Inteligencia de amenazas:
la pirámide del dolor, IOC vs IOA y MISP
Serie Blue Team | unfantasmaenelsistema.com
Casi todo equipo de seguridad consume inteligencia de amenazas sin llamarla así: una lista de IPs maliciosas que alguien pega en el firewall, un feed de dominios de phishing que alimenta el proxy, un informe de un fabricante que circula por correo. El problema es que, sin un marco que ordene todo eso, la «inteligencia» se convierte en un vertedero de indicadores caducados que genera ruido en el SIEM y no mejora ninguna decisión.
Este artículo pone orden. Qué tipos de inteligencia existen y para quién es cada uno, por qué no todos los indicadores valen lo mismo (la pirámide del dolor de David Bianco), la diferencia entre buscar rastros y buscar comportamientos, el ciclo que convierte datos sueltos en algo accionable, y cómo MISP ayuda a gestionarlo sin ahogarse. Todo con enfoque defensivo: consumir y compartir inteligencia, no generar ataques.
Qué aprenderás en este artículo
Los tres niveles de inteligencia: estratégica, operativa y táctica · La pirámide del dolor y por qué cazar por TTP duele más al atacante que bloquear un hash · IOC frente a IOA: rastros del pasado frente a comportamientos en curso · El ciclo de inteligencia y por qué la fase de dirección es la que más se salta · Qué es MISP y cómo se estructuran eventos, atributos, objetos y correlaciones · Cómo integrar feeds en la detección sin disparar los falsos positivos
1. Qué es (y qué no es) la inteligencia de amenazas
Inteligencia de amenazas es información sobre adversarios —quiénes son, qué buscan, cómo operan— procesada y contextualizada hasta el punto de que sirve para tomar una decisión. La palabra clave es decisión. Un fichero con diez mil hashes no es inteligencia: es un conjunto de datos. Se convierte en inteligencia cuando sabes de qué campaña vienen, contra qué sector, en qué fechas, y qué deberías hacer con ellos (bloquear, alertar, ignorar por antiguos).
El error más común es confundir volumen con valor. Suscribirse a treinta feeds gratuitos no te hace treinta veces más seguro; te hace treinta veces más ruidoso. La inteligencia útil es la que responde a una pregunta que tu organización se ha hecho de forma explícita.
2. Los tres niveles: estratégica, operativa y táctica
No toda la inteligencia va dirigida al mismo público ni tiene la misma vida útil. Se suele dividir en tres niveles, y mezclarlos es una fuente clásica de frustración: la dirección no quiere hashes y el analista de turno no quiere un informe geopolítico de cuarenta páginas.
| Nivel | Para quién | Qué pregunta responde | Ejemplo | Caduca en |
|---|---|---|---|---|
| Estratégica | Dirección, CISO, comité de riesgos | ¿Quién querría atacarnos y por qué? ¿Dónde invertimos? | Informe sobre el auge del ransomware en el sector sanitario europeo | Meses / años |
| Operativa | Responsables de SOC, threat hunters, IR | ¿Qué campañas activas nos afectan y cómo operan? | Un grupo usa correos de facturas falsas y despliega Cobalt Strike vía DLL sideloading | Semanas / meses |
| Táctica | Analistas de detección, reglas del SIEM y del EDR | ¿Qué indicador busco ahora mismo en mis logs? | Hashes, IPs C2, dominios, claves de registro, nombres de tareas programadas | Horas / días |
La inteligencia táctica es la más abundante y la más perecedera: un atacante cambia una IP de mando y control en minutos. La estratégica es la más escasa y la que más condiciona el presupuesto. Un programa maduro produce y consume los tres niveles, cada uno en su formato y para su destinatario.
3. La pirámide del dolor
En 2013 David Bianco publicó un modelo que sigue siendo la mejor forma de explicar por qué unas detecciones valen más que otras. La idea: ordena los indicadores por cuánto le cuesta al atacante cambiarlos cuando los quemas. Cuanto más arriba en la pirámide detectas, más dolor le infliges y más tiempo tardará en volver.
