¿Qué es el marco MITRE ATT&CK?

Cuando los equipos de seguridad responden a una brecha, se enfrentan a un problema conocido: deben reconstruir la ruta del atacante sin basarse en indicadores coherentes. Las familias de malware se transforman, la infraestructura cambia y las herramientas varían de una intrusión a la siguiente. Sin embargo, los comportamientos básicos suelen ser iguales. Un adversario que roba credenciales, se mueve lateralmente y extrae datos sigue un patrón que se repite en innumerables investigaciones, aunque los detalles técnicos difieran.

El marco MITRE ATT&CK® aborda este desafío documentando cómo operan los adversarios en la práctica. Define las tácticas que representan los objetivos de un ciberdelincuente y las técnicas que aplica para alcanzarlos. Cada entrada se basa en investigaciones reales realizadas por investigadores y profesionales de respuesta a incidentes, por lo que el marco se fundamenta en lo que encuentran los equipos en los entornos reales.

Para los equipos de seguridad, esto convierte el marco MITRE ATT&CK tanto en una referencia como en un manual. El marco explica cómo están organizadas sus matrices, qué plataformas y entornos cubren, y cómo se conectan las tácticas y técnicas de una fase de un ataque a la siguiente.

Este artículo desgrana cómo está estructurado el marco MITRE ATT&CK, detalla las principales ventajas para los defensores y muestra cómo aplicarlo en las operaciones de seguridad.

Definición del marco MITRE ATT&CK

ATT&CK son las siglas de Adversarial Tactics, Techniques, and Common Knowledge (Tácticas de los adversarios, técnicas y conocimiento común). MITRE, una entidad sin ánimo de lucro que ofrece asesoramiento técnico y de ingeniería al gobierno federal de Estados Unidos, creó el marco durante una investigación interna en 2013 y lo publicó en 2015. La adopción creció rápidamente entre los centros de operaciones de seguridad (SOC), los equipos de inteligencia sobre amenazas, los equipos rojos y los proveedores de productos, ya que el marco se ajustaba a lo que los profesionales observaban en entornos reales.

MITRE ATT&CK cataloga cómo operan los atacantes en circulación y extrae información de las actividades documentadas recogidas por los investigadores de seguridad, Threat Hunters y equipos de respuesta a incidentes. MITRE mantiene esta base de conocimiento como recurso público para que los defensores puedan basarse en comportamientos verificados en lugar de modelos de amenazas especulativos. El objetivo es proporcionar a los equipos de seguridad un lenguaje común para las tácticas y técnicas que constituyen los pilares de la actividad de intrusión.

El marco se centra en el comportamiento posterior al compromiso. Documenta cómo elevan los privilegios, se hacen pasar por usuarios, se desplazan entre sistemas y persiguen objetivos los adversarios tras obtener acceso. Este enfoque difiere de los enfoques que se centran principalmente en los controles preventivos. MITRE ATT&CK da por hecho que se ha producido una brecha y categoriza las acciones siguientes, lo que ayudando a los defensores a entender cómo progresan los ataques y cómo encaja cada técnica en el ciclo de vida, en un sentido más amplio.

El marco MITRE ATT&CK sigue evolucionando a medida que avanzan las técnicas de ataque del adversario. MITRE publica actualizaciones que reflejan nuevas plataformas y técnicas emergentes. Las incorporaciones recientes incluyen una cobertura en la nube ampliada y técnicas que se aplican a los entornos ESXi, lo que refleja cómo se extienden las intrusiones modernas mucho más allá del perímetro corporativo tradicional.

Matriz de MITRE ATT&CK y componentes principales

Cada adversario concreto suele utilizar técnicas específicas. La matriz de MITRE ATT&CK cataloga información que correlaciona grupos de adversarios con campañas, de modo que los equipos de seguridad comprenden mejor a los adversarios con los que tratan, evalúan sus defensas y refuerzan la seguridad donde más importa.

