda estar en el punto de mira de los actores de amenazas, como los sistemas operativos, las aplicaciones, los dispositivos de red, los servicios en la nube, etc. Si conocen las técnicas y tácticas de los atacantes, las organizaciones podrán desarrollar medidas de defensa eficaces y mejorar su estrategia de seguridad.
Algunas de las tecnologías para las que se puede aplicar el marco ATT&CK son las siguientes:
- Sistemas de TI empresariales que incluyen:
- Windows
- macOS
- Linux
- Dispositivos de infraestructura de red (red).
- Tecnologías de contenedor (contenedores).
- Sistemas en la nube como la infraestructura como servicio (IaaS).
- Software como servicio (SaaS)
- Office 365
- Azure Active Directory (Azure AD)
- Google Workspace
- Dispositivos móviles que incluyen:
- Android
- iOS
- ICS (sistemas de control industrial)
Descubra cómo aborda MITRE ATT&CK los comportamientos reales de los ciberdelincuentes en diferentes tecnologías: ¿Cómo se aplica MITRE ATT&CK a diferentes tecnologías?
¿Qué es MITRE Engenuity?
MITRE Engenuity es una organización que colabora con empresas privadas para abordar retos de interés público relacionados con la ciberseguridad, la resiliencia de las infraestructuras, la eficacia de los servicios sanitarios y las comunicaciones de nueva generación. En su primera iniciativa, MITRE Engenuity reúne a expertos en seguridad de organizaciones líderes para reforzar la ciberdefensa gracias a un conocimiento más profundo de los ciberdelincuentes.
Con el fin de mejorar la resiliencia de las organizaciones ante el comportamiento de los adversarios observado, MITRE Engenuity utiliza la base de conocimientos ATT&CK® para evaluar distintos productos de ciberseguridad según tres criterios:
- Dar a los usuarios información objetiva sobre la funcionalidad de los productos de seguridad analizados.
- Permitir a los participantes ver las capacidades reales de sus productos de seguridad.
- Mejorar las capacidades de los productos de los participantes
En estas evaluaciones, no se realizan análisis competitivos. En lugar de decretar un «ganador», lo que hacen es ilustrar el modo en que cada proveedor aborda la defensa contra amenazas dentro del contexto de ATT&CK. No existe una forma universal de analizar, clasificar o puntuar las soluciones. Los métodos de evaluación empleados están disponibles para todo el que quiera conocerlos y los resultados se publican. Los métodos y contenidos evolucionan y se amplían constantemente para garantizar que el proceso de evaluación sea justo, transparente y valioso.
¿Qué son las evaluaciones MITRE Engenuity ATT&CK?
Les corresponde a los proveedores decidir cómo detectar y combatir los comportamientos potencialmente maliciosos. MITRE Engenuity pide a los proveedores que faciliten pruebas de la detección, aunque es posible que estos no compartan públicamente todos los datos de esta. Los proveedores pueden no revelar todos los datos de la detección en los resultados públicos. Nuestra responsabilidad es resumir los datos clasificándolos en categorías y comentar los productos en función de la información que nos proporcionen.
Para determinar la categoría adecuada de una detección, MITRE Engenuity recaba las pruebas oportunas en forma de capturas de pantalla y de apuntes tomados durante la evaluación. Cada detección o protección puede ser de dos tipos: «Principal» y «Modificador». La designación de la categoría «Principal» de cada detección varía según la cantidad de información contextual que se proporciona al usuario, mientras que la designación de la categoría «Modificador» ayuda a describir el evento más a fondo.
Categorías utilizadas por MITRE Engenuity para la detección:
En marzo de 2022, se publicó la cuarta ronda de evaluaciones, que prestaba especial atención a Wizard Spider y Sandworm. Wizard Spider es un grupo delictivo que actúa movido por intereses económicos y que, desde agosto de 2018, ha puesto la mira en grandes corporaciones, entre las que se encuentran varios hospitales. Sandworm es un grupo de amenazas ruso especialmente destructivo que en 2015 y 2016 atacó a varias empresas eléctricas del Reino Unido y al que se conoce sobre todo por los ataques NotPetya de 2017.
Turla es un grupo de ciberdelincuencia de fama internacional que lleva activo al menos desde principios de los 2000. A día de hoy, ha propagado infecciones en más de 45 países de todo el mundo. Es conocido por atacar organismos gubernamentales, misiones diplomáticas, grupos militares, organizaciones de investigación y medios de comunicación. Turla utiliza herramientas internas y de código abierto para mantener la seguridad de sus operaciones; por ejemplo, cuenta con una red de comando y control, y recurre a varias técnicas sofisticadas y de código abierto.
Según MITRE Engenuity, en esta última ronda de evaluaciones se observó una mejora considerable de los productos de los proveedores, como Palo Alto Networks. La atención se centró en las funciones de defensa basadas en la información disponible sobre las amenazas y en una mayor priorización del marco ATT&CK. Aquí encontrará más información sobre los resultados de la evaluación.
MITRE ATT&CK para CISO
En el ámbito de la seguridad, el marco MITRE ATT&CK es fundamental. Recopila casos de uso y datos reales para detallar las tácticas de los atacantes y medidas para combatirlas. El marco MITRE ATT&CK proporciona a los directores de seguridad de la información (CISO) una ventaja estratégica en materia de ciberseguridad respecto a los actores de amenazas, ya que ofrece herramientas e inteligencia sobre amenazas práctica para mejorar la estrategia de seguridad de su organización. A continuación, se indican algunos ejemplos.
- Una completa base de conocimientos sobre las tácticas y técnicas que utilizan los atacantes, que se basa en la observación de amenazas de ciberseguridad reales y ayuda a los equipos de seguridad a prepararse, detectar y responder a los ciberataques.
