Panorama#
Al terminar el capítulo 1.2 la organización tiene material: observables etiquetados por fiabilidad y credibilidad, priorizados hacia los activos que importan, con su cobertura documentada. Todavía no tiene inteligencia. Falta la fase donde alguien mira ese material y afirma algo: qué está pasando, quién lo hace, qué va a pasar después, con cuánta confianza y por qué. Esa es la fase de análisis, y es la que distingue un programa de inteligencia de un depósito de datos.
Es también la fase más difícil de enseñar, porque su instrumental no es técnico. Un analista no falla por no saber consultar un SIEM: falla por concluir demasiado rápido, por enamorarse de la primera explicación, por leer coincidencia donde hay propagación, por atribuir a un actor conocido lo que solo se le parece. El enemigo del análisis no es la falta de datos sino el sesgo del analista, y toda la maquinaria conceptual de este capítulo existe para contenerlo.
De ahí la tesis que conviene fijar antes de recorrer los modelos, porque cambia cómo se los usa: los modelos de análisis no describen la realidad, imponen una disciplina de razonamiento. La kill chain no es como ocurren los ataques; es una manera de obligarse a preguntar qué pasó antes y qué viene después. El modelo del diamante no es una ontología del adversario; es un procedimiento para no dejar de mirar ninguna de las cuatro caras de un incidente. ATT&CK no es un catálogo completo del comportamiento hostil; es un vocabulario común que permite que dos analistas hablen de lo mismo. Discutir cuál modelo es «correcto» es discutir mal: la pregunta es qué disciplina impone cada uno y qué omite.
La kill chain: la cadena y sus eslabones#
El modelo de intrusión de Lockheed Martin descompone un ataque en siete fases sucesivas, y su argumento central es de una elegancia que explica su permanencia: el atacante tiene que completar la cadena entera; el defensor solo necesita romper un eslabón. Es la misma asimetría que el capítulo 3.1 enunció desde el lado ofensivo y que 5.1 recogió al abrir el bloque azul, ahora convertida en instrumento de trabajo.
Las siete fases, con la oportunidad defensiva que cada una abre:
Reconocimiento. El adversario estudia al objetivo: superficie expuesta, personas, tecnología, proveedores. Es todo lo que la Parte 2 desarrolló. La contramedida es reducir lo que se puede averiguar y vigilar el escaneo, con la advertencia de que buena parte de esta fase es indetectable por construcción —consultar fuentes públicas no toca la infraestructura de la víctima—.
Armamentización. El adversario acopla la carga con el vector de entrega: el documento con macro, el instalador troyanizado, el binario empaquetado. Ocurre enteramente en su propia infraestructura, de modo que no hay telemetría defensiva de esta fase; lo único observable son sus residuos —artefactos de compilación, reutilización de herramientas, el empaquetador que 1.2 identificó como punto de estrangulamiento—.
Entrega. El arma llega al objetivo: correo dirigido, sitio comprometido, medio extraíble, proveedor intervenido. El modelo la señala como la mejor oportunidad de bloqueo, y con razón: es el primer momento en que la actividad hostil toca infraestructura propia, y todavía no hay ejecución. Es el terreno de 5.3.
Explotación. El código se ejecuta aprovechando una vulnerabilidad o —cada vez más— la decisión de un usuario. La mitigación es endurecimiento y parcheo, priorizado por señal de explotación y no por severidad publicada, según argumentó 1.2.
Instalación. El adversario establece permanencia. Es el terreno de 5.10 y de la mitad correspondiente de 5.2: la única fase que, como se argumentó allí, deja un artefacto que tiene que quedarse quieto para funcionar.
Mando y control. El implante abre su canal. El modelo la llama la última mejor oportunidad de bloqueo, y esa formulación es exactamente la paradoja que 5.7 desarrolló desde el lado azul: el implante puede cifrar, imitar y esconderse, pero no puede dejar de comunicar.
Acciones sobre objetivos. Exfiltración, sabotaje, fraude, cifrado extorsivo. Lo que 5.9 cubrió.
El valor durable de este modelo no está en las siete etiquetas sino en dos consecuencias operativas. La primera es que convierte alertas aisladas en campañas: una alerta sin fase es un evento; una alerta ubicada en la cadena plantea de inmediato las dos preguntas correctas —qué la precedió y qué viene ahora—, y esa es la disciplina que más rinde en el triaje. La segunda es que exige detecciones superpuestas: si cada fase es una oportunidad, entonces una defensa que concentra todo su instrumental en una sola fase es frágil por diseño, por buena que sea esa detección.