Tácticas empleadas por los adversarios

Las tácticas representan los objetivos técnicos que persiguen los adversarios durante una intrusión. La matriz de MITRE ATT&CK para empresas incluye 14 tácticas que abarcan todo el ciclo de vida del ataque:

• Reconocimiento: recopilación de información para planificar futuros ataques.
• Desarrollo de recursos: adquisición o creación de infraestructuras, cuentas o herramientas para operaciones futuras.
• Acceso inicial: técnicas utilizadas para consolidarse en el entorno objetivo.
• Ejecución: acciones que ejecutan código malicioso en sistemas locales o remotos.
• Persistencia: métodos que mantienen el acceso a través de reinicios o cambios de credenciales.
• Elevación de privilegios: intentos de obtener permisos de nivel superior dentro del entorno.
• Evasión de las defensas: técnicas que evitan la detección durante la actividad dentro de la red.
• Acceso a credenciales: intentos de robar contraseñas, tokens y otros artefactos de autenticación.
• Descubrimiento: técnicas para aprender sobre los sistemas, las configuraciones y el diseño de las redes.
• Movimiento lateral: métodos que permiten a los adversarios moverse entre sistemas.
• Recopilación: técnicas para recopilar información relevante para los objetivos del ciberdelincuente.
• Mando y control (C2): métodos para comunicarse con sistemas comprometidos y dirigir las operaciones.
• Exfiltración: técnicas utilizadas para eliminar datos del entorno.
• Impacto: acciones que interrumpen la disponibilidad, corrompen datos o dañan sistemas.

Técnicas de los adversarios

Las técnicas describen cómo cumplen sus objetivos los adversarios. Actualmente, MITRE ATT&CK recoge 211 técnicas y 468 subtécnicas para entornos empresariales. Cada técnica incluye detalles sobre cómo funciona, a qué plataformas afecta, qué grupos de amenazas la utilizan, cómo pueden mitigarla los defensores y dónde se ha observado en las investigaciones reales.

Las subtécnicas aportan especificidad. Por ejemplo, la técnica "Phishing" se divide en variantes como “Spearphishing Attachment”, “Spearphishing Link” y “Spearphishing via Service” (spearphishing mediante archivos adjuntos, enlaces de spearphishing y spearphishing a través de un servicio, respectivamente). Esta estructura ayuda a los defensores a identificar no solo la táctica en juego, sino el método exacto que aplica. La evasión de las defensas sigue siendo la táctica más observada en intrusiones interactivas, ya que los adversarios intentan hacer pasar su actividad como un comportamiento legítimo del sistema.

Matrices de MITRE ATT&CK

MITRE organiza las tácticas y las técnicas en matrices visuales, con las tácticas en columnas y las técnicas relacionadas debajo de cada táctica. Este formato ofrece a los defensores una visión inmediata de cómo se organiza la actividad de ataque en entornos Windows, macOS y Linux; plataformas en la nube, y otros entornos.

El marco incluye tres matrices principales:

• Matriz de MITRE ATT&CK para empresas
  Cubre el comportamiento de los adversarios en entornos Windows, Linux, macOS y software como servicio (SaaS), así como en plataformas en la nube como AWS, Azure y Google Cloud.

• Matriz de MITRE ATT&CK para móviles
  Se centra en las técnicas usadas contra dispositivos Android e iOS.

• Matriz de MITRE ATT&CK para ICS
  Documenta el comportamiento específico en los sistemas de control industrial (ICS) y la tecnología operativa.

Los equipos de seguridad utilizan estas matrices para comparar su cobertura de detección con técnicas de adversarios conocidas, lo que les ayuda a identificar brechas de visibilidad y priorizar mejoras.

Casos de uso prácticos para el marco

Las organizaciones confían en MITRE ATT&CK para mejorar la detección, validar las defensas y fortalecer su posición general de seguridad. El marco presta apoyo a las operaciones diarias, así como la planificación estratégica a largo plazo en Threat Hunting, pruebas de equipo rojo, ingeniería y gestión de SOC. Entre las aplicaciones comunes encontramos las siguientes:

Detección de amenazas y Threat Hunting

Los Threat Hunters utilizan MITRE ATT&CK para orientar las búsquedas de comportamientos maliciosos. En lugar de buscar firmas específicas de malware, buscan patrones de comportamiento que coincidan con técnicas conocidas. Este enfoque detecta a los adversarios independientemente de las herramientas específicas que empleen.

La localización basada en hipótesis se apoya directamente en la estructura del marco. Si los Threat Hunters observan una técnica de acceso inicial, como el uso de credenciales válidas, saben cómo investigar técnicas relacionadas con el robo de credenciales, el movimiento lateral a través de protocolos remotos y los mecanismos de persistencia comunes en estas situaciones.

