Introducción: Entendiendo los “guiones” de un ciberataque
En las películas, un hacker parece adivinar contraseñas en segundos y entrar en cualquier sistema como por arte de magia. En la realidad, los atacantes siguen pasos y métodos bastante claros y repetibles. Esta forma organizada de atacar es justo lo que aprovechan los analistas de ciberseguridad para defender mejor los sistemas.
En este capítulo vamos a ver varios frameworks de ataque: guiones que describen cómo suele actuar un atacante desde que elige un objetivo hasta que roba datos o causa daños. Entender estos modelos te ayudará a pensar como un atacante, anticiparte a sus movimientos y prepararse mejor para el examen CySA+.
Ideas principales del capítulo
- Qué es un framework de ataque y por qué es tan útil para analizar amenazas.
- Qué es MITRE ATT&CK, sus componentes y la matriz Enterprise.
- Cómo funciona el Diamond Model of Intrusion Analysis y sus cuatro vértices.
- Qué es la Cyber Kill Chain de Lockheed Martin y sus fases.
- Para qué sirven OSSTMM y la guía OWASP Web Security Testing Guide.
Ideas principales: Resumen rápido para estudiar
1. Qué es un framework de ataque
- Es una forma estructurada de describir un ciberataque en fases, tácticas y técnicas.
- Permite a los analistas entender qué está haciendo el atacante y qué podría hacer después.
- Ayuda a priorizar defensas y diseñar mejores planes de respuesta a incidentes.
2. MITRE ATT&CK
- Es una base de conocimiento que recoge tácticas, técnicas y procedimientos (TTP) usados por atacantes reales.
- Está organizada en matrices (Enterprise, Mobile, ICS, Cloud, etc.).
- Incluye tácticas (objetivos), técnicas (métodos), fuentes de datos, mitigaciones, grupos, software y campañas.
- Se usa para respuesta a incidentes, threat hunting y evaluación de riesgos.
3. Enterprise ATT&CK: las 11 tácticas
- Initial access, Execution, Persistence, Privilege escalation, Defense evasion, Credential access, Discovery, Lateral movement, Collection, Exfiltration, Command and control.
- Describen el ciclo completo de un ataque en una red corporativa.
4. Diamond Model of Intrusion Analysis
- Representa un ataque con cuatro vértices: adversary, capability, infrastructure, victim.
- Permite “pivotar” entre esos elementos para investigar mejor un incidente.
- Modelo de siete fases: Reconnaissance, Weaponization, Delivery, Exploitation, Installation, Command and Control, Actions on Objectives.
- Ayuda a ver dónde puedes cortar el ataque antes de que logre su objetivo.
6. OSSTMM
- Metodología abierta para pruebas de seguridad (pentesting, auditoría, cumplimiento).
- Cubre gestión, personas, seguridad física, telecomunicaciones, redes de datos e inalámbricas.
7. OWASP Web Security Testing Guide
- Guía para testear la seguridad de aplicaciones web, basada en el OWASP Top 10.
- Se estructura en fases: planificación, recogida de información, identificación de vulnerabilidades, explotación, post-explotación y reporte.
Explicación de conceptos clave con ejemplos y analogías
1. Framework de ataque: el manual del “ladrón digital”
Un framework de ataque es como el manual que sigue un ladrón para entrar en una casa: primero observa el barrio, luego planifica cómo entrar, después ejecuta el plan y finalmente roba y huye. En ciberseguridad, en vez de casas hablamos de redes y sistemas, pero la idea es la misma: hay pasos que se repiten una y otra vez.
Estos modelos dividen el ataque en fases: reconocimiento, acceso inicial, movimiento lateral, exfiltración de datos, etc. Si sabes en qué fase está el atacante, puedes decidir qué controles aplicar (por ejemplo, endurecer los accesos, reforzar monitorización o bloquear comunicaciones salientes sospechosas).
2. MITRE ATT&CK: la enciclopedia de tácticas y técnicas
MITRE ATT&CK es una gran “enciclopedia” que describe cómo actúan los atacantes en la vida real. No se queda en teoría: recoge técnicas observadas en campañas reales, con ejemplos de grupos, malware y posibles defensas.
