¿Qué es MITRE ATT&CK?
MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) es una base de conocimiento sobre el comportamiento de los atacantes, construida sobre todo a partir de informes públicos de inteligencia de amenazas e incidentes. La mantiene MITRE, una organización estadounidense sin ánimo de lucro, que la empezó en 2013 dentro de un proyecto de investigación sobre detección en endpoints. Cualquier persona u organización puede usarla sin coste.
Tiene tres dominios: Enterprise (redes corporativas y cloud), Mobile (Android e iOS) e ICS (sistemas de control industrial). La matriz Enterprise cubre Windows, macOS, Linux, cloud (IaaS, SaaS, Office Suite y proveedores de identidad), dispositivos de red, contenedores y ESXi. Se actualiza dos veces al año y la versión vigente es la 19, publicada en abril de 2026.
¿Qué diferencia hay entre tácticas, técnicas, subtécnicas y procedimientos?
| Concepto | Responde a | Ejemplo |
|---|---|---|
| Táctica | El porqué: el objetivo del atacante en ese momento | Credential Access (TA0006): conseguir credenciales |
| Técnica | El cómo, en general | OS Credential Dumping (T1003): volcar credenciales del sistema |
| Subtécnica | El cómo, en concreto | LSASS Memory (T1003.001): leer la memoria del proceso LSASS de Windows |
| Procedimiento | Cómo lo hizo un actor concreto | Un grupo ejecuta una herramienta como Mimikatz con privilegios de administrador para extraer credenciales de LSASS |
Alrededor de esa estructura, ATT&CK documenta grupos, software y campañas con las técnicas que usan, mitigaciones y, desde la versión 18 (octubre de 2025), estrategias de detección y analíticas para cada técnica. En la versión 19, Enterprise suma 15 tácticas, 222 técnicas y 475 subtécnicas.
¿Cuáles son las 15 tácticas de MITRE ATT&CK Enterprise?
Desde la versión 19, la antigua táctica Defense Evasion se divide en dos: Stealth, que agrupa lo que sirve para ocultarse y parecer actividad normal (conserva el identificador TA0005), y Defense Impairment, que agrupa lo que rompe o desactiva las defensas (TA0112). Muchas guías siguen hablando de 14 tácticas porque son anteriores a ese cambio.
| ID | Táctica | Objetivo del atacante | Técnica de ejemplo |
|---|---|---|---|
| TA0043 | Reconnaissance (reconocimiento) | Reunir información para planificar el ataque | T1595 Active Scanning |
| TA0042 | Resource Development (desarrollo de recursos) | Conseguir infraestructura, cuentas y herramientas | T1583 Acquire Infrastructure |
| TA0001 | Initial Access (acceso inicial) | Entrar en la red | T1566 Phishing, T1190 Exploit Public-Facing Application |
| TA0002 | Execution (ejecución) | Ejecutar código | T1059.001 PowerShell, T1204.004 Malicious Copy and Paste |
| TA0003 | Persistence (persistencia) | Mantener el acceso tras un reinicio o un cambio de contraseña | T1547.001 Registry Run Keys / Startup Folder |
| TA0004 | Privilege Escalation (escalada de privilegios) | Conseguir más permisos | T1068 Exploitation for Privilege Escalation |
| TA0005 | Stealth (sigilo) | Ocultarse y parecer actividad normal | T1027 Obfuscated Files or Information, T1036 Masquerading |
| TA0112 | Defense Impairment (debilitar las defensas) | Romper o desactivar los controles de seguridad | T1685 Disable or Modify Tools |
| TA0006 | Credential Access (acceso a credenciales) | Robar usuarios, contraseñas y sesiones | T1003.001 LSASS Memory, T1555.003 Credentials from Web Browsers |
| TA0007 | Discovery (descubrimiento) | Conocer el entorno por dentro | T1087 Account Discovery |
| TA0008 | Lateral Movement (movimiento lateral) | Saltar a otros equipos | T1021.001 Remote Desktop Protocol |
| TA0009 | Collection (recopilación) | Reunir los datos de interés | T1560 Archive Collected Data |
| TA0011 | Command and Control (mando y control) | Comunicarse con los equipos comprometidos | T1071 Application Layer Protocol |
| TA0010 | Exfiltration (exfiltración) | Sacar los datos | T1567 Exfiltration Over Web Service |
| TA0040 | Impact (impacto) | Cifrar, destruir o interrumpir | T1486 Data Encrypted for Impact, T1490 Inhibit System Recovery |
Las tácticas no son fases ordenadas: MITRE aclara que no siguen un orden y que una intrusión puede no pasar por todas. Es la principal diferencia con la Cyber Kill Chain de Lockheed Martin, que describe fases ordenadas a un nivel más alto.
