El comportamiento de los atacantes describe las acciones, técnicas y patrones que utilizan los ciberatacantes a la hora de comprometer un entorno y avanzar hacia sus objetivos. Los atacantes modernos rara vez actúan mediante un único incidente malicioso. Pueden robar o suplantar identidades, llevar a cabo operaciones de reconocimiento, establecer persistencia, escalar privilegios, desplazarse lateralmente, eludir las defensas, acceder a datos confidenciales y extraer información a través de entornos de red, de identidades, de cloud y de SaaS.
Comprender estos comportamientos ayuda a los equipos de seguridad a relacionar las señales de seguridad individuales con el desarrollo general de un ataque, lo que permite descubrir qué está haciendo el atacante, hasta qué punto ha avanzado la intrusión y cuáles deben ser las siguientes prioridades de los defensores. Esta guía explica el comportamiento de los atacantes, ofrece ejemplos comunes, describe cómo se relaciona con las TTP (tácticas, técnicas y procedimientos) de los atacantes y el « MITRE ATT&CK », y explica cómo los equipos de seguridad pueden utilizar la detección basada en el comportamiento para investigar los ataques modernos.
¿Qué significa «comportamiento del atacante»?
El comportamiento del atacante se refiere a las acciones y patrones observables que utiliza un actor malicioso durante un ciberataque. Estos comportamientos pueden incluir el reconocimiento, el uso indebido de credenciales, la persistencia, la escalada de privilegios, la evasión de las defensas, el movimiento lateral, la recopilación de datos y la exfiltración.
En lugar de evaluar cada alerta de seguridad de forma independiente, el análisis del comportamiento del atacante se centra en cómo se relacionan las acciones a lo largo del tiempo y en los entornos de identidad, red, cloud y SaaS. Esta visión integral ayuda a los equipos de seguridad a comprender cómo avanza un ataque, qué puede estar intentando conseguir el atacante y qué actividad requiere una investigación inmediata.
¿Qué comportamiento no es propio de un atacante?
El comportamiento del atacante a menudo se confunde con señales adyacentes que carecen de intención o progresión. Están relacionadas, pero no son lo mismo:
- Ruido rutinario del sistema: actividad benigna de gran volumen que añade desorden, pero no favorece un ataque.
- Detecciones aisladas: alertas únicas que se visualizan sin comprender cómo se relacionan con otras acciones a lo largo del tiempo.
- Visibilidad sin procesar: acceso a registros y tablas sin correlación entre identidades, redes y cloud.
- Supervisión basada en el cumplimiento: controles diseñados para cumplir con los requisitos básicos, no para rastrear cómo los atacantes abusan de herramientas legítimas durante incidentes activos.
Cómo definen los expertos el comportamiento de los atacantes
Los expertos describen el comportamiento de los atacantes como una progresión rápida y en múltiples etapas a través de la identidad, la red y cloud. En lugar de tratar los ataques como eventos discretos, se anima a los profesionales a considerarlos como un proceso continuo en el que el atacante se mueve lateralmente a través de entornos como Azure AD, M365 y redes tradicionales.
Un matiz clave es la gran dependencia de las técnicas de «vivir de la tierra» (LOTL). Los atacantes pueden hacer un uso indebido de herramientas administrativas como PowerShell, utilizar la API Graph o interactuar con asistentes de IA como Microsoft Copilot para acelerar el reconocimiento y el descubrimiento de datos. A menudo evaden la detección mediante cambios sutiles, como la creación de cuentas traseras con nombres visualmente similares o la modificación de las políticas de acceso condicional para tratar una ubicación controlada por el atacante como de confianza.
Los expertos también distinguen entre amenazas externas e internas. Por ejemplo, la ausencia de comportamiento de reconocimiento puede ser significativa. La falta de escaneo de puertos o enumeración antes de acciones maliciosas puede indicar que se trata de alguien interno que ya conoce el entorno.
Por qué el comportamiento de los atacantes es importante ahora
Los ataques modernos son rápidos, multidominio y difíciles de interpretar cuando los datos están fragmentados. Los atacantes sofisticados pueden lograr persistencia y comenzar la exfiltración de datos en menos de 15 minutos desde el acceso inicial, lo que hace que los flujos de trabajo de investigación manuales y lentos sean poco fiables.