Este enfoque del comportamiento es fundamental a medida que los adversarios se alejan de los ataques dependientes del malware. De julio de 2024 a junio de 2025, las intrusiones interactivas aumentaron un 27 % interanual y el 81 % de las intrusiones en este periodo fueron sin malware. MITRE ATT&CK ayuda a los equipos a detectar esta actividad porque rastrea comportamientos que las firmas no pueden identificar. Muchos SOC también utilizan el marco para acelerar el triaje de alertas y mejorar la calidad de las investigaciones asignando los eventos observados a identificadores de técnicas concretos.

Pruebas de equipo rojo y emulación del adversario

Los equipos rojos usan MITRE ATT&CK para desarrollar escenarios de ataque que reflejen los métodos que emplean los adversarios reales. Asociar las operaciones a tácticas, técnicas y procedimientos (TTP) conocidos produce ejercicios que prueban las defensas contra amenazas concretas en lugar de debilidades teóricas.

Los equipos que emulan a atacantes específicos siguen las técnicas asociadas a esos grupos en el marco MITRE ATT&CK. Por ejemplo, la emulación de SCATTERED SPIDER requeriría que los equipos emplearan técnicas que abarcan el compromiso de identidad, el uso indebido de servicios en la nube y el movimiento lateral rápido. Un ejercicio de equipo rojo basado en este patrón probaría si los defensores pueden detectar cada paso de esta rápida secuencia e interrumpir la intrusión antes de que el adversario alcance su objetivo.

Las organizaciones también utilizan MITRE ATT&CK para evaluar la madurez de sus operaciones de seguridad. Valorar cómo detectan las defensas técnicas según el marco pone de manifiesto fortalezas, debilidades y áreas en las que la inversión tendrá mayor impacto.

Ingeniería de detección y monitorización de seguridad

Los equipos de seguridad utilizan MITRE ATT&CK para diseñar reglas de detección del comportamiento y mejorar la visibilidad. Cada técnica incluye información sobre los logs, artefactos y eventos del sistema que indican su uso. Los analistas pueden traducir esta información en reglas y análisis de gestión de eventos e incidentes de seguridad (SIEM) que alertan sobre actividades sospechosas a medida que ocurren.

La priorización comienza por entender qué técnicas aparecen con mayor frecuencia en ataques reales. A continuación, los equipos centran el trabajo de detección en los comportamientos más relevantes para sus entornos y panorama de amenazas. Así evitan desperdiciar esfuerzos y apoya una estrategia de cobertura basada en el riesgo.

Las tecnologías que mapean las alertas a las identificaciones de técnicas MITRE ATT&CK reducen el trabajo manual de correlación. Cuando las alertas incluyen contexto técnico, los analistas pueden entender al instante la importancia de un evento y rastrear la conexión de los comportamientos individuales en una intrusión.

Cómo implementar el marco MITRE ATT&CK

La mayoría de las organizaciones implementan el marco MITRE ATT&CK por fases, comenzando con una comprensión clara de la cobertura de detección vigente. Los equipos de seguridad comienzan con el mapeo y el análisis de brechas, amplían su recopilación de telemetría y luego maduran sus procesos en ingeniería de detección, hunting y respuesta.

Mapeo y análisis de brechas

La implementación comienza por entender la posición de defensa actual de la organización. Los equipos mapean los controles preventivos y de detección existentes a las técnicas de MITRE ATT&CK utilizando herramientas como ATT&CK Navigator. Este proceso muestra qué técnicas tienen cobertura y cuáles permanecen sin abordar.

A continuación, un análisis de brechas identifica dónde invertir. No todas las técnicas conllevan el mismo nivel de riesgo y los equipos suelen priorizar las técnicas que aparecen con frecuencia en su sector o que se corresponden con los adversarios a los que tienen más probabilidades de enfrentarse.

El proceso de mapeo examina múltiples tipos de control. Los controles preventivos impiden que las técnicas tengan éxito. Los controles de detección identifican cuándo se ejecutan las técnicas. Las capacidades de respuesta determinan la rapidez con la que los equipos pueden contener la actividad del adversario una vez detectados.