- Un lenguaje común que facilita la comunicación sobre ciberseguridad entre los equipos de seguridad y las partes interesadas internas y externas.
- Una arquitectura de referencia que los equipos del SOC pueden usar como estándar con el que comparar su estrategia de seguridad y para identificar posibles amenazas y vulnerabilidades.
- Información práctica sobre las novedades en malware y otras tácticas utilizadas por los adversarios, que ayudan a los CISO a entender patrones de ataque complejos y abordar casos de uso reales.
Historia y evolución del marco MITRE ATT&CK
MITRE es una organización imparcial y sin ánimo de lucro con sedes en Bedford (Massachusetts) y McLean (Virginia). Se creó con el objetivo de proporcionar al Gobierno federal orientaciones técnicas y de ingeniería.
En 2013, el marco MITRE ATT&CK se desarrolló como parte de un proyecto de investigación de MITRE para documentar los TTP que utilizan los grupos de amenazas avanzadas persistentes (APT) contra las grandes empresas. Se creó para responder a la necesidad de describir los TTP de los ciberdelincuentes que se utilizarían en un proyecto de investigación de MITRE llamado FMX.
El objetivo del proyecto FMX era averiguar cómo se podían utilizar los análisis y datos de telemetría de los endpoints para mejorar la detección de atacantes en redes empresariales después de una intrusión. El marco ATT&CK sirvió para probar la eficacia de los sensores y análisis bajo el proyecto FMX y definió un lenguaje común que podrían utilizar tanto los equipos de seguridad ofensiva como los de seguridad defensiva para mejorar con el tiempo.
En el año 2015, MITRE ATT&CK ya era de acceso público y se podía descargar de forma gratuita en todo el mundo. Hoy en día, ayuda a los equipos de seguridad de organizaciones de todos los sectores a entender mejor las amenazas a las que se enfrentan y a proteger sus sistemas de ellas.
El marco MITRE ATT&CK ha seguido evolucionando para satisfacer las necesidades de los nuevos casos de uso de ciberseguridad en materia de inteligencia sobre amenazas. En un principio, MITRE ATT&CK se desarrolló para abordar las amenazas que afectaban a un solo entorno (los sistemas Windows empresariales), pero su dominio de aplicación se ha ampliado a los ciberataques contra los entornos Linux y macOS, los dispositivos móviles, las plataformas en la nube, la infraestructura de red, las tecnologías de contenedor y los sistemas de control industrial (ICS), entre otros.
Descubra cómo se ha ido adaptando MITRE ATT&CK y su repercusión en las estrategias de ciberseguridad: ¿Cómo ha mejorado, se ha adaptado y ha evolucionado MITRE ATT&CK?
Más información sobre MITRE ATT&CK
Obtenga más información sobre el marco MITRE ATT&CK y las evaluaciones realizadas con Cortex XDR de Palo Alto Networks.
Para obtener más información sobre el marco ATT&CK, visite MITRE.org. No se pierda la herramienta ATT&CK Navigator que le ayudará a recorrer y visualizar las técnicas de ATT&CK, así como a tomar notas.
El marco MITRE ATT&CK y Cortex XDR
Cortex XDR ayuda a detener los ataques modernos aplicando la inteligencia artificial y los análisis de comportamiento a los datos de los endpoints, las redes, la nube y fuentes externas. Unifica la prevención, detección, investigación y respuesta en una sola plataforma para garantizar una seguridad y una eficiencia operativa sin parangón.
Cortex XDR brinda una cobertura insuperable de las técnicas descritas en MITRE ATT&CK y siempre demuestra un rendimiento excepcional en las pruebas independientes del sector, como las evaluaciones MITRE Engenuity ATT&CK.
Preguntas frecuentes sobre MITRE ATT&CK
MITRE ATT&CK (acrónimo de «tácticas, técnicas y conocimientos comunes de los atacantes») es una matriz exhaustiva que incluye tácticas y técnicas usadas por los ciberdelincuentes. Se emplea en el modelado de amenazas y en los sistemas de defensa para entender mejor los riesgos de seguridad asociados a amenazas específicas y para mejorar las estrategias de detección y prevención.
Este marco se estructura en matrices por tipos de plataforma, como Windows, macOS, Linux, dispositivos móviles y la nube. Cada matriz consta de columnas que representan tácticas (el porqué de una técnica ATT&CK, como el acceso inicial, la ejecución y la persistencia) y filas que incluyen técnicas (que describen cómo consigue un adversario el objetivo táctico).
Este marco lo usan los profesionales de seguridad de diversos sectores, como los encargados de la ciberseguridad, los equipos de respuesta a incidentes, los expertos en búsqueda de amenazas, los miembros del Red Team y los equipos del SOC. También se usa con fines formativos y educativos, y para desarrollar configuraciones y herramientas de seguridad.
Las organizaciones pueden usar MITRE ATT&CK para optimizar su estrategia de ciberseguridad relacionando sus mecanismos de protección con técnicas y tácticas específicas de ataque, lo que les permite identificar carencias en sus defensas, mejorar las funciones de detección y respuesta y priorizar acciones según los comportamientos de los atacantes. También se aplica a la inteligencia sobre amenazas para describir dichos comportamientos e intercambiar información sobre ellos.
MITRE actualiza las matrices de ATT&CK periódicamente para que reflejen las novedades en materia de amenazas, como las tácticas y las técnicas nuevas de los atacantes. Estas actualizaciones son fruto de la investigación continua, las aportaciones de la comunidad y los análisis de casos reales. Los usuarios del marco también pueden contribuir proporcionando comentarios y compartiendo sus hallazgos.
