Inteligencia sobre amenazas cibernéticas

La inteligencia sobre amenazas cibernéticas ( CTI ) forma parte de la ciberseguridad y se centra en recopilar, analizar y compartir información sobre amenazas cibernéticas potenciales o existentes . ^{[ 1 ] [ 2 ]} Proporciona a las organizaciones la información necesaria para predecir, prevenir y responder a los ciberataques , lo que les permite comprender el comportamiento, las tácticas y las vulnerabilidades que explotan los atacantes. ^{[ 3 ] [ 4 ] [ 5 ]}

Las fuentes de inteligencia sobre amenazas cibernéticas incluyen datos de código abierto , redes sociales , inteligencia operativa y técnica, archivos de registro de dispositivos , análisis forense , tráfico de Internet, así como datos de la web oscura y la web profunda .

Los programas CTI modernos se distinguen por utilizar únicamente datos de seguridad sin procesar, ya que combinan la monitorización técnica, fuentes de inteligencia externas y métodos de análisis para elaborar evaluaciones específicas y útiles sobre las ciberamenazas dirigidas a organizaciones o sectores empresariales concretos. ^{[ 6 ] [ 7 ]}

La interpretación analítica proporciona contexto a las acciones, capacidades e intenciones de los atacantes, lo que ayuda a las organizaciones a establecer prioridades y asignar recursos de seguridad de manera eficaz. Cuando las empresas basan sus decisiones en inteligencia y análisis, pueden actuar de forma proactiva en lugar de simplemente reaccionar ante incidentes de seguridad, evitando así las brechas antes de que ocurran. ^{[ 8 ]} Este enfoque ha cobrado cada vez más importancia en los últimos años, ya que IBM estima que la explotación de vulnerabilidades es la forma más común en que las empresas sufren brechas de seguridad, representando el 47 % de todos los ataques. ^{[ 9 ]}

La pandemia de COVID-19 y el aumento del teletrabajo también han contribuido a una mayor vulnerabilidad ante las amenazas, exponiendo más los datos corporativos. Debido al aumento de las amenazas, por un lado, y a la creciente demanda de análisis, por otro, muchas empresas han decidido en los últimos años externalizar sus tareas de análisis de amenazas a un proveedor de servicios de seguridad gestionados (MSSP). ^{[ 10 ]}

El análisis de amenazas cibernéticas también se ha convertido en un componente importante de los modernos Centros de Operaciones de Seguridad (SOC), donde los datos de inteligencia de amenazas se utilizan para enriquecer las alertas, identificar infraestructura maliciosa y respaldar las actividades de respuesta a incidentes y búsqueda de amenazas. ^{[ 11 ]}

Existen tres niveles categóricos de inteligencia sobre amenazas cibernéticas: táctico, operativo y estratégico. ^{[ 4 ] [ 12 ] [ 13 ] [ 14 ] [ 15 ]} Cada uno sirve a una audiencia y propósito distintos en la construcción de una evaluación integral de amenazas.

• Táctico: El nivel más técnico, centrado en la detección y respuesta inmediatas. La inteligencia táctica consiste en indicadores específicos de compromiso (IOC): direcciones IP , nombres de dominio , hashes de archivos , firmas de malware y artefactos similares. Los equipos de operaciones de seguridad utilizan estos indicadores para identificar y bloquear amenazas en tiempo real mediante reglas SIEM , políticas de firewall y sistemas de detección de endpoints. ^{[ 4 ] [ 12 ] [ 16 ] [ 13 ] [ 15 ]}
• Operacional: Centrado en comprender el comportamiento y las campañas del adversario. La inteligencia operacional analiza quiénes son los actores de amenazas, sus tácticas, técnicas y procedimientos (TTP), patrones de infraestructura, motivaciones y campañas en curso. Este nivel ayuda a los equipos de seguridad a anticipar cómo se desarrollan los ataques, reconocer las técnicas del adversario y comprender el contexto más amplio detrás de incidentes específicos. Las fuentes incluyen hallazgos de respuesta a incidentes, análisis de malware, elaboración de perfiles de actores de amenazas, informes de proveedores de seguridad e inteligencia de grupos de intercambio de la industria y avisos gubernamentales. ^{[ 4 ] [ 12 ] [ 13 ] [ 15 ]}
• Estratégico: Adaptado a audiencias no técnicas, en particular ejecutivos y miembros de la junta directiva. La inteligencia estratégica aborda el riesgo empresarial de alto nivel: qué actores de amenazas atacan el sector de la organización, factores geopolíticos que afectan el panorama de amenazas, tendencias a largo plazo y el impacto potencial de las ciberamenazas en el negocio. Presentado a través de informes, sesiones informativas y evaluaciones de riesgos, ayuda a los líderes a priorizar las inversiones en seguridad y a comprender cómo el riesgo cibernético se alinea con los objetivos organizacionales. ^{[ 4 ] [ 12 ] [ 13 ] [ 15 ]}

El análisis técnico de amenazas se centra en indicadores de compromiso (IoC) legibles por máquina: direcciones IP maliciosas, nombres de dominio, hashes de archivos y servidores o infraestructura de comando y control (C2). Esto permite la detección y respuesta automatizadas. Si bien la distinción convencional se establece entre análisis estratégico, táctico y operativo, algunas grandes organizaciones suelen definir el análisis técnico de amenazas como una categoría separada (cuarta) esencial para los Centros de Operaciones de Seguridad (SOC). ^{[ 17 ] [ 18 ]}

Algunas plataformas de análisis de amenazas también distinguen entre análisis basados ​​en indicadores y análisis basados ​​en el comportamiento. El análisis basado en indicadores se centra en artefactos técnicos específicos: direcciones IP maliciosas, hashes de archivos, etc. El análisis basado en el comportamiento analiza las tácticas y técnicas de los atacantes para detectar amenazas que puedan modificar su infraestructura o indicadores con el tiempo. ^{[ 11 ] [ 19 ]}

La información sobre amenazas de ciberseguridad puede obtenerse de diversas fuentes: telemetría interna de herramientas de seguridad, datos de registro de red, datos de sistemas de punto final, análisis de malware , fuentes de inteligencia de amenazas específicas de proveedores de ciberseguridad, inteligencia de fuentes abiertas (OSINT), monitoreo de la web oscura e informes analíticos de agencias gubernamentales o empresas de seguridad privadas. Para obtener información analítica eficaz, es necesario combinar datos de herramientas de seguridad internas con informes técnicos y estratégicos externos para obtener una visión más completa del panorama de amenazas. ^{[ 20 ] [ 21 ]}

El proceso de desarrollo de inteligencia sobre amenazas cibernéticas es un proceso circular y continuo, conocido como ciclo de inteligencia, que se compone de cinco fases, ^{[ 12 ] [ 22 ] [ 16 ] [ 13 ]} llevadas a cabo por equipos de inteligencia para proporcionar a la dirección inteligencia relevante y conveniente para reducir el peligro y la incertidumbre. ^{[ 16 ]}

Las cinco fases son: 1) planificación y dirección; 2) recopilación; 3) procesamiento; 4) análisis; 5) difusión. ^{[ 12 ] [ 22 ] [ 16 ] [ 13 ]}

En la planificación y dirección, el cliente del producto de inteligencia solicita información sobre un tema u objetivo específico. Luego, una vez que el cliente lo indica, comienza la segunda fase: la recopilación, que implica el acceso a la información bruta necesaria para producir el producto de inteligencia final. Dado que la información no es inteligencia, debe transformarse y, por lo tanto, debe pasar por las fases de procesamiento y análisis: en la fase de procesamiento (o preanalítica), la información bruta se filtra y se prepara para el análisis mediante una serie de técnicas (descifrado, traducción de idiomas, reducción de datos, etc.); en la fase de análisis, la información organizada se transforma en inteligencia. Finalmente, la fase de difusión, en la que la inteligencia sobre amenazas recién seleccionada se envía a los distintos usuarios para su uso. ^{[ 22 ] [ 13 ]}

El modelo de ciclo de inteligencia en el campo del análisis de amenazas cibernéticas se basa en métodos de inteligencia tradicionales utilizados por agencias de inteligencia militares y gubernamentales , donde se emplea un análisis estructurado para transformar datos brutos en la información necesaria para la toma de decisiones. ^{[ 23 ]}

Hay tres elementos clave necesarios para que la información o los datos califiquen como inteligencia sobre amenazas: ^{[ 13 ]}

• Basado en evidencia: Para ser útil, la inteligencia sobre amenazas debe recopilarse mediante métodos adecuados de recopilación de evidencia. ^{[ 24 ]} Por ejemplo, analizar el malware puede ayudar a generar inteligencia sobre amenazas.
• Utilidad: La inteligencia sobre amenazas debe tener un impacto positivo en un incidente de seguridad al proporcionar información útil. Debe ofrecer un contexto claro y datos sobre comportamientos y métodos específicos. ^{[ 25 ]}
• Accionable: Para que la información se considere inteligencia sobre amenazas, debe conducir a la acción. Esto es lo que distingue la inteligencia de los simples datos. ^{[ 26 ]}

