¿Qué es la threat intelligence?
El NIST la define como información sobre amenazas que se ha agregado, transformado, analizado, interpretado o enriquecido para dar el contexto necesario en la toma de decisiones. La última parte es la que importa: una lista de IPs maliciosas es un dato; saber que esas IPs pertenecen a una campaña de ransomware contra empresas de tu sector, y qué hacer con ello, es inteligencia.
Por eso se clasifica según quién toma la decisión y en qué plazo. Un modelo muy citado distingue cuatro tipos y procede de un informe de 2015 de MWR InfoSecurity, elaborado con el apoyo del CPNI y el CERT-UK británicos.
¿Cuáles son los 4 tipos de inteligencia de amenazas?
| Tipo | Para quién | Qué pregunta responde | Ejemplos | Vida útil |
|---|---|---|---|---|
| Estratégica | Dirección, comité de riesgos, CISO | ¿Qué amenazas pueden afectar al negocio y dónde invertimos? | Tendencias de ransomware en tu sector, riesgos de abrir mercado en otro país | Meses o años |
| Operativa | Responsable de seguridad, respuesta a incidentes | ¿Qué ataque concreto se prepara contra nosotros? | Accesos a tu red en venta en un foro, una campaña de phishing que suplanta a tu empresa | Días o semanas |
| Táctica | Ingeniería de detección, threat hