Desglosando las TTPs
Las TTPs son, en esencia, el manual de los cibercriminales. Así se desglosan:
Tácticas: el objetivo general de un ataque. Por ejemplo, una táctica podría ser el robo de datos o la implementación de ransomware.
Técnicas: los métodos usados para lograr ese objetivo. Una técnica podría ser correos de phishing dirigidos a empleados para obtener credenciales de inicio de sesión.
Procedimientos: los pasos o procesos específicos realizados durante un ataque. Por ejemplo, un actor de amenazas que use un correo de phishing podría redactar un mensaje haciéndose pasar por un proveedor de confianza.
Al analizar las TTPs, los equipos de ciberseguridad pueden predecir futuras acciones de los atacantes, identificar vulnerabilidades y priorizar defensas.
¿Por qué importan las TTPs?
La ciberseguridad consiste en mantenerse un paso adelante de los malos. Las TTPs ofrecen una hoja de ruta de cómo operan los atacantes, lo que permite a los profesionales de seguridad:
Analizar patrones de comportamiento y anticipar movimientos.
Detectar actividad inusual en redes o sistemas.
Enfocarse en defensas proactivas como la caza de amenazas.
Por ejemplo, usando un marco como MITRE ATT&CK, los equipos pueden mapear las TTPs para comprender mejor las estrategias criminales.
Ejemplo del mundo real
En un ataque de ransomware, la táctica es el impacto: negar la disponibilidad de datos y sistemas para presionar a la víctima a pagar. Una técnica común es la explotación de servicios remotos, como abusar del protocolo de escritorio remoto (RDP) para obtener acceso inicial. El procedimiento puede implicar implementar ransomware que cifre archivos del sistema con algoritmos robustos, elimine copias de seguridad y deje una nota de rescate. Detectar señales tempranas de esta cadena, como actividad sospechosa de RDP o cifrado rápido de archivos, puede ayudar a detener el ataque antes de que tenga éxito.
Las TTPs en la inteligencia de amenazas
Estudiar las TTPs no se trata solo de reaccionar a los ataques; se trata de mantenerse preparado. Soluciones como Detección y respuesta para endpoints (EDR) administrada y Gestión de eventos e información de seguridad (SIEM) usan el análisis de TTPs para señalar comportamientos a menudo vinculados a ciberamenazas.
Por ejemplo, un intento de inicio de sesión a las 3 a. m. desde una dirección IP inusual podría estar vinculado a un procedimiento de fuerza bruta alineado con un perfil de TTP conocido. Sabiendo esto, tu equipo puede investigar y detener al atacante antes de que ocurran daños.