Los investigadores de ciberseguridad también destacan otros factores para una buena inteligencia sobre amenazas, como la precisión, la exhaustividad, la puntualidad, la compatibilidad y la relevancia para el entorno en el que se utilizará. ^{[ 27 ]}

La inteligencia sobre amenazas cibernéticas ofrece una serie de beneficios, entre los que se incluyen:

• Brinda a las organizaciones, agencias u otras entidades la capacidad de desarrollar una postura de ciberseguridad proactiva y sólida, y de reforzar la gestión general de riesgos y las políticas y respuestas de ciberseguridad. ^{[ 28 ]}
• Impulsa el dinamismo hacia una postura de ciberseguridad proactiva que sea predictiva, no simplemente reactiva después de un ciberataque. ^{[ 8 ]}
• Proporciona contexto e información sobre ataques activos y amenazas potenciales para ayudar en la toma de decisiones. ^{[ 12 ]}
• Evita que las filtraciones de datos expongan información confidencial, previniendo así la pérdida de datos. ^{[ 15 ]}
• Reduce los costos. Dado que las filtraciones de datos son costosas, reducir el riesgo de filtraciones de datos ayuda a ahorrar dinero. ^{[ 15 ]}
• Proporciona a las organizaciones orientación sobre cómo implementar medidas de seguridad para prevenir futuros ataques. ^{[ 15 ]}
• Permite compartir conocimientos, habilidades y experiencias entre la comunidad de ciberseguridad y las partes interesadas del sistema. ^{[ 15 ]}
• Ayuda a identificar de forma más fácil y precisa los riesgos y las amenazas, así como los mecanismos de entrega, los indicadores de compromiso en toda la infraestructura y los posibles actores y motivadores específicos. ^{[ 29 ]}
• Ayuda en la detección de ataques durante y antes de estas etapas. ^{[ 29 ]}
• Proporciona indicadores de las acciones tomadas durante cada etapa del ataque. ^{[ 29 ]}
• Comunica las superficies de amenaza, los vectores de ataque y las actividades maliciosas dirigidas tanto a las plataformas de tecnología de la información como a las plataformas de tecnología operativa.
• Sirve como repositorio de datos objetivos sobre ciberataques exitosos y fallidos.
• Proporciona indicadores para los equipos informáticos de respuesta a emergencias y los grupos de respuesta a incidentes .

El análisis de amenazas ayuda a mejorar los mecanismos de detección de amenazas al identificar los métodos y patrones de comportamiento de los atacantes que aún no son detectados por los sistemas automatizados de monitoreo de seguridad. ^{[ 11 ]}

Las organizaciones suelen implementar software especializado conocido como plataformas de inteligencia de amenazas (TIP) para agregar, analizar y distribuir datos de inteligencia de amenazas. ^{[ 30 ]}

Las plataformas de inteligencia de amenazas recopilan datos de fuentes internas y externas, incluyendo telemetría de sistemas de seguridad, fuentes de inteligencia de código abierto, repositorios de malware, bases de datos de vulnerabilidades e informes de proveedores de seguridad. Al agregar y correlacionar indicadores de compromiso (IoC), como direcciones IP maliciosas, nombres de dominio, hashes de archivos e infraestructura de comando y control, estas plataformas ayudan a los profesionales de la seguridad a comprender mejor los contextos de las amenazas e identificar las más significativas. ^{[ 31 ] [ 32 ]}

Las plataformas TI se integran comúnmente con otros sistemas de ciberseguridad. Las integraciones con herramientas como sistemas de gestión de información y eventos de seguridad (SIEM), soluciones de detección y respuesta de endpoints (EDR) y plataformas de respuesta a incidentes permiten el enriquecimiento automatizado de alertas y una investigación más rápida de los incidentes de seguridad. ^{[ 19 ] [ 33 ] [ 34 ]}

Las plataformas de inteligencia de amenazas también respaldan la búsqueda de amenazas y la respuesta a incidentes al organizar indicadores e informes de inteligencia dentro de repositorios con capacidad de búsqueda, lo que permite a los analistas correlacionar eventos e identificar patrones asociados con campañas o actores de amenazas específicos. ^{[ 35 ]}

Algunas plataformas de inteligencia sobre amenazas utilizan flujos de datos automatizados y técnicas de aprendizaje automático para procesar grandes volúmenes de datos sobre amenazas y generar información analítica para estrategias proactivas de ciberseguridad. ^{[ 36 ] [ 37 ]}

Los programas modernos para recopilar y analizar información sobre amenazas cibernéticas se basan en formatos estandarizados que permiten el intercambio automatizado entre organizaciones y herramientas de seguridad, así como el procesamiento de datos analíticos.

