1.0 Introducción a la Anatomía de un Ataque Moderno a Endpoints
En el panorama actual de la ciberseguridad, los endpoints —dispositivos como portátiles, servidores y estaciones de trabajo— se han consolidado como el objetivo principal en la gran mayoría de los ciberataques. No son los cables de red los que contienen la información valiosa que buscan los adversarios; son los sistemas donde se procesan y almacenan los datos. Por esta razón, una comprensión profunda de las tácticas, técnicas y procedimientos (TTPs) utilizados por los atacantes después de obtener un punto de apoyo inicial en un endpoint es de una importancia estratégica fundamental para cualquier equipo de defensa.
Este análisis parte del concepto de "presunción de compromiso". En lugar de asumir que nuestras defensas perimetrales son infalibles, operamos bajo la premisa de que un atacante, tarde o temprano, logrará acceder a nuestro entorno. Por lo tanto, el enfoque defensivo debe centrarse en detectar y responder a las actividades que ocurren después de esa intrusión inicial. Estas acciones post-explotación son las más peligrosas, ya que están mucho más cerca de causar un daño significativo a la organización.
Para estructurar este análisis, utilizaremos dos modelos conceptuales estándar en la industria: la Cyber Kill Chain y el framework MITRE ATT&CK®. Mientras que la Kill Chain proporciona un modelo de alto nivel de las fases de un ataque, el framework ATT&CK nos ofrece un catálogo detallado y exhaustivo de los comportamientos específicos que los adversarios emplean una vez que han logrado el acceso inicial. Este informe desglosará estas tácticas para proporcionar a los profesionales de la ciberseguridad una visión clara del ciclo de vida de un atacante dentro de un endpoint, comenzando por el momento crítico de la entrada.
