Análisis de Ciberinteligencia I: Amenazas Persistentes Avanzadas (APT) y Cyber Kill Chain

Conjunto de fichas de vocabulario técnico sobre conceptos clave de ciberinteligencia: Pirámide del Dolor, características diferenciales de las Amenazas Persistentes Avanzadas (APT), fases de la Cyber Kill Chain e indicadores CND.

Pirámide del Dolor (Pyramid of Pain)

Modelo que clasifica los diferentes indicadores de compromiso (IoCs) en función de la dificultad e impacto negativo que supone para el atacante verse privado de ellos cuando son detectados.

Hash Values (Pirámide del Dolor)

Indicadores de nivel «Trivial» basados en funciones resumen (como MD5, SHA1 o SHA256). Aunque ofrecen gran certeza técnica, son extremadamente susceptibles al cambio y constituyen el tipo de indicador menos útil.

IP Addresses (Pirámide del Dolor)

Indicadores de nivel «Easy» debido a que los atacantes rara vez usan sus direcciones reales y disponen de mecanismos sencillos para ocultarlas o cambiarlas, tales como VPN, proxy o redes anónimas como TOR.

Domain Names (Pirámide del Dolor)

Indicadores clasificados en el nivel «Simple». Aunque requieren registro y tasa, los atacantes logran sortearlos o automatizar su actualización mediante servicios y APIs de DNS dinámico.

Network & Host Artifacts (Pirámide del Dolor)

Huellas operativas de nivel «Annoying» generadas durante el ataque, como directorios, archivos, entradas de registro del sistema o cadenas en memoria en el host, así como anomalías y errores de protocolo en la red.

Tools (Pirámide del Dolor)

Indicadores de nivel «Challenging». Bloquear las herramientas de software del adversario le obliga a adquirir, desarrollar o entrenar nuevas alternativas para poder continuar sus operaciones.

TTPs (Tácticas, Técnicas y Procedimientos)

El nivel más alto y exigente («Tough!») de la pirámide; representa el aprendizaje del atacante. Neutralizar sus TTPs fuerza al adversario a reconstruir su metodología desde cero, comprometiendo su coste operativo.

Advanced Persistent Threat (APT)

Actor de amenaza altamente organizado, financiado y motivado, que mantiene presencia prolongada en los sistemas de su víctima para satisfacer directivas estratégicas mediante intrusiones especializadas.

Conjunto de intrusión (Intrusion Set)

Concepto utilizado por el Departamento de Defensa de EE. UU. y la comunidad de inteligencia para describir las actividades coordinadas de actores de amenazas a los que asignan nombres clasificados.

Componente «Persistente» de una APT

Propiedad que define que el adversario no actúa por oportunismo, sino que tiene encomendada una misión formal y opera de manera metódica para cumplir órdenes como si se tratara de una unidad de inteligencia.

Componente «Avanzada» de una APT

Capacidad del adversario para actuar a lo largo de todo el espectro de intrusión, recurriendo tanto a exploits públicos conocidos como al descubrimiento de vulnerabilidades zero-day y desarrollo a medida.

Amenaza convencional vs APT: Motivación

Las amenazas convencionales buscan beneficio económico directo, fraude, robo de identidades o spam; las APT buscan ventajas estratégicas en defensa o industria, manipulación de mercados o intereses políticos.

Amenaza convencional vs APT: Reacción ante contramedidas

Las amenazas convencionales desisten y buscan otros objetivos más fáciles, mientras que los grupos APT alteran y adaptan sus procedimientos de ataque manteniendo la fijación sobre el mismo objetivo.

Amenaza convencional vs APT: Malware utilizado

En amenazas convencionales predomina el malware comercial diseñado para infectar el mayor número de equipos posible; en APT se emplea malware personalizado desarrollado para el entorno de la víctima.

The Kill Chain (Lockheed Martin)

Marco conceptual de origen militar adaptado por Lockheed Martin a la seguridad de la información para descomponer, analizar y modelar las fases estructuradas de una intrusión en una red informática.

Reconocimiento (Reconnaissance)

Primera fase de la Kill Chain en la que el atacante planifica la operación, investiga y reúne información para identificar objetivos válidos o recabar datos de una víctima ya elegida.

Preparación / Armamento (Weaponization)

Segunda fase de la Kill Chain donde se diseña o acopla el exploit específico con la carga útil (payload), preparando el paquete malicioso que se utilizará en la operación.

Entrega (Delivery)

Tercera fase de la Kill Chain en la que los adversarios transmiten el malware al entorno de la víctima (por ejemplo mediante spear phishing), dando inicio material a la intrusión.

Explotación (Exploitation)

Cuarta fase de la Kill Chain en la que el atacante detona el código malicioso aprovechando una vulnerabilidad (frecuentemente mediante ataques zero day) para comprometer el sistema.

Instalación (Installation)

Quinta fase de la Kill Chain consistente en afianzar la persistencia en el equipo de la víctima desplegando puertas traseras (Backdoors) o herramientas de control remoto (RAT).

Comando y Control (C2)

Sexta fase de la Kill Chain en la que el malware establece un canal de comunicación bidireccional que permite a los operadores controlar e instruir remotamente los implantes.

Acciones sobre Objetivos (Actions on Objectives)

Fase final de la Kill Chain en la que los intrusos consiguen acceso directo al sistema para cumplir la meta de la misión (como exfiltración, modificación de datos o destrucción).

Indicadores Atómicos (Atomic Indicators)

Elementos de información indivisibles que no pueden descomponerse en partes menores sin perder su significado en el contexto del ataque (ejemplos: direcciones IP, correos electrónicos o IDs de vulnerabilidades).

Indicadores Calculados (Computed Indicators)

Elementos derivados mediante el procesamiento de datos recopilados durante una intrusión, tales como hashes criptográficos de archivos o expresiones regulares diseñadas para detección.

Indicadores de Comportamiento (Behavioral Indicators)

Combinaciones complejas de indicadores atómicos y calculados unidas a lógica combinatoria y umbrales cuantitativos que describen patrones observables de actividad y secuencias de eventos del adversario.