¿Qué es un indicador de compromiso (IOC)?
El NIST define los indicadores de compromiso como artefactos técnicos u observables que sugieren que un ataque es inminente, que está en curso o que puede haberse producido ya un compromiso. En la práctica, un IOC es algo concreto que puedes buscar en tus logs: el hash de un ejecutable malicioso, la IP de un servidor de mando y control (C2) o un dominio de phishing.
Los IOCs salen de tres fuentes principales: tus propias investigaciones, la inteligencia de amenazas (comercial, de comunidades de intercambio o de organismos públicos) y los informes que publican fabricantes e investigadores sobre campañas concretas.
¿Qué tipos de IOC existen?
| Tipo | Ejemplos | Dónde lo buscas |
|---|---|---|
| Hash de fichero | MD5, SHA-1 o SHA-256 de un ejecutable, un documento o un script | EDR, antivirus, pasarela de correo, sandbox |
| Dirección IP | IP de un servidor C2, de un escaneo o de un origen de fuerza bruta | Firewall, proxy, logs de VPN e identidad, NDR |
| Dominio | Dominio de phishing, de descarga de malware o generado por algoritmo (DGA) | DNS, proxy, correo |
| URL | Ruta concreta de descarga o de una página de robo de credenciales | Proxy, pasarela de correo, navegador |
| Correo | Remitente, dominio de envío, asunto o nombre de adjunto de una campaña | Pasarela y buzones de correo |
| Artefactos de host | Claves de registro, tareas programadas, servicios, mutex, rutas y nombres de fichero | EDR, logs del sistema |
| Artefactos de red | User-agent anómalo, huella TLS (JA3 o JA4), patrón de URI de un C2 | Proxy, NDR, firewall |
| Cuentas y credenciales | Cuentas creadas por el atacante, credenciales filtradas por infostealers | Directorio, logs de identidad, inteligencia de dark web |
¿Qué diferencia hay entre IOC e IOA?
Un IOC describe un artefacto concreto que deja un ataque, normalmente ya conocido. Un IOA (indicador de ataque) describe un comportamiento: una secuencia de acciones que delata la intención del atacante, sea cual sea la herramienta que use.
| Aspecto | IOC | IOA |
|---|---|---|
| Qué describe | Un artefacto: hash, IP, dominio, clave de registro | Un comportamiento: qué se ejecuta, en qué orden y con qué fin |
| Ejemplo | El SHA-256 de un cargador de ransomware concreto | Un documento de Office que lanza PowerShell con un comando codificado y después descarga un fichero |
| Qué detecta | Amenazas conocidas y ya documentadas | Variantes nuevas de técnicas conocidas, aunque cambien las herramientas |
| Vida útil | Corta, sobre todo en IPs y dominios | Larga: cambiar de técnica le cuesta más al atacante |
| Riesgo | Falsos negativos cuando el atacante cambia el artefacto | Más falsos positivos si la regla es demasiado amplia |
Los dos se complementan. Los IOCs son rápidos de aplicar y aportan una señal de alta confianza cuando coinciden con una fuente fiable y reciente; los IOAs, que se suelen mapear a técnicas de MITRE ATT&CK, cubren lo que todavía no tiene IOC.
¿Qué es la pirámide del dolor?
La pirámide del dolor (Pyramid of Pain) la propuso David J. Bianco en 2013 (en 2014 añadió el nivel de los hashes) para ordenar los indicadores según cuánto le cuesta al atacante sustituirlos cuando los detectas y bloqueas. De la base a la cima:
- Valores hash: triviales de cambiar. Basta con modificar un byte del fichero para obtener un hash distinto.
- Direcciones IP: el atacante las cambia con muy poco esfuerzo, por ejemplo con otro servidor en la nube o un proxy.
- Nombres de dominio: algo más costosos, porque hay que registrarlos, pagarlos y alojarlos.
- Artefactos de red y de host: patrones en el tráfico o huellas en el sistema. Detectarlos obliga al atacante a reconfigurar o recompilar sus herramientas.
- Herramientas: si detectas la herramienta y no una versión concreta, el atacante tiene que buscar o desarrollar otra.
- TTP (tácticas, técnicas y procedimientos): detectar cómo opera le obliga a cambiar su forma de trabajar, lo más costoso de todo.
La lectura práctica: los IOCs de la base son útiles y baratos de aplicar, pero un programa de detección que se quede ahí solo frena a los atacantes menos preparados. Cuanto más arriba detectas, más caro le sale el ataque al adversario.
¿Cómo se usan los IOCs en detección y threat hunting?
- Detección en tiempo real: cargas los IOCs en el EDR, el firewall, el proxy o el SIEM para que generen una alerta o un bloqueo cuando aparezcan.
- Búsqueda retrospectiva: cuando se publica un IOC nuevo, buscas en el histórico si ya estuvo en tu entorno antes de conocerse. Aquí importa cuánto tiempo conservas los logs.
- Enriquecimiento de alertas: si una alerta contiene una IP o un hash que coincide con inteligencia de amenazas, sube de prioridad y gana contexto (actor, campaña, familia de malware).
- Punto de partida para el hunting: un IOC de una campaña te lleva a la técnica que usa; desde ahí formulas una hipótesis y buscas el comportamiento además del artefacto.
- Alcance de un incidente: los IOCs extraídos de un equipo comprometido sirven para encontrar otros equipos afectados.
Para intercambiarlos de forma automática se usan estándares como STIX (para describirlos) y TAXII (para transportarlos), y plataformas como MISP. En Estados Unidos, por ejemplo, CISA ofrece el servicio Automated Indicator Sharing (AIS), al que se conecta un cliente TAXII para recibir y compartir indicadores en formato STIX.
¿Caducan los IOCs?
Sí, y olvidarlo es uno de los errores más comunes. Una IP que hoy es un servidor C2 puede alojar un servicio legítimo la semana que viene, sobre todo en proveedores cloud y hosting compartido. Un dominio puede pasar a manos de investigadores (sinkhole) o caducar y acabar registrado por otra persona. Bloquear indicadores antiguos genera falsos positivos y, en el peor caso, corta servicios legítimos.
- Guarda la fecha de última observación de cada IOC, además de la fecha de alta.
- Define una caducidad por tipo: las IPs pierden valor antes, los dominios duran algo más y los hashes no cambian, aunque dejan de servir cuando el atacante recompila.
- Asigna un nivel de confianza según la fuente y redúcelo con el tiempo. Plataformas como MISP incluyen modelos de decaimiento para automatizarlo.
- Revisa antes de bloquear IPs de CDNs, proveedores cloud o servicios compartidos: una sola IP puede servir miles de sitios legítimos.
- Lleva la cuenta de falsos positivos por indicador y retira los que solo generan ruido.
Cómo te ayuda Ciberia
Ciberia Intel reúne inteligencia de amenazas propia y de terceros (actores, campañas, familias de malware, vulnerabilidades, IOCs e informes, además de credenciales robadas por infostealers y actividad en dark web y foros). El Threat Hunting de Ciberia parte de hipótesis basadas en MITRE ATT&CK, hace búsquedas retrospectivas de persistencia y movimiento lateral, y sus hallazgos se convierten en nuevas reglas de detección. Así la detección avanza hacia los comportamientos, la parte alta de la pirámide del dolor.