Piensa en ATT&CK como una guía de “modus operandi” de ladrones:
- Táctica = objetivo del ladrón en ese momento (entrar, mantenerse dentro, robar, huir).
- Técnica = forma concreta de hacerlo (romper ventana, copiar llave, engañar al portero).
- Fuentes de datos = cámaras de seguridad, registros de entrada, alarmas.
- Mitigaciones = rejas, mejores cerraduras, más iluminación, alarmas más sensibles.
En ciberseguridad, las tácticas son cosas como Initial Access o Persistence; las técnicas son phishing, explotación de vulnerabilidades, uso de RDP, etc. Las fuentes de datos son logs, tráfico de red, telemetría de endpoints, y las mitigaciones son reglas de firewall, segmentación, EDR, etc.
3. Enterprise ATT&CK: las 11 tácticas como fases de un robo
La matriz Enterprise es la más relevante para redes corporativas. Sus 11 tácticas se pueden entender como pasos de un robo digital:
- Initial access: conseguir el “primer pie dentro” (phishing, explotación de un servicio expuesto).
- Execution: hacer que el código malicioso se ejecute en la máquina víctima.
- Persistence: asegurarse de poder volver (tareas programadas, servicios, backdoors).
- Privilege escalation: subir de usuario normal a administrador.
- Defense evasion: ocultarse o desactivar defensas (ofuscación, desactivar antivirus).
- Credential access: robar credenciales para moverse con más libertad.
- Discovery: explorar la red para saber qué hay y qué merece la pena.
- Lateral movement: pasar de una máquina a otra dentro de la red.
- Collection: reunir la información o archivos interesantes.
- Exfiltration: sacar los datos fuera sin que se note.
- Command and control: mantener un canal de mando con las máquinas comprometidas.
Como analista, tu trabajo es “romper” este ciclo: cuanto antes detectes al atacante en la cadena, más fácil será limitar el daño.
4. Diamond Model: cuatro vértices para entender el incidente
El Diamond Model representa un incidente como un rombo con cuatro vértices: adversary, capability, infrastructure y victim. La idea es describir cómo un adversario usa una capacidad a través de una infraestructura contra una víctima.
Ejemplo sencillo:
- Adversary: grupo FIN7 u otro actor concreto.
- Capability: kits de phishing, malware personalizado.
- Infrastructure: dominios registrados por el actor, servidores de comando y control.
- Victim: ejecutivos de bancos, empleados de cierta empresa.
Analogía diaria: piensa en una banda que roba bancos:
- El grupo de ladrones (adversary).
- Armas, herramientas, coches (capability).
- Coches de huida, casas seguras, teléfonos desechables (infrastructure).
- El banco y su personal (victim).
El modelo te ayuda a investigar: si descubres una pieza (por ejemplo, un dominio malicioso), puedes “pivotar” y preguntarte quién lo usa, con qué herramientas y a quién ataca.
5. Cyber Kill Chain: las 7 fases del ataque
La Cyber Kill Chain de Lockheed Martin divide un ataque en siete fases lineales. Es como un guion de principio a fin:
- Reconnaissance: el atacante recopila tanta información como puede sobre la víctima (red, personal, tecnologías).
- Weaponization: crea la “arma” (malware, documentos, exploits) adaptada al objetivo.
- Delivery: entrega esa arma (correo de phishing, USB, web maliciosa, AP falso).
- Exploitation: aprovecha una vulnerabilidad (clic del usuario, fallo del sistema) para ejecutar el ataque.
- Installation: instala un backdoor, web shell o RAT para mantener acceso.
- Command and Control: establece comunicación permanente con la máquina comprometida.
- Actions on Objectives: realiza su objetivo final: robar datos, cifrar, destruir, sabotear.
Analogía: es como planear un atraco físico a una empresa: primero se estudia el lugar (recon), se prepara el plan y las herramientas (weaponization), se llega al sitio (delivery), se entra (exploitation), se asegura la salida y control del lugar (installation, C2) y finalmente se roba o destruye lo que se buscaba (actions on objectives).
Ventaja clave: si detienes el ataque en fases tempranas (por ejemplo, en Delivery con un buen filtro de correo o en Exploitation con parches y hardening), evitas daños mayores y a menudo no necesitas activar todo el plan de respuesta a incidentes.