Los tres límites de la cadena#
La kill chain sigue enseñándose como si describiera los ataques. No lo hace, y sus tres desajustes con la realidad contemporánea importan porque cada uno induce un error defensivo concreto.
Es lineal, y la intrusión real es cíclica. El modelo presenta una progresión de un solo sentido. Lo que 5.6 describió es otra cosa: obtenido el primer punto de apoyo, el adversario vuelve a reconocer —ahora desde adentro—, vuelve a obtener credenciales, vuelve a moverse, vuelve a persistir, y repite ese bucle por cada host y cada nivel de privilegio hasta llegar al objetivo. La cadena se recorre muchas veces, anidada y en paralelo. El error que induce la lectura lineal es dar por terminada la investigación al encontrar «la» cadena, cuando lo que había eran doce.
Termina donde el incidente empieza. Seis de las siete fases describen la entrada; todo lo que ocurre después del compromiso —movimiento lateral, escalada, recolección, evasión, sabotaje de la defensa— queda comprimido en «acciones sobre objetivos». Justamente la parte donde el defensor tiene más telemetría y más tiempo para actuar es la que el modelo casi no resuelve, y ese desequilibrio es la razón histórica por la que apareció ATT&CK.
Es perímetro-céntrica. Presupone que hay una carga que se entrega y se ejecuta. Los casos que el bloque azul documentó como más difíciles no tienen ninguna de las dos cosas: el robo y reproducción de un token de sesión que derrota la autenticación multifactor sin malware alguno (5.3), la exfiltración desde un servicio en la nube que nunca cruza la red corporativa (5.9), el abuso de un token de identidad de servicio contra una API. En esos casos preguntar «¿en qué fase de la cadena estamos?» no ayuda: no hubo entrega, no hubo explotación, no hubo instalación, y sin embargo hubo compromiso.
ATT&CK: de la secuencia a la matriz#
El cambio conceptual de ATT&CK es abandonar la secuencia. En lugar de una progresión de fases, propone una matriz: columnas que son tácticas —el objetivo que el adversario persigue en ese momento: acceso inicial, ejecución, persistencia, escalada, evasión, acceso a credenciales, descubrimiento, movimiento lateral, recolección, mando y control, exfiltración, impacto— y, dentro de cada una, las técnicas concretas con que ese objetivo se consigue.
La distinción que hace funcionar el marco es la de tres niveles de abstracción. La táctica responde por qué: qué buscaba el adversario. La técnica responde cómo: de qué manera general lo consiguió —autenticación con material robado, ejecución mediante un binario legítimo del sistema—. El procedimiento responde con qué exactamente: la herramienta y los parámetros específicos de un actor concreto. Esa escala es la misma jerarquía de costo de evasión que la pirámide del dolor de 5.1 describió: el procedimiento se cambia barato, la técnica sale cara, la táctica no se cambia porque es el objetivo mismo.
Su virtud práctica es haber creado un vocabulario compartido. Antes de ATT&CK, dos informes sobre el mismo comportamiento lo describían con palabras distintas y no había manera de agregarlos. Con un identificador común, la inteligencia externa, las reglas de detección, los resultados de una simulación y los hallazgos de una cacería hablan el mismo idioma —que es lo que permitió, por ejemplo, que cada capítulo de la Parte 5 cerrara con su lista de técnicas y mitigaciones y que esas listas sean comparables entre sí—.
Los usos que efectivamente rinden son tres: documentar lo que hizo un adversario en un incidente, de forma comparable con lo que hicieron otros; mapear cobertura, cruzando el inventario de detecciones contra las técnicas relevantes para el perfil de la organización; y generar hipótesis de cacería, que es el uso que 5.1 describió como cacería estructurada.
El modelo del diamante: cuatro vértices y un procedimiento de pivoteo#
El tercer modelo aborda una dimensión que los dos anteriores no tocan. La kill chain ordena el cuándo; ATT&CK cataloga el qué; el modelo del diamante organiza las relaciones de un evento de intrusión en cuatro vértices:
- el adversario, quien opera;
- la capacidad, lo que usa —el malware, el exploit, la herramienta—;
- la infraestructura, desde dónde y hacia dónde opera —servidores, dominios, cuentas—;
- la víctima, contra quién.
