MITRE ATT&CK desde cero:
el mapa que usan atacantes y defensores
Serie Blue Team / Principios | unfantasmaenelsistema.com
Si llevas un tiempo leyendo sobre ciberseguridad habrás visto aparecer, una y otra vez, códigos con pinta de matrícula: T1059, T1566.001, TA0002. Están en los informes de las empresas de respuesta a incidentes, en las alertas de los SOC, en la documentación de casi cualquier herramienta de detección moderna. Todos apuntan al mismo sitio: la matriz MITRE ATT&CK, el lenguaje común con el que el sector describe cómo se comporta un atacante una vez que está dentro.
ATT&CK no es una herramienta que instales ni un producto que compres. Es una base de conocimiento pública y gratuita, mantenida por la organización sin ánimo de lucro MITRE, que cataloga las técnicas reales observadas en ataques reales. En este artículo vas a entender qué es la matriz, cómo se lee, y por qué se ha convertido en el punto de encuentro entre el equipo que ataca (Red Team) y el que defiende (Blue Team).
Qué aprenderás en este artículo
Qué es ATT&CK y de dónde sale (datos de incidentes reales, no teoría) · La diferencia entre táctica, técnica y procedimiento (el famoso «TTP») · Cómo se lee una técnica: el identificador Txxxx, las sub-técnicas y sus campos · Qué son las 14 tácticas y qué persigue el atacante en cada una · Qué es el ATT&CK Navigator y cómo se usa para mapear tu cobertura de detección · En qué se diferencia de la Cyber Kill Chain de Lockheed Martin
1. Qué es ATT&CK y por qué existe
ATT&CK son las siglas de Adversarial Tactics, Techniques, and Common Knowledge. El proyecto nació en 2013 dentro de MITRE a partir de una pregunta muy concreta: ¿qué hacen exactamente los atacantes después de conseguir el primer acceso a una red? Para responderla, el equipo empezó a documentar de forma estructurada el comportamiento observado en intrusiones reales, tanto en ejercicios internos como en informes públicos de amenazas.
El resultado es un catálogo vivo, actualizado dos veces al año, que hoy describe cientos de técnicas organizadas por objetivo. Cada entrada está respaldada por referencias a campañas reales y a los grupos de atacantes (identificados como G0016, G0007, etc.) y familias de software (S0154, S0002…) que la han usado. Esa trazabilidad es la clave: cuando alguien dice que un incidente «usó T1055», cualquier otro profesional del mundo sabe exactamente de qué está hablando sin necesidad de más contexto.
Existen varias matrices ATT&CK según el entorno: Enterprise (Windows, Linux, macOS, red, nube, contenedores), Mobile (Android, iOS) e ICS (sistemas de control industrial). La más usada, y la que veremos aquí, es Enterprise.
2. Tácticas, técnicas y procedimientos: el «TTP»
La estructura de ATT&CK se apoya en tres niveles. Entenderlos es entender toda la matriz.
2.1 Táctica: el porqué
Una táctica es el objetivo del atacante en un momento dado: la razón por la que ejecuta una acción. «Conseguir credenciales», «moverse a otra máquina», «mantener el acceso aunque reinicien el servidor». Son categorías amplias y hay solo 14 en la matriz Enterprise. Cada táctica tiene un identificador TAxxxx (por ejemplo, TA0006 = Credential Access).
2.2 Técnica: el cómo
Una técnica es el método concreto para lograr esa táctica. Para «mantener el acceso» (Persistence), una técnica es Scheduled Task/Job (T1053): crear una tarea programada que relance el implante. Muchas técnicas tienen sub-técnicas, variantes más específicas, con un identificador de dos partes: T1053.005 es concretamente la variante de tarea programada de Windows.
2.3 Procedimiento: la implementación exacta
El procedimiento es la forma específica en que un grupo o una herramienta ejecuta la técnica: qué comando exacto, con qué parámetros, en qué orden. «El grupo X usa schtasks.exe con un nombre de tarea que imita a una legítima de Windows Update» es un procedimiento. Es el nivel más útil para escribir una detección afinada y, a la vez, el más fácil de cambiar para el atacante.