| Nivel (de menos a más dolor) | Qué es | Coste para el atacante si lo detectas |
|---|---|---|
| Valores hash | SHA-256 / MD5 de un fichero concreto | Trivial: recompila y cambia un byte |
| Direcciones IP | IP de C2, de escaneo, de exfiltración | Bajo: rota a otra IP o VPS en minutos |
| Nombres de dominio | Dominio de C2 o de phishing | Bajo-medio: registra otro, aunque cuesta algo más |
| Artefactos de red y host | User-Agent propio, mutex, ruta de instalación, patrón de tráfico | Medio: tiene que tocar su herramienta o su configuración |
| Herramientas | El binario o framework que usa (un cargador, un RAT concreto) | Alto: cambiar de herramienta o reescribir la suya lleva tiempo |
| TTP | Tácticas, técnicas y procedimientos: cómo piensa y opera | Muy alto: cambiar su forma de trabajar es rehacer el manual |
La consecuencia práctica: bloquear hashes e IPs es barato y necesario, pero es un juego de «whack-a-mole» donde el atacante siempre va por delante. Las detecciones que de verdad expulsan a un adversario son las de comportamiento —»un proceso de Office lanza PowerShell codificado que hace una conexión saliente»— porque atacan la parte que no puede cambiar sin esfuerzo real. MITRE ATT&CK es, en el fondo, el catálogo de esa capa alta de la pirámide.
4. IOC frente a IOA
Un indicador de compromiso (IOC) es un rastro observable que algo malo ya ha pasado: este hash, esta IP, esta clave de registro. Un indicador de ataque (IOA) describe una acción o secuencia en curso con independencia de las herramientas concretas: «reconocimiento interno con utilidades del sistema seguido de volcado de credenciales de LSASS».
| IOC | IOA | |
|---|---|---|
| Responde a | ¿Estuvieron aquí? | ¿Está pasando esto ahora? |
| Basado en | Artefactos concretos del pasado | Comportamiento y objetivo del atacante |
| Se queda obsoleto | Rápido (el atacante rota infraestructura) | Despacio (el objetivo no cambia) |
| Dónde vive | Listas de bloqueo, feeds, retrohunting | Reglas de correlación, analítica de comportamiento, EDR |
| Punto débil | Falsos negativos por infraestructura nueva | Más difícil de escribir y de afinar |
No son rivales: los IOC son excelentes para barrer el pasado (retrohunting sobre meses de logs cuando se publica un informe) y para bloqueo inmediato; los IOA son los que detectan la intrusión que aún no tiene informe publicado. Un SOC sano usa ambos y sabe cuál está mirando en cada alerta.
5. El ciclo de inteligencia
La inteligencia no es un producto que se compra, es un proceso que se repite. El ciclo clásico tiene cuatro o cinco fases, y la que casi todo el mundo se salta es la primera.
- Dirección: definir qué preguntas necesita responder la organización («¿qué grupos atacan a empresas de logística en España y con qué acceso inicial?»). Sin esto, todo lo demás es recolectar por recolectar.
- Recolección: reunir datos de fuentes internas (tus propios incidentes, tu telemetría) y externas (feeds abiertos, comunidades sectoriales, CERT nacionales, informes de fabricantes, OSINT).
- Análisis: quitar duplicados, verificar, contextualizar, correlacionar con lo que ya sabes y con ATT&CK; convertir datos en una valoración con un nivel de confianza explícito.
- Difusión: entregar el resultado a cada destinatario en su formato — un pantallazo para la dirección, reglas Sigma o listas para el SOC, un aviso para sistemas.
- Retroalimentación: preguntar si sirvió, ajustar las preguntas de la fase de dirección y volver a empezar.
El feedback cierra el bucle: si el SOC dice que un feed solo genera falsos positivos, ese feed sale de la recolección. Un programa que nunca poda sus fuentes acaba enterrado en ruido.
6. MISP: la plataforma para gestionarlo
MISP (Malware Information Sharing Platform) es el estándar de facto, libre y abierto, para almacenar, correlacionar y compartir inteligencia de amenazas. Nació para el intercambio entre organizaciones y hoy es también la base de datos interna de muchos equipos.
6.1 Cómo se estructura la información
- Evento: la unidad de trabajo. Agrupa todo lo relativo a un incidente, una campaña o un informe (fecha, autor, nivel de amenaza, distribución, etiquetas).
- Atributo: cada dato individual dentro de un evento — una IP, un dominio, un hash, un asunto de correo. Cada atributo indica si es «para detección» (IDS flag) o solo contexto.
- Objeto: una plantilla que agrupa atributos relacionados que van juntos (un objeto «file» con nombre, tamaño y varios hashes; un objeto «c2» con IP, puerto y protocolo).