Presentado así parece una taxonomía trivial. Su valor no está en la clasificación sino en lo que habilita: el pivoteo analítico. Conocido un vértice, el modelo instruye a buscar sistemáticamente los otros tres, y cada hallazgo abre nuevas búsquedas. De una muestra (capacidad) se extrae el servidor con que habla (infraestructura); de ese servidor, otras víctimas que lo contactan; de esas víctimas, otras muestras; y del conjunto, un patrón que sugiere un actor.
La atribución por infraestructura que 5.7 describió es exactamente este movimiento: partir del canal observado, usar el histórico de certificados para descubrir el servidor de origen detrás de la red de entrega de contenido, y de ahí pasar a otras campañas del mismo operador. El manual ya venía haciendo pivoteo del diamante sin nombrarlo; acá se nombra el método.
El modelo agrega dos capas que suelen omitirse y que valen. Los meta-features —momento, resultado, fase, dirección— permiten ordenar eventos en el tiempo. Y el hilo de actividad: la secuencia de eventos-diamante que componen una operación, que es el punto exacto donde el diamante se conecta con la kill chain. Un diamante describe un evento; la cadena de diamantes describe la campaña.
Sus límites también conviene decirlos. El vértice del adversario es el más difícil de llenar y el menos necesario: buena parte del valor operativo se obtiene con los otros tres, y forzar ese vértice es la puerta de entrada de la atribución prematura. Y el modelo no dice cómo de fuerte es una relación: que dos muestras usen la misma infraestructura puede significar un mismo operador, dos clientes del mismo proveedor de alojamiento o una coincidencia de reutilización, y el modelo por sí solo no discrimina entre esas explicaciones. Discriminar es trabajo de método, no de modelo.
Los tres a la vez#
Los tres modelos se presentan a menudo como alternativas, y no lo son: responden preguntas distintas sobre el mismo incidente y un análisis completo usa los tres.
flowchart TD INC["Un incidente\n(observables de 1.2)"] INC --> KC["KILL CHAIN\n¿CUÁNDO? · ¿qué fase?\n¿qué la precedió, qué sigue?\n→ campaña + cobertura gruesa"] INC --> AT["ATT&CK\n¿QUÉ? · táctica / técnica / procedimiento\n→ vocabulario comparable\n→ cobertura + hipótesis de caza"] INC --> DI["DIAMANTE\n¿CÓMO SE RELACIONA?\nadversario · capacidad\ninfraestructura · víctima\n→ pivoteo hacia lo no observado"] KC --> HIP["Hipótesis en competencia"] AT --> HIP DI --> HIP HIP --> ACH["ACH: matriz evidencia × hipótesis\nbuscar REFUTACIÓN, no confirmación"] ACH --> JUI["Juicio con confianza declarada\n(ICD 203: probabilidad ≠ confianza)"] JUI --> DIS["Diseminación (1.4)"] JUI -.->|"brecha: falta evidencia\nque discrimine"| INC
En la práctica: la kill chain sitúa el hallazgo y sugiere dónde mirar antes y después; ATT&CK nombra lo que se encontró de forma que sea comparable con lo que otros encontraron; el diamante empuja a pivotear hacia lo que todavía no se observó. Y los tres alimentan la parte que sigue, que es donde el análisis se juega de verdad.
El sesgo, que es el problema real#
Todo lo anterior es andamiaje. El fallo característico del análisis de inteligencia no es usar el modelo equivocado sino razonar mal con cualquiera de ellos, y las formas de razonar mal están bien catalogadas.
El sesgo de confirmación es el más común y el más caro: formulada una hipótesis, el analista pondera con más peso la evidencia que la sostiene y encuentra explicaciones para la que no. El anclaje hace que la primera hipótesis planteada —que suele ser la del primero que habló, no la mejor— condicione todo el razonamiento posterior. La disponibilidad lleva a explicar lo nuevo con lo último que se leyó: después de un informe muy difundido sobre un actor, ese actor aparece en todas partes durante semanas. El mirror imaging consiste en suponer que el adversario razona como el analista, con sus mismos recursos y sus mismas prioridades, y es especialmente traicionero al proyectar qué hará a continuación. Y la confirmación circular que 1.2 ya nombró: tres fuentes que repiten un mismo origen se leen como tres confirmaciones independientes.