Telemetría y datos necesarios

La implementación efectiva de MITRE ATT&CK depende de la visibilidad del sistema y la actividad de los usuarios. Las fuentes de telemetría deben captar las señales de comportamiento asociadas a diferentes técnicas.

Entre las fuentes de datos más importantes se incluyen las siguientes:

• Logs de ejecución de procesos: rastrear los inicios de programas, parámetros de línea de comandos y relaciones padre-hijo.
• Registro de PowerShell: registrar el contenido de script y los detalles de ejecución, ya que los adversarios suelen hacer un uso indebido de los scripts para la ejecución y el descubrimiento.
• Modificaciones de archivos y registro: identificar cambios asociados a la persistencia y la evasión de las defensas.
• Conexiones de red: detectar patrones de comunicación internos y externos que indican C2 o movimiento lateral.
• Eventos de autenticación: rastrear inicios de sesión exitosos y fallidos para detectar accesos a credenciales y movimientos no autorizados.

Las plataformas de detección y respuesta para endpoints (EDR) y detección y respuesta ampliadas (XDR) proporcionan una amplia telemetría en sintonía con la cobertura de técnicas MITRE ATT&CK. Estas soluciones correlacionan los datos de endpoints, identidades, cargas de trabajo en la nube y capas de red, lo que proporciona a los defensores la visibilidad necesaria para la detección de comportamientos.

Los entornos de nube generan señales valiosas para una monitorización en sintonía con MITRE ATT&CK. Las intrusiones en la nube aumentaron un 136 % en la primera mitad de 2025 en comparación con todo el año 2024, lo que significa que muchas secuencias de ataque ahora se desarrollan en planos de control de la nube en lugar de en endpoints tradicionales. Los equipos de seguridad necesitan tener acceso a estas plataformas para rastrear técnicas relacionadas con el uso indebido de identidad, servicios con errores de configuración y accesos no autorizados.

Priorización y madurez

Las organizaciones mejoran su adopción de MITRE ATT&CK con el tiempo ampliando la cobertura y mejorando los procesos a medida que crecen sus capacidades. Un modelo por fases ayuda a los equipos a entender cómo avanzan y en qué centrarse a continuación.

• Comprensión: los equipos conocen la estructura del marco y comienzan a relacionar las conclusiones de los incidentes con las técnicas.
• Seguimiento: la organización documenta las técnicas que aparecen en los incidentes y las controles que los abordan.
• Análisis: los equipos realizan evaluaciones periódicas de brechas y priorizan las mejoras en función del comportamiento observado en los adversarios.
• Integración: MITRE ATT&CK pasa a formar parte de los flujos de trabajo de operaciones de seguridad, de la ingeniería de detección al Threat Hunting y la elaboración de informes.

La implementación por fases garantiza que el marco se ajuste al tamaño y la madurez de la organización. Los equipos más pequeños pueden centrarse en técnicas de mayor prioridad vinculadas a las amenazas más relevantes, y las organizaciones maduras pueden ampliar la cobertura en todas las tácticas e integrar el marco MITRE ATT&CK en múltiples flujos de trabajo.

Ventajas de utilizar el marco MITRE ATT&CK

Las organizaciones que adoptan el marco MITRE ATT&CK experimentan mejoras cuantificables tanto en las funciones de seguridad táctica como estratégica. El uso del marco:

• Mejora el diseño y la cobertura de detección de comportamientos: el marco ayuda a los equipos a diseñar detecciones que identifiquen las acciones de los adversarios en lugar de malware específico. Este enfoque sigue siendo eficaz a medida que los ciberdelincuentes cambian de herramienta y modifican el código para eludir las firmas.
• Proporciona un lenguaje común para los equipos: los analistas de seguridad, los responsables de la respuesta a incidentes, los equipos de inteligencia sobre amenazas y los equipos rojos utilizan terminología coherente al hablar de las amenazas. Este vocabulario compartido elimina la confusión y acelera la colaboración.
• Permite mejoras estratégicas en la seguridad: las organizaciones toman decisiones basadas en datos sobre inversiones en defensa. Relacionar la cobertura con el marco MITRE ATT&CK revela qué brechas son las más importantes en función del comportamiento real de los adversarios.
• Ayuda a priorizar recursos: los equipos de seguridad centran sus esfuerzos en las técnicas que utilizan con mayor frecuencia los adversarios en su entorno de amenazas. Este enfoque específico maximiza el valor defensivo a partir de recursos limitados.
• Ajusta las defensas con el comportamiento del adversario: las defensas abordan los métodos que los adversarios emplean en realidad en lugar de vectores de ataque teóricos. Este enfoque práctico mejora la precisión de la detección y reduce los falsos positivos por actividades inusuales pero benignas.