6. OSSTMM: una “ITV” completa de la seguridad
El Open Source Security Testing Methodology Manual (OSSTMM) es una metodología para hacer pruebas de seguridad de forma ordenada y medible. No se centra solo en la tecnología: incluye personas, procesos y entorno físico.
Sus seis áreas son:
- Information security management: políticas, gestión de riesgos, respuesta a incidentes.
- Human security testing: ingeniería social, calidad de las contraseñas, concienciación de usuarios.
- Physical security testing: accesos físicos, cerraduras, CCTV, alarmas.
- Telecommunications security testing: VoIP, telefonía tradicional, fax.
- Data network security testing: redes de datos, routers, switches, firewalls.
- Wireless security testing: redes Wi‑Fi, Bluetooth y otros enlaces inalámbricos.
Piensa en OSSTMM como la ITV de seguridad de toda la organización: revisa pieza por pieza para detectar fallos antes de que alguien los explote. Se usa en pentesting, auditoría, cumplimiento normativo y también como herramienta de formación.
7. OWASP Web Security Testing Guide: ITV para aplicaciones web
La OWASP Web Security Testing Guide es una metodología para revisar la seguridad de aplicaciones web. Está basada en el OWASP Top 10, que recoge los riesgos web más críticos como SQL injection, XSS, autenticación rota, etc.
Fases de la guía:
- Planning and Preparation: definir objetivos, alcance, entorno y herramientas de prueba.
- Information Gathering: entender cómo funciona la aplicación, qué entradas tiene y qué tecnologías usa.
- Vulnerability Identification: localizar y confirmar vulnerabilidades (SQLi, XSS, sesiones inseguras, etc.).
- Exploitation: explotar esas vulnerabilidades para medir su impacto real.
- Post-Exploitation: valorar hasta dónde se puede llegar con ese acceso (datos, cuentas, sistemas).
- Reporting: documentar los hallazgos y dar recomendaciones de solución.
Analogía: es la ITV de una aplicación web: primero se revisa qué “coche” es, luego se comprueban todos los puntos críticos, se ve qué puede fallar y se entrega un informe para que el “mecánico” (equipo de desarrollo) lo corrija.
Conclusión / recordatorio para el estudio
Los frameworks de ataque son mapas mentales que te permiten entender cómo piensa y actúa un atacante. MITRE ATT&CK te da el catálogo detallado de tácticas y técnicas, mientras que la Cyber Kill Chain y el Diamond Model te ayudan a encajar esas piezas en una historia completa de ataque. OSSTMM y la guía OWASP te muestran cómo evaluar de forma práctica la seguridad de sistemas y aplicaciones antes de que llegue el atacante.
Glosario de términos básicos
- Framework de ataque: modelo que describe las fases, tácticas y técnicas que sigue un atacante durante un ciberataque.
- TTP (Tactics, Techniques, Procedures): manera estándar de describir cómo actúa un atacante: qué objetivo tiene (táctica), cómo lo logra (técnica) y cómo encadena sus acciones (procedimientos).
- MITRE ATT&CK: base de conocimiento que recopila tácticas y técnicas usadas por atacantes reales en distintos entornos (Enterprise, Mobile, ICS, Cloud).
- Táctica (tactic): objetivo de alto nivel del atacante en un momento concreto, como ganar acceso inicial o exfiltrar datos.
- Técnica (technique): método concreto que usa el atacante para cumplir una táctica, por ejemplo, phishing o explotación de vulnerabilidades.
- Cyber Kill Chain: modelo en siete fases que describe el ciclo de vida de un ataque desde el reconocimiento hasta las acciones finales sobre el objetivo.
- Diamond Model: modelo de análisis de intrusiones que utiliza cuatro componentes (adversary, capability, infrastructure, victim) para describir un ataque.
- OSSTMM: metodología abierta para pruebas de seguridad que cubre gestión, personas, seguridad física, redes, telecomunicaciones e inalámbrico.
- OWASP Web Security Testing Guide: guía de referencia para realizar pruebas de seguridad sobre aplicaciones web siguiendo fases definidas.
- Command and Control (C2): canal de comunicación mediante el cual el atacante controla sistemas comprometidos y recibe información de ellos.
- Exfiltración: proceso de sacar información de un sistema o red hacia el exterior sin autorización.