Los dos casos que el bloque azul documentó son ilustraciones exactas de estos fallos. El falso positivo heredado —decenas de máquinas señaladas hacia un supuesto canal de mando y control que era telemetría publicitaria— es confirmación circular más autoridad de la fuente: nadie evaluó porque todos asumieron que alguien antes lo había hecho. Y el argumento de 5.8 sobre el valor de refutar —que el hunting sirve tanto para confirmar como para descartar— es precisamente la actitud que el método estructurado institucionaliza.
Análisis de hipótesis en competencia#
El instrumento clásico para contener lo anterior es el análisis de hipótesis en competencia (ACH), y su mecánica es deliberadamente incómoda porque va contra el reflejo natural del analista.
Uno: enumerar todas las hipótesis antes de mirar la evidencia con detalle. Todas, incluidas las que parecen improbables y sobre todo la hipótesis nula —esto no es un ataque, es un fallo de configuración, un servicio nuevo, una prueba de otro equipo—. El orden importa: enumerar primero impide que la primera explicación se convierta en ancla.
Dos: construir una matriz con las hipótesis como columnas y los elementos de evidencia como filas, y evaluar cada celda no por si la evidencia encaja con la hipótesis sino por si es consistente o inconsistente con ella.
Tres —el paso que define el método—: buscar refutar, no confirmar. La hipótesis que sobrevive no es la que acumula más evidencia a favor; es la que tiene menos evidencia en contra. Este giro es el que neutraliza el sesgo de confirmación, porque cambia la pregunta: en lugar de «¿qué respalda esto?», se pregunta «¿qué tendría que ser cierto para que esto fuera falso, y lo observo?».
Cuatro: identificar la evidencia diagnóstica. Un elemento que es consistente con todas las hipótesis no aporta nada, por espectacular que parezca. La evidencia valiosa es la que discrimina: la que es consistente con unas y no con otras. Esa distinción reordena la colección, porque señala qué falta buscar —y es la realimentación que el diagrama del 1.1 dibujaba como brecha de colección—.
Cinco: tratar la ausencia como dato. Que algo no se haya observado puede ser evidencia fuerte contra una hipótesis —siempre y cuando se hubiera observado de ser cierta—. La distinción entre «no ocurrió» y «no lo registramos» es exactamente la que 5.2 estableció al abrir el bloque azul, y sin ella la ausencia se lee mal en ambas direcciones.
El lenguaje de la incertidumbre#
Un juicio analítico sin incertidumbre declarada es inutilizable, porque el receptor no puede saber cuánto apoyar en él. La disciplina de inteligencia resolvió esto hace décadas con reglas que la seguridad adopta despacio y que valen la pena.
Separar el hecho del juicio. «El servidor recibió tráfico desde esta dirección» es un hecho verificable. «Ese tráfico corresponde a un canal de mando y control» es un juicio. Mezclarlos en el mismo párrafo sin marcar cuál es cuál es el defecto de redacción más común de los informes de seguridad, y el que más decisiones malas produce.
Usar términos de probabilidad calibrados. Los estándares analíticos de referencia definen una escala verbal —de casi con certeza no a casi con certeza, pasando por improbable, aproximadamente igual de probable, probable y muy probable— para que las mismas palabras signifiquen lo mismo entre analistas y a lo largo del tiempo. Sin esa convención, «probable» se lee como el 55 % o como el 90 % según quién lo lea.
Distinguir probabilidad de confianza. Son dimensiones independientes, y la confusión entre ambas es endémica. La probabilidad es qué tan verosímil es el suceso. La confianza es qué tan sólidas son las fuentes y el razonamiento que sostienen ese juicio. «Con alta confianza, es improbable que este actor tenga capacidad de X» es una frase perfectamente coherente y frecuente. Es la misma separación de dos ejes que el código del Almirantazgo imponía a la fuente en 1.2, ahora aplicada al juicio.
Explicitar los supuestos y lo que cambiaría el juicio. Un informe que declara de qué depende su conclusión permite revisarla cuando esa dependencia cambia; uno que no lo declara envejece en silencio.