Estrategias de mitigación y defensa

Además de ayudar a los equipos de seguridad a comprender el comportamiento del adversario, MITRE ATT&CK también conecta muchas técnicas con estrategias específicas de mitigación que reducen la probabilidad de que esas técnicas tengan éxito. Dichas estrategias de mitigación proporcionan a los equipos de seguridad orientación práctica que pueden incluir en el modelado de amenazas, los planes de refuerzo y las revisiones de control.

Las organizaciones pueden integrarlas en sus labores de modelado de amenazas y refuerzo del sistema. Por ejemplo, para evitar técnicas que hacen un uso indebido de PowerShell, el marco sugiere restringir las políticas de ejecución de scripts, lo que permite un registro y monitorización mejorados de contenido sospechoso de scripts. Las técnicas vinculadas al movimiento lateral pueden abordarse mediante controles de autenticación más estrictos, segmentación y restricciones más estrictas en los protocolos administrativos.

Estas mitigaciones refuerzan una estrategia de seguridad en capas. Los controles preventivos reducen la probabilidad de que una técnica tenga éxito. Los controles defensivos identifican si un adversario intenta aplicar una técnica a pesar de esas barreras. Las capacidades de respuesta ofrecen a los equipos una ruta clara para contener la actividad una vez identificada. MITRE ATT&CK ayuda a los equipos a conectar estas capas con comportamientos concretos de los adversarios e integrarlos en una posición defensiva más resiliente.

Consideraciones y limitaciones del marco

MITRE ATT&CK es un marco muy valioso, pero tiene límites que las organizaciones deberían conocer antes de desarrollar una estrategia en torno a él:

• No prescribe herramientas ni proveedores. El marco describe el comportamiento del adversario a nivel técnico, pero no prescribe qué herramientas o tecnologías deben implementar los equipos para detectar o mitigar ese comportamiento. Cada organización debe determinar los controles, las plataformas y las fuentes de datos que se ajustan a su entorno.
• La implementación requiere una telemetría madura. El uso eficaz del marco también depende de una base sólida de telemetría. Las organizaciones sin capacidades integrales de registro, visibilidad de endpoints o monitorización en la nube se enfrentan a unos costes más elevados al trabajar para obtener la cobertura de datos necesaria para una detección en sintonía con MITRE ATT&CK. Establecer esta visibilidad suele requerir inversiones en plataformas de EDR o XDR, una gestión centralizada de logs y capacidades de correlación.

La clasificación del comportamiento es compleja.
El mapeo preciso del comportamiento introduce una mayor complejidad. Los analistas deben determinar qué acciones corresponden a técnicas específicas y cómo encajan esas acciones dentro de una secuencia global de intrusión. Este trabajo requiere personal experimentado que pueda interpretar la actividad en los sistemas y distinguir el comportamiento administrativo legítimo de la ejecución de técnicas maliciosas.

Conclusión

El marco MITRE ATT&CK desempeña un papel central en la ciberseguridad moderna. Proporciona un método estructurado para comprender el comportamiento del adversario, identificar brechas en las defensas y orientar la mejora en la detección, la respuesta y el refuerzo del sistema.

Las organizaciones obtienen más valor de la adopción de MITRE ATT&CK cuando lo hacen por fases. Empezar con labores de mapeo específicas ayuda a los equipos a entender cuáles son los riesgos de mayor prioridad. A medida que desarrollan la telemetría y amplían la cobertura, MITRE ATT&CK se convierte en una parte integral del Threat Hunting, la ingeniería de detección y la estrategia operativa.

Al ajustar las defensas al comportamiento real del adversario, las organizaciones pueden mejorar su capacidad para detectar amenazas, responder con eficacia y mejorar continuamente la madurez de su seguridad.

Como socio investigador del Centro MITRE para una defensa con información de amenazas, CrowdStrike contribuye en proyectos que impulsan la defensa fundamentada por las amenazas a nivel global.