La «pirámide del dolor»
Cuanto más abajo detectas (una IP, un hash), más fácil le resulta al atacante cambiarlo y evadirte · Cuanto más arriba detectas (una técnica, un comportamiento), más le cuesta modificar su forma de operar — ese es el valor de pensar en TTPs y no solo en indicadores concretos
3. Cómo se lee una técnica
Cada técnica de ATT&CK tiene una ficha con una estructura fija. Si abres, por ejemplo, T1059 — Command and Scripting Interpreter, encontrarás:
- ID y nombre: T1059, y sus sub-técnicas (.001 PowerShell, .003 Windows Command Shell, .004 Unix Shell, .006 Python…)
- Tácticas asociadas: en este caso Execution (TA0002) — una técnica puede pertenecer a varias tácticas
- Plataformas: Windows, Linux, macOS
- Descripción: qué hace y por qué la usan los atacantes
- Procedure Examples: lista de grupos y software concretos que la han empleado, con enlace a la fuente
- Mitigations: contramedidas preventivas (por ejemplo, M1038 Execution Prevention, políticas de AppLocker/Constrained Language Mode)
- Detection: qué fuentes de datos y qué eventos permiten cazarla (creación de procesos, registro de bloques de script de PowerShell, línea de comandos…)
| Elemento | Ejemplo | Para qué sirve |
|---|---|---|
| Identificador de táctica | TA0002 (Execution) | Agrupar por objetivo del atacante |
| Identificador de técnica | T1059 | Referencia inequívoca en informes y reglas |
| Sub-técnica | T1059.001 (PowerShell) | Precisar la variante concreta |
| Data Source / Data Component | Process Creation, Command Execution | Saber qué telemetría necesitas para detectarla |
| Mitigation | M1042 (Disable or Remove Feature) | Reducir la superficie antes de que ocurra |
4. Las 14 tácticas de la matriz Enterprise
Las tácticas se leen de izquierda a derecha, aproximadamente en el orden en que un atacante avanza por una red, aunque en la práctica salta entre ellas y repite varias. Esta es la lista completa, con una técnica de ejemplo y una idea de detección para cada una.
| Táctica | Objetivo del atacante | Técnica de ejemplo | Idea de detección |
|---|---|---|---|
| Reconnaissance (TA0043) | Recopilar información antes de atacar | Active Scanning (T1595) | Picos de escaneo en logs de perímetro / WAF |
| Resource Development (TA0042) | Preparar infraestructura y herramientas | Acquire Infrastructure (T1583) | Dominios recién registrados, correlación de inteligencia |
| Initial Access (TA0001) | Entrar por primera vez en la red | Phishing (T1566) | Adjuntos con macros, enlaces a dominios jóvenes, cabeceras de correo |
| Execution (TA0002) | Ejecutar código del atacante | Command and Scripting Interpreter (T1059) | Procesos hijo anómalos de Office, PowerShell ofuscado |
| Persistence (TA0003) | Sobrevivir a reinicios y cierres de sesión | Scheduled Task/Job (T1053) | Nuevas tareas programadas y claves Run del registro |
| Privilege Escalation (TA0004) | Obtener permisos más altos | Access Token Manipulation (T1134) | Cambios de token, procesos SYSTEM con padre inesperado |
| Defense Evasion (TA0005) | Evitar ser detectado | Impair Defenses (T1562) | Parada de servicios de EDR/AV, borrado del log de eventos |
| Credential Access (TA0006) | Robar usuarios y contraseñas | OS Credential Dumping (T1003) | Acceso a LSASS, lectura de la SAM, volcado de NTDS.dit |
| Discovery (TA0007) | Explorar el entorno ya comprometido | Account Discovery (T1087) | Ráfagas de net user / net group, consultas LDAP masivas |
| Lateral Movement (TA0008) | Saltar a otras máquinas | Remote Services (T1021) | Sesiones SMB/RDP/WinRM entre equipos que nunca se conectan |
| Collection (TA0009) | Reunir los datos de interés | Data from Local System (T1005) | Compresión masiva de ficheros, acceso a recursos compartidos sensibles |
| Command and Control (TA0011) | Comunicarse con el equipo comprometido | Application Layer Protocol (T1071) | Beaconing regular, JA3/JARM sospechoso, DNS con alto volumen |
| Exfiltration (TA0010) | Sacar los datos fuera | Exfiltration Over C2 Channel (T1041) | Transferencias salientes grandes e inusuales, subidas a la nube |
| Impact (TA0040) | Destruir, cifrar o manipular | Data Encrypted for Impact (T1486) | Renombrado masivo de ficheros, borrado de instantáneas (vssadmin) |
Las dos primeras (Reconnaissance y Resource Development) ocurren antes de tocar la red de la víctima y se añadieron más tarde; a veces se agrupan aparte como «PRE-ATT&CK».