Atribución: el problema que casi nunca hay que resolver#
La atribución es el producto que más se pide y el que menos suele necesitarse, y conviene cerrar el capítulo con esa incomodidad.
Es útil pensarla en niveles crecientes de dificultad y de riesgo. Agrupar actividad en un conjunto coherente —estos eventos parecen del mismo operador— es casi siempre posible y casi siempre útil. Asociar ese conjunto a un grupo ya nombrado en la industria es a veces posible, con la advertencia de que los nombres son de proveedores y no coinciden entre sí: dos identificadores distintos pueden designar solapamientos parciales del mismo conjunto de actividad, y tratarlos como entidades del mundo son un error de reificación. Identificar a la organización o al Estado detrás excede casi siempre lo que la telemetría de una víctima puede sostener.
Dos advertencias empíricas. La primera: las coincidencias técnicas prueban mucho menos de lo que parecen. Las herramientas se filtran, se venden y se comparten —los constructores de código extorsivo filtrados que 1.6 documenta son el ejemplo de la década—, la infraestructura se alquila entre actores distintos, y los rastros de idioma o de huso horario se falsifican con esfuerzo trivial. Las falsas banderas deliberadas existen y están documentadas. La segunda: la atribución mal hecha es peor que ninguna, porque una vez que un nombre se pronuncia el sesgo de confirmación se encarga del resto y toda la evidencia posterior se lee a través de él.
Y la pregunta que desactiva la mayor parte del debate: ¿qué decisión defensiva cambia según quién sea? En la enorme mayoría de los casos, ninguna. Las técnicas a detectar son las mismas, los controles a reforzar son los mismos y la contención es la misma. Lo que sí cambia una decisión es el nivel inmediatamente inferior —saber que un conjunto de actividad es coherente permite bloquear la campaña y no el indicador, y lanzar la búsqueda retrospectiva sobre lo demás que ese mismo operador haya dejado, que es exactamente el ascenso por la pirámide del dolor que 5.7 planteó—. La atribución nominal, en cambio, importa cuando hay decisiones legales, diplomáticas, de seguros o de comunicación pública en juego; y esas decisiones exigen un rigor probatorio que un equipo de seguridad rara vez puede sostener solo.
De acá salen las dos formulaciones que este capítulo deja. Sobre los modelos: no describen la realidad, imponen una disciplina de razonamiento, y su valor se mide por las preguntas que obligan a hacer, no por la exactitud con que dibujan un ataque. Sobre el método: un juicio vale por la solidez con que resistió los intentos de refutarlo, no por la cantidad de evidencia que se le acumuló a favor. Con eso el material ya es inteligencia; lo que falta es entregarla en un formato que alguien pueda usar, que es el trabajo del capítulo 1.4.
Referencias#
blue-dfir/cti-thomas/cap-04— Cyber Kill Chain: las siete fases del modelo de Lockheed Martin con sus contramedidas por etapa, la tesis de que interrumpir cualquier eslabón neutraliza el ataque, la entrega como mejor oportunidad de bloqueo y el canal de mando y control como la última, y el mapeo de las tácticas del adversario sobre cada fase. El capítulo reconoce explícitamente no desarrollar MITRE ATT&CK; esa parte es enriquecimiento nativo.blue-dfir/cti-thomas/cap-05— Threat Intelligence Collection and Analysis, sección analítica: el análisis de hipótesis en competencia, el modelo del diamante como marco de contextualización del adversario y la advertencia sobre las trampas cognitivas del analista. Las secciones de colección y calificación de fuentes de este mismo capítulo se desarrollaron en 1.2; la plataforma de agregación y los formatos, en 1.4.- MITRE ATT&CK — la matriz de tácticas, técnicas y procedimientos que estructura el vocabulario de todo el bloque azul de este manual.
- Caltagirone, Pendergast y Betz, The Diamond Model of Intrusion Analysis (2013) — los cuatro vértices, los meta-features y los hilos de actividad; enriquecimiento nativo sobre la mención de la fuente.
- Richards J. Heuer Jr., Psychology of Intelligence Analysis (CIA, 1999) — el tratamiento canónico de los sesgos cognitivos y la formulación original del ACH.
- US Intelligence Community Directive 203: Analytic Standards (2015) — la separación entre hecho y juicio, la escala calibrada de términos de probabilidad y la distinción entre probabilidad y confianza.