Al mismo tiempo, muchos flujos de trabajo de SOC siguen exigiendo a los analistas navegar por tablas enormes, alertas inconexas y múltiples módulos o widgets. Esto aumenta la carga cognitiva y dificulta comprender rápidamente la secuencia de eventos, identificar el punto inicial de compromiso y determinar el alcance de un incidente.
¿Qué está impulsando la urgencia?
Descubra cómo 360 Response detiene los ataques híbridos en cuestión de minutos. Explore cómo el bloqueo unificado de identidades, dispositivos y tráfico devuelve el control a los defensores durante los ataques activos.
¿Qué ocurre cuando los equipos malinterpretan el comportamiento de los atacantes?
Cuando los equipos simplifican en exceso el comportamiento de los atacantes, pueden tratar las detecciones como eventos aislados en lugar de como una progresión conectada. Esto puede dar lugar a una clasificación incorrecta, a pasar por alto la intención y a retrasar la respuesta.
Un patrón de fallo específico es la interpretación errónea de las señales de reconocimiento. La falta de reconocimiento puede interpretarse como una «amenaza baja», incluso cuando puede indicar que hay alguien interno que ya conoce el entorno. Otro fallo común es subestimar el movimiento multidominio. Si los equipos tratan un compromiso en un área como contenido, pueden pasar por alto cómo la identidad puede actuar como puente hacia otros cloud o de vuelta a los sistemas locales.
El resultado suele ser un radio de explosión cada vez mayor, un retraso en la contención y una mayor probabilidad de que los atacantes alcancen objetivos como la filtración de datos.
Comportamientos amenazantes comúnmente asociados con el comportamiento de los atacantes.
El comportamiento de los atacantes abarca múltiples categorías tácticas, entre las que se incluyen la persistencia, la evasión de defensas, el descubrimiento, el movimiento lateral y el acceso a datos. Algunos ejemplos de comportamientos son:
Mecanismos de persistencia
Los atacantes pueden establecer persistencia mediante:
- Creación de cuentas traseras, incluidas cuentas con nombres visualmente similares (homógrafos).
- Asignación de roles privilegiados, como el de administrador de seguridad.
- Configuración de reglas del buzón (incluidas las reglas de eliminación de correo electrónico) para ocultar las alertas de seguridad.
Evasión de la defensa
Los atacantes pueden reducir la detección o la telemetría mediante:
- Modificar las políticas de acceso condicional para incluir direcciones IP controladas por atacantes como ubicaciones de confianza.
- Desactivar la auditoría en los buzones de correo para evitar la generación de telemetría que podría alertar a los defensores.
Descubrimiento y recolección
Los atacantes suelen realizar reconocimientos y descubrimientos internos, entre los que se incluyen:
Vea cómo se analiza el comportamiento de los atacantes en la práctica. Explore la anatomía de un ataque moderno →
La realidad operativa en un SOC
El comportamiento de los atacantes no solo plantea retos en materia de detección, sino también en lo que respecta al flujo de trabajo. Los analistas suelen trabajar con datos fragmentados, alertas inconexas y señales repartidas entre múltiples herramientas, todo lo cual debe reunirse manualmente para comprender lo que realmente está sucediendo.
Impacto diario
- Los analistas se ven obligados a manejar tablas enormes y datos inconexos.
- Las investigaciones pueden requerir consultas complejas en seis o más fuentes de registros con convenciones de nomenclatura inconsistentes.
- La carga cognitiva y el estrés aumentan cuando los incidentes incluyen cientos de puntos de datos sin una visión clara de la progresión.
Cuando los equipos aplican un modelo de priorización claro, las entidades se clasifican por urgencia en función del comportamiento observado del atacante y del privilegio o la importancia de la identidad o el host afectados. Esto permite a los equipos tomar medidas urgentes, como revocar sesiones activas para activar una nueva solicitud de MFA o bloquear cuentas, antes de que el ataque pueda avanzar más.
Vea cómo los equipos analizan el comportamiento de los atacantes en contexto con la Vectra AI .
