Inteligencia de amenazas

Niveles de inteligencia

• Estratégica: tendencias y riesgos para la dirección (qué actores de amenaza apuntan a tu sector, por qué, con qué impacto).
• Operativa: cómo funciona una campaña, para que los defensores puedan anticiparla: infraestructura, momento, técnicas.
• Táctica: las técnicas, herramientas y procedimientos (TTPs) que usa un adversario, mapeados a un framework como ATT&CK.
• Técnica: indicadores de compromiso (IOCs) como hashes, dominios, direcciones y nombres de archivo. Baratos de usar y rápidos de caducar.

Indicadores frente a comportamiento

Evaluar una fuente

• ¿Quién la produjo y con qué evidencia? La observación primaria vale más que afirmaciones repetidas.
• ¿Qué tan reciente es? Muchos indicadores sirven por días, no por años.
• ¿Es relevante para tu entorno, tecnología e industria?
• ¿Cuál es la confianza y está declarada? La buena inteligencia dice qué tan segura está.
• ¿Es accionable: puedes detectar, bloquear o cazar con ella hoy?

Un indicador compartible

{
  "type": "indicator",
  "spec_version": "2.1",
  "id": "indicator--8e2e2d2b-17d4-4cbf-938f-98ee46b3cd3f",
  "created": "2026-10-01T10:00:00.000Z",
  "modified": "2026-10-01T10:00:00.000Z",
  "name": "Dirección C2 vista en la intrusión INC-2026-0142",
  "pattern": "[ipv4-addr:value = '203.0.113.9']",
  "pattern_type": "stix",
  "valid_from": "2026-10-01T00:00:00Z",
  "confidence": 70,
  "labels": ["malicious-activity"]
}

Ponerlo a trabajar

• Alimenta la detección y el bloqueo con indicadores validados, cada uno con fecha de caducidad.
• Mapea el comportamiento del adversario a ATT&CK, revisa tu cobertura y prioriza las brechas para los actores que te importan.
• Informa a la dirección con pocos mensajes claros y las decisiones que implican, no con un volcado de datos.
• Comparte lo que puedas: los grupos sectoriales de intercambio (ISACs) y los pares de confianza mejoran la detección de todos.
• Maneja la inteligencia sensible con las marcas de intercambio (como TLP) con las que llegó.