STIX (Structured Threat Information Expression) es un lenguaje estandarizado para representar información analítica sobre amenazas cibernéticas en un formato legible por máquina , lo que permite a los analistas describir atacantes, campañas, vulnerabilidades e indicadores dentro de un modelo de datos estructurado.

El Intercambio Automatizado Confiable de Información de Inteligencia (TAXII) es un protocolo para admitir el intercambio automatizado de datos de inteligencia sobre amenazas, que normalmente se utiliza para transmitir inteligencia en formato STIX. ^{[ 38 ]}

El Protocolo de Semáforo (TLP) se utiliza ampliamente en el intercambio de inteligencia sobre amenazas para determinar cómo se comparte información sensible entre los miembros de comunidades de confianza. ^{[ 39 ]}

Los analistas utilizan modelos analíticos estructurados para comprender el comportamiento de los atacantes e implementar medidas defensivas. ^{[ 40 ]}

El modelo Cyber ​​Kill Chain, desarrollado por Lockheed Martin , describe las etapas de un ciberataque como una progresión lineal: reconocimiento, armamento (preparación de herramientas de ataque), entrega, explotación de vulnerabilidades, instalación, mando y control, y acciones sobre los objetivos. Este marco ayuda a los defensores a identificar en qué etapa se puede interrumpir un ataque. ^{[ 41 ]}

El modelo Diamond de análisis de intrusiones examina las relaciones entre cuatro características clave de cualquier evento de intrusión: el adversario, sus capacidades (herramientas y técnicas), la infraestructura que utiliza (dominios, direcciones IP, direcciones de correo electrónico) y la víctima. Al utilizar estas relaciones en múltiples eventos, los analistas pueden alternar entre incidentes, identificar patrones y atribuir la actividad a actores o campañas de amenazas específicas. ^{[ 42 ]}

El marco MITRE ATT&CK es una base de conocimientos sobre tácticas y técnicas de adversarios, basada en observaciones reales. Organiza el comportamiento del atacante en 14 tácticas (el "por qué" de una acción: acceso inicial, persistencia, escalada de privilegios, evasión de defensas, etc.) y cientos de técnicas (el "cómo": métodos específicos para lograr cada táctica). A diferencia de la cadena de ataque cibernético lineal , ATT&CK proporciona una matriz detallada de comportamientos del adversario que pueden ocurrir en cualquier orden o simultáneamente. Los equipos de seguridad utilizan ATT&CK para relacionar la inteligencia sobre amenazas con los controles defensivos, evaluar las brechas de cobertura, realizar ejercicios de equipo rojo y crear detecciones alineadas con las tácticas reales del adversario. Se ha convertido en el estándar de facto para describir y compartir la inteligencia operativa sobre amenazas.

El creciente volumen y velocidad de los datos sobre amenazas cibernéticas han llevado a las organizaciones a automatizar partes importantes del ciclo de vida de la inteligencia sobre amenazas, incluyendo la recopilación, el procesamiento, la correlación y la distribución de datos. ^{[ 37 ]} Los sistemas automatizados de inteligencia sobre amenazas suelen ingerir datos de múltiples fuentes y luego procesar y correlacionar esta información para identificar patrones de actividad maliciosa. ^{[ 31 ]}

Los estándares legibles por máquina y los protocolos de transporte (STIX y TAXII) son un componente importante de los sistemas CTI automatizados. ^{[ 43 ]}

La integración entre las plataformas de inteligencia de amenazas y los sistemas del centro de operaciones de seguridad (SOC) permite la priorización automatizada de alertas y el enriquecimiento de eventos de seguridad mediante indicadores de inteligencia. ^{[ 44 ]}

La desventaja de los sistemas de análisis automatizados es que pueden generar falsos positivos o basarse en indicadores de baja calidad, lo que obliga a los analistas a verificar los resultados y ofrecer una interpretación contextual. Por este motivo, muchas organizaciones adoptan un modelo híbrido en el que los sistemas automatizados procesan grandes volúmenes de datos, mientras que los analistas humanos se centran en la interpretación, la atribución y la evaluación estratégica de las ciberamenazas.

La atribución es el proceso de identificar quién llevó a cabo un ciberataque: los actores individuales, los grupos organizados o los patrocinadores estatales detrás de una intrusión. ^{[ 45 ]} En inteligencia de amenazas, la atribución ayuda a las organizaciones a comprender la intención del adversario, priorizar las defensas, anticipar futuros objetivos e informar las decisiones estratégicas. También respalda las investigaciones policiales y las respuestas políticas.

