Análisis de la Cadena de Ciberataque
Cuándo Usarlo
Usa esta habilidad cuando:
- Realices un análisis post-incidente para determinar qué tan lejos progresó un adversario a través de una secuencia de ataque.
- Diseñes controles defensivos en capas con el objetivo de interrumpir ataques en la fase más temprana posible.
- Elabores informes de inteligencia de amenazas que comuniquen el progreso del ataque a partes interesadas no técnicas.
No uses esta habilidad como un marco independiente; combínala con MITRE ATT&CK para obtener granularidad a nivel de técnica más allá de lo que proporciona la cadena de 7 fases.
Prerrequisitos
- Cronología completa del incidente con artefactos forenses mapeados a acciones específicas del adversario.
- Matriz empresarial MITRE ATT&CK para el mapeo a nivel de técnica dentro de cada fase de la cadena de ataque.
- Acceso a inteligencia de amenazas sobre la progresión típica de la cadena de ataque del grupo adversario sospechoso.
- Informe posterior al incidente o cronología de IR del equipo de respuesta.
Flujo de Trabajo
Paso 1: Mapear Acciones Observadas a las Fases de la Cadena de Ataque
La Cadena de Ciberataque de Lockheed Martin consta de siete fases. Mapea todas las acciones observadas del adversario:
Fase 1 - Reconocimiento: El adversario recopila información del objetivo antes del ataque.
- Indicadores: Consultas DNS desde IP del adversario, scraping de LinkedIn, análisis de ofertas de trabajo, escaneos de Shodan de la infraestructura de la organización.
Fase 2 - Arme: El adversario crea la herramienta de ataque (malware + exploit).
- Indicadores: Marcas de tiempo de compilación de malware, metadatos de documentos exploit, artefactos de construcción en muestras de malware.
Fase 3 - Entrega: El adversario transmite la herramienta al objetivo.
- Indicadores: Correos de phishing, archivos adjuntos maliciosos, descargas automáticas, dispositivos USB, compromiso de la cadena de suministro.
Fase 4 - Explotación: El adversario explota una vulnerabilidad para ejecutar código.
- Indicadores: Eventos de explotación CVE en registros de aplicación/SO, artefactos de corrupción de memoria, ejecución de shellcode.
Fase 5 - Instalación: El adversario establece persistencia en el objetivo.
- Indicadores: Nuevas tareas programadas, claves de ejecución del registro, instalación de servicios, webshells, bootkits.
Fase 6 - Comando y Control (C2): El adversario se comunica con el sistema comprometido.
- Indicadores: Tráfico de baliza (intervalos regulares), tunelización DNS, HTTPS hacia dominios poco comunes, firmas de frameworks C2 (Cobalt Strike, Sliver).
Fase 7 - Acciones sobre los Objetivos: El adversario logra sus objetivos.
- Indicadores: Preparación/exfiltración de datos, movimiento lateral, ejecución de ransomware, actividad destructiva.
Paso 2: Identificar Puntos de Finalización de Fase y Detección
Crea una matriz de fases para el incidente:
Fase 1: Reconocimiento → Completado (no detectado)
Fase 2: Arme → Completado (no detectado — previo al ataque)
Fase 3: Entrega → Completado; el correo de phishing evadió el SEG
Fase 4: Explotación → Completado; se explotó CVE-2023-23397
Fase 5: Instalación → DETECTADO: EDR marcó la creación de tarea programada (ataque detenido aquí)
Fase 6: C2 → No se logró (instalación bloqueada)
Fase 7: Objetivos → No se logró
Para cada fase completada sin detección, documenta la brecha de control defensivo.
Paso 3: Mapear a MITRE ATT&CK para Detalle de Técnica
Cada fase de la cadena de ataque se mapea a múltiples tácticas ATT&CK:
- Entrega → Acceso Inicial (TA0001)
- Explotación → Ejecución (TA0002)
- Instalación → Persistencia (TA0003), Escalada de Privilegios (TA0004)
- C2 → Comando y Control (TA0011)
- Acciones sobre los Objetivos → Exfiltración (TA0010), Impacto (TA0040)
Dentro de cada fase, enumera las técnicas específicas de ATT&CK observadas y mapea a las detecciones existentes.
Paso 4: Identificar Cursos de Acción por Fase
Para cada fase, documenta los cursos de acción (COA) defensivos aplicables:
- COA de Detección: ¿Qué detección alertaría sobre la actividad del adversario en esta fase?
- COA de Denegación: ¿Qué control evitaría que el adversario complete esta fase?
- COA de Interrupción: ¿Qué control interrumpiría al adversario a mitad de la fase?
- COA de Degradación: ¿Qué control reduciría la efectividad del adversario en esta fase?
- COA de Engaño: ¿Qué engaño (honeypots, fichas canarias) expondría la actividad en esta fase?
- COA de Destrucción: ¿Qué capacidad de defensa activa neutralizaría la infraestructura del adversario?
Paso 5: Producir Informe de Análisis de la Cadena de Ataque
Estructura los hallazgos como:
- Narrativa del ataque (cronología de fases).
- Análisis fase por fase con evidencia.
- Análisis de puntos de detección (qué funcionó, qué falló).
- Recomendación defensiva por fase, priorizada por costo/efectividad.
- Hoja de ruta de mejora de controles.
Conceptos Clave
| Término | Definición |
|---|---|
| Cadena de Ataque | Modelo secuencial de fases de intrusión del adversario; romper cualquier eslabón detiene teóricamente el ataque |
| Cursos de Acción (COA) | Respuestas defensivas mapeadas a cada fase de la cadena de ataque: detectar, denegar, interrumpir, degradar, engañar, destruir |
| Baliza (Beaconing) | Patrón regular y periódico de check-in C2 desde el host comprometido al servidor del adversario; detectable mediante análisis de frecuencia |
| Finalización de Fase | El adversario completa exitosamente una fase de la cadena de ataque y avanza a la siguiente; la defensa en profundidad busca prevenir esto |
| Ganancia/Pérdida de Inteligencia | Análisis de si detectar en la Fase 5 (vs. Fase 3) redujo la inteligencia sobre las capacidades o intenciones del adversario |
Herramientas y Sistemas
- MITRE ATT&CK Navigator: Superpone las fases de la cadena de ataque con la cobertura de técnicas ATT&CK para un análisis integrado.
- Elastic Security EQL: Lenguaje de Consulta de Eventos para consultar secuencias de ataque de múltiples fases en Elastic SIEM.
- Splunk ES: Visualización de cronologías y búsquedas de correlación para la secuenciación de fases de la cadena de ataque.
- MISP: Etiquetado de cadena de ataque mediante clústeres de galaxia para la documentación estructurada de eventos de incidentes.
Errores Comunes
- Suposición lineal: Los adversarios no siempre progresan de forma lineal; pueden saltarse fases (arme ya completado de una campaña anterior) o retroceder (restablecer C2 después de la detección).
- Ignorar las Fases 1 y 2: El reconocimiento y el arme ocurren antes de que el defensor tenga visibilidad. La inteligencia sobre estas fases requiere fuentes externas (OSINT, inteligencia de amenazas).
- Pasar por alto amenazas internas: La cadena de ataque fue diseñada para adversarios externos. Las amenazas internas pueden saltar directamente a la Fase 7 sin atravesar las fases anteriores.
- Confundir con tácticas ATT&CK: La cadena de 7 fases y las 14 tácticas ATT&CK son complementarias pero no directamente equivalentes. Mantén la distinción para evitar confusión analítica.