- Correlación: MISP cruza automáticamente atributos entre eventos. Si un hash de tu incidente de hoy aparece en un evento de un feed de hace tres meses, lo ves al instante.
- Galaxies y taxonomías: vocabularios normalizados para etiquetar (grupos de ATT&CK, técnicas, TLP, sector, tipo de malware).
6.2 Feeds y comunidades
MISP consume feeds (otras instancias MISP, listas CSV, ficheros de texto) y sincroniza con comunidades de intercambio: CERT nacionales, ISACs sectoriales, CIRCL. Los sharing groups permiten decidir con grano fino qué evento se comparte con quién. La distribución de cada evento va de «solo mi organización» a «toda la comunidad» pasando por grupos concretos.
6.3 Consultar MISP desde tus herramientas
PyMISP es la biblioteca oficial de Python. El siguiente fragmento es de solo lectura: busca atributos marcados para detección publicados en los últimos siete días, para volcarlos a la lista que consumirá el SIEM.
from pymisp import PyMISP
misp = PyMISP('https://misp.interno.example', API_KEY, ssl=True)
# Solo atributos con IDS flag, publicados en la ultima semana
res = misp.search(controller='attributes',
type_attribute=['ip-dst', 'domain', 'url', 'sha256'],
to_ids=True,
publish_timestamp='7d',
pythonify=True)
for attr in res:
print(attr.type, attr.value, attr.Event.info)Compartir indicadores también tiene reglas
Respeta el TLP (Traffic Light Protocol) de cada evento: TLP:RED no sale de la sala, TLP:AMBER no sale de tu organización · Antes de publicar un evento con datos de un incidente propio, revisa que no lleves dentro información personal de empleados o clientes (rutas con nombres de usuario, correos internos): en la UE eso es tratamiento de datos y aplica el RGPD · Sanitiza los sandboxes: un adjunto de phishing reenviado puede contener datos de la víctima real
7. Consumir inteligencia sin ahogar el SIEM
Enchufar un feed directamente como reglas de alerta es la forma más rápida de que el SOC deje de mirar las alertas. Algunas prácticas que mantienen la señal alta:
- Separa bloqueo de alerta: un feed de alta confianza puede ir al firewall o al proxy en modo bloqueo silencioso; solo lo que necesita ojos humanos genera un caso.
- Puntúa las fuentes: cada feed recibe un nivel de confianza. Los indicadores de fuentes flojas solo enriquecen («esta IP figura en X»), no alertan por sí solos.
- Caduca los indicadores: un IOC táctico sin refrescar a los 30-90 días se retira automáticamente. MISP tiene modelos de decaimiento (decaying models) para esto.
- Enriquecer, no solo emparejar: el valor está en cruzar el indicador con tu contexto — ¿la IP la contactó un servidor expuesto o un portátil cualquiera?
- Prioriza retrohunting: cuando llega un informe relevante, lo más rentable no es alertar a futuro sino buscar esos indicadores hacia atrás en tus logs.
- Mide: ¿cuántas alertas de cada feed acabaron en incidente real? El que nunca acierta, fuera.
Referencias y recursos
misp-project.org — documentación, libro de MISP y formato MISP core · «The Pyramid of Pain», David J. Bianco (detect-respond.blogspot.com) · MITRE ATT&CK (attack.mitre.org) — el catálogo de la capa de TTP · CIRCL (circl.lu) y el listado de comunidades MISP para intercambio sectorial · «Intelligence-Driven Incident Response», Rebekah Brown y Scott J. Roberts (O’Reilly) · Tu CERT nacional (en España, INCIBE-CERT y CCN-CERT) como fuente y como coordinador
Conclusión
La inteligencia de amenazas no mejora por acumular feeds, sino por hacerse antes las preguntas correctas y por poder responder si lo que recolectas sirvió para algo. Los tres niveles —estratégico, operativo, táctico— tienen públicos y ritmos distintos, y la pirámide del dolor explica por qué conviene subir de detectar hashes a detectar comportamientos.
MISP da la fontanería: un sitio donde los eventos, los atributos y las correlaciones viven estructurados y se comparten con control. Pero la herramienta no sustituye al proceso. Un ciclo de inteligencia pequeño que se cierra —con su fase de dirección y su retroalimentación— vale más que una plataforma enorme alimentando alertas que nadie mira.
unfantasmaenelsistema.com | Seguridad, sistemas y todo lo que no debería funcionar (pero funciona)