La detección de amenazas en el ciberespacio se basa, en gran parte, en indicadores de compromiso. Estos son fundamentales para caracterizar amenazas, ya que permiten identificar actores, operaciones y sus técnicas.
Origen de la inteligencia
Los indicadores provienen del análisis de inteligencia, que se divide en varias disciplinas: SIGINT, MASINT, HUMINT, OSINT y GEOINT. La inteligencia de señales tiene más peso que la geoespacial, mientras que las fuentes humanas suelen aportar menos información pero pueden ser muy valiosas si se manejan adecuadamente.
Niveles de inteligencia
La adquisición de inteligencia permite generar tres niveles: estratégico, operacional y táctico. El nivel estratégico está ligado a la atribución de amenazas o estrategias de actores, pero no es observable directamente. El nivel operacional identifica tácticas y técnicas de los actores hostiles. El nivel táctico permite identificar observables como direcciones IP, hashes, dominios, entre otros, que suelen encontrarse en plataformas como MISP.
Generación de indicadores
A partir de la inteligencia accionable —que puede provenir tanto del nivel operacional como táctico— se generan indicadores de compromiso. Los indicadores pueden ser conductuales o atómicos. Los conductuales ofrecen mayor valor en la detección, ya que tienen un tiempo de vida más largo y son difíciles de modificar por parte del actor hostil.
Limitaciones de los IOC
La mayoría de los IOC encontrados en plataformas como MISP son de bajo nivel: hashes, IP, dominios, mutexes, etc. Los IOC de bajo nivel son útiles pero limitan la capacidad de detectar amenazas avanzadas.
Riesgos asociados
- La mayoría de los IOC encontrados en plataformas como MISP son de bajo nivel y limitan la capacidad de detectar amenazas avanzadas.
- Si el actor modifica su hash o cambia la IP, estos indicadores ya no son efectivos.
Mitigaciones
La generación y el intercambio de indicadores conductuales permiten una detección más efectiva. Una secuencia específica de peticiones HTTPS en un intervalo determinado puede ser identificada como comportamiento anómalo y detectada mediante SIEM.