¿Cómo se usa MITRE ATT&CK en detección?
- Etiqueta cada regla con su técnica o subtécnica. Formatos como Sigma ya incluyen etiquetas ATT&CK, y la mayoría de EDR y SIEM muestran la técnica en cada alerta.
- Usa las estrategias de detección de cada técnica para saber qué telemetría necesitas. Para T1003.001, por ejemplo, hay que registrar qué procesos abren lsass.exe con permisos de lectura de memoria.
- Detecta comportamientos además de herramientas. Para T1490 interesan los comandos que borran las instantáneas de volumen o desactivan la recuperación de Windows (vssadmin, wbadmin, bcdedit), sea cual sea el ransomware que los lance.
- Agrupa alertas por táctica para ver el avance de un ataque: acceso a credenciales seguido de movimiento lateral desde el mismo equipo pesa más que dos alertas sueltas.
¿Cómo se usa MITRE ATT&CK en threat hunting?
- Elige técnicas relevantes: las que usan los grupos que atacan a tu sector, según tu inteligencia de amenazas, o las que tus reglas no cubren.
- Formula una hipótesis. Por ejemplo: «si alguien usa credenciales robadas por un infostealer (T1078, Valid Accounts), veremos inicios de sesión válidos desde proveedores de internet nuevos seguidos de acceso masivo al correo».
- Busca en la telemetría actual y en el histórico.
- Documenta el resultado y, si encuentras un patrón útil, conviértelo en una regla de detección para no tener que buscarlo a mano otra vez.
¿Cómo evaluar la cobertura de detección con ATT&CK?
El ATT&CK Navigator, la herramienta gratuita de MITRE, permite colorear la matriz por capas: qué técnicas tienen telemetría, cuáles tienen regla y cuáles se han probado. Una escala práctica:
| Nivel | Qué significa |
|---|---|
| Sin visibilidad | No registras los datos necesarios para verla |
| Telemetría | Tienes los datos, pero ninguna regla los usa |
| Detección | Hay una regla, pero nadie ha comprobado que salte |
| Detección probada | Se ha emulado la técnica, por ejemplo en un ejercicio de purple team, y la alerta llegó a quien debía |
MITRE da tres consejos para no engañarte con la matriz: no persigas el 100 % de cobertura, porque no todas las técnicas te afectan igual; no marques una técnica en verde por detectar una sola forma de ejecutarla; y no te limites a la matriz, que solo recoge comportamientos ya observados.
¿Qué cambió en la versión 19 y qué tienes que revisar?
Además de la división de Defense Evasion, varias técnicas cambiaron de identificador. Impair Defenses (T1562) y sus subtécnicas T1562.001 y T1562.006 se fusionaron en la nueva técnica Disable or Modify Tools (T1685), y el resto de subtécnicas de T1562 se reemitieron con identificadores nuevos dentro de Defense Impairment. Si tus reglas, informes o paneles de cobertura usan etiquetas de la versión 18 o anteriores, revisa el mapeo: algunas herramientas, como Elastic Security, ya solo permiten mapear reglas a la versión 19.
Cómo te ayuda Ciberia
El Threat Hunting de Ciberia parte de hipótesis basadas en MITRE ATT&CK, hace búsquedas retrospectivas centradas en persistencia y movimiento lateral, y convierte cada hallazgo en una nueva regla de detección. Las campañas de hunting se priorizan con la inteligencia de Ciberia Intel sobre actores, campañas y familias de malware.