La atribución se basa en múltiples tipos de evidencia: indicadores técnicos (infraestructura, código malicioso), análisis de comportamiento (tácticas, técnicas y métodos operativos), artefactos lingüísticos, patrones de selección de objetivos (selección de víctimas y alineación geopolítica) e inteligencia de fuentes humanas o inteligencia de señales. ^{[ 46 ] [ 47 ]}

Sin embargo, la atribución es inherentemente difícil y a menudo sigue siendo probabilística en lugar de definitiva. Los atacantes emplean habitualmente técnicas de ofuscación: utilizan infraestructura proxy , VPN , sistemas intermediarios comprometidos y herramientas robadas o arrendadas. Los actores de amenazas avanzadas siembran deliberadamente falsas banderas imitando las TTP, el lenguaje o los patrones de infraestructura de otros grupos para desviar los esfuerzos de atribución. ^{[ 48 ]}

Como resultado, los distintos proveedores de inteligencia sobre amenazas adoptan enfoques diversos para la atribución. Algunos atribuyen explícitamente grupos de amenazas a estados nación específicos u organizaciones patrocinadoras basándose en sus análisis y umbrales de confianza. Otros evitan intencionadamente la atribución geopolítica, documentando únicamente hechos observables e indiscutibles, como artefactos lingüísticos en el malware, infraestructura compartida o capacidades técnicas, y rastreando clústeres de adversarios mediante designadores neutrales. Las evaluaciones de atribución suelen expresarse con distintos niveles de confianza (bajo, medio, alto) en lugar de certeza, y las conclusiones erróneas pueden tener consecuencias diplomáticas, legales o estratégicas. ^{[ 49 ] [ 50 ] [ 51 ] [ 52 ]}

En 2015, la legislación del gobierno estadounidense en forma de la Ley de Intercambio de Información sobre Ciberseguridad fomentó el intercambio de indicadores CTI entre organizaciones gubernamentales y privadas. Esta ley exigió al gobierno federal de EE. UU. que facilitara y promoviera cuatro objetivos CTI: ^{[ 53 ]}

1. Compartir "indicadores de amenazas cibernéticas, clasificados y desclasificados, en posesión del gobierno federal con entidades privadas, agencias gubernamentales no federales o gobiernos estatales, tribales o locales";
2. Compartir con el público "indicadores no clasificados";
3. Compartir "información con entidades que sufren amenazas de ciberseguridad para prevenir o mitigar efectos adversos";
4. Compartir las "mejores prácticas de ciberseguridad, prestando especial atención a los retos a los que se enfrentan las pequeñas empresas".

En 2016, la agencia gubernamental estadounidense Instituto Nacional de Estándares y Tecnología (NIST) publicó una norma (NIST SP 800–150) que describía con mayor detalle la necesidad de compartir información sobre amenazas cibernéticas, así como un marco para su implementación. ^{[ 54 ]}

Además de Estados Unidos, el intercambio de información en tiempo real sobre ciberamenazas se coordina a través de organizaciones internacionales y del sector, como los Centros de Intercambio y Análisis de Información (ISAC), que facilitan la cooperación entre empresas de sectores de infraestructura crítica , como finanzas, energía y transporte. ^{[ 55 ]}

• Ley de Intercambio y Protección de Inteligencia Cibernética
• Ataque de denegación de servicio
• Indicador de compromiso
• malware
• Análisis de malware
• Ransomware
• Plataforma de inteligencia de amenazas
• Día cero (informática)

• Boris Giannetto - Pierluigi Paganini (2020). Dominando la comunicación en actividades de ciberinteligencia: una guía de usuario concisa . Revista de Ciberdefensa.
• Anca Dinicu, Academia de Fuerzas Terrestres "Nicolae Bălcescu", Sibiu, Rumania, Amenazas cibernéticas a la seguridad nacional. Características específicas y actores involucrados - Boletín Ştiinţific No 2(38)/2014
• Zero Day: Sabotaje Cibernético Nuclear, BBC Four - el documental de suspense sobre la guerra en un mundo sin reglas: el mundo de la ciberguerra. Cuenta la historia de Stuxnet, un malware informático autorreplicante, conocido como "gusano" por su capacidad de infiltrarse en los sistemas informáticos.
• Explicación de la búsqueda de amenazas : artículo breve que explica la inteligencia sobre amenazas cibernéticas.
• Inteligencia sobre amenazas cibernéticas : ¿Qué es la inteligencia sobre amenazas cibernéticas? - Guía definitiva para principiantes.