5. El ATT&CK Navigator
El Navigator es una aplicación web gratuita (también autoalojable) que muestra la matriz completa como una cuadrícula donde puedes colorear celdas, anotarlas y exportarlas. Se usa sobre todo para tres cosas:
- Mapa de cobertura de detección: pintas de verde las técnicas que tu SOC detecta, de amarillo las parciales y de rojo las que no cubres. El resultado es un mapa de calor de tus puntos ciegos
- Perfil de una amenaza: cargas la «capa» (layer) de un grupo concreto y ves de un vistazo su repertorio de técnicas para priorizar defensas
- Comparación: superpones dos capas —por ejemplo, «lo que hace el grupo X» y «lo que yo detecto»— para ver exactamente dónde estás expuesto
Las capas se guardan como ficheros JSON, así que se versionan en Git y se comparten entre equipos. MITRE publica capas oficiales por grupo y por software que puedes usar como punto de partida.
Herramientas del ecosistema ATT&CK
ATT&CK Navigator — visualización y mapas de cobertura · ATT&CK Workbench — para mantener tu propia extensión interna de la matriz · D3FEND — matriz complementaria de MITRE centrada en contramedidas defensivas · CAR (Cyber Analytics Repository) — analíticas de detección concretas mapeadas a técnicas · Atomic Red Team (Red Canary) — pruebas pequeñas y controladas para validar detecciones, técnica a técnica
6. ATT&CK vs Cyber Kill Chain
Antes de ATT&CK, el modelo de referencia era la Cyber Kill Chain de Lockheed Martin (2011), con siete fases lineales: Reconnaissance, Weaponization, Delivery, Exploitation, Installation, Command & Control, y Actions on Objectives. Sigue siendo útil como relato de alto nivel, pero tiene dos limitaciones que ATT&CK resuelve.
| Aspecto | Cyber Kill Chain | MITRE ATT&CK |
|---|---|---|
| Enfoque | Fases lineales de la campaña completa | Comportamiento post-compromiso, no lineal |
| Granularidad | 7 fases amplias | 14 tácticas y cientos de técnicas concretas |
| Nivel de detalle para detección | Bajo — describe el flujo, no el método | Alto — cada técnica trae fuentes de datos y mitigaciones |
| Peso de las fases internas | Comprime todo el movimiento interno en «Actions on Objectives» | Desglosa privesc, lateral movement, discovery, collection… |
| Uso principal | Comunicar la historia de un ataque | Operar detección, hunting y evaluación de cobertura |
No compiten: mucha gente usa la Kill Chain para explicar un incidente a dirección y ATT&CK para el trabajo técnico de detección y respuesta. Un tercer modelo, el Unified Kill Chain, intenta fusionar ambos en 18 fases.
7. Cómo empezar a usar ATT&CK en tu día a día
- Cuando leas un informe de amenazas, apunta las técnicas Txxxx que menciona y búscalas en attack.mitre.org para entender el detalle
- Elige una táctica prioritaria para tu organización (Credential Access suele ser un buen primer objetivo) y revisa qué técnicas detectas de verdad
- Valida esas detecciones con Atomic Red Team en un equipo de laboratorio, nunca en producción y solo sobre sistemas propios
- Registra tu cobertura en una capa del Navigator y revísala cada trimestre
- Al escribir una regla de detección o un caso de uso de SIEM, etiquétalo con su técnica ATT&CK: hace que el catálogo de detecciones sea auditable
ATT&CK describe, no prioriza por ti
La matriz lista técnicas, pero no te dice cuáles son más probables contra tu sector o tu infraestructura · Cúbrela guiándote por inteligencia de amenazas real y por tu superficie de exposición, no intentando «pintar toda la matriz de verde» — eso lleva a repartir el esfuerzo de forma uniforme donde el riesgo no lo es
Referencias
attack.mitre.org — Base de conocimiento oficial, buscador de técnicas y grupos · mitre-attack.github.io/attack-navigator — ATT&CK Navigator en línea · attack.mitre.org/resources/get-started — Guía oficial de primeros pasos y casos de uso · github.com/redcanaryco/atomic-red-team — Pruebas de validación por técnica · d3fend.mitre.org — Matriz de contramedidas defensivas complementaria
Conclusión
MITRE ATT&CK se ha convertido en el idioma común de la ciberseguridad defensiva porque resuelve un problema muy real: dar a atacantes simulados y defensores un vocabulario compartido y respaldado por datos de incidentes reales. Táctica (el porqué), técnica (el cómo) y procedimiento (la implementación exacta) son los tres niveles que necesitas dominar para leer cualquier informe moderno.
No lo abordes como una lista para completar. Úsalo como un mapa: identifica por dónde es más probable que te ataquen, comprueba honestamente qué detectas, y pinta tus puntos ciegos en el Navigator. Ese ejercicio, repetido cada pocos meses, vale más que cualquier herramienta que puedas comprar.
unfantasmaenelsistema.com | Seguridad, sistemas y todo lo que no debería funcionar (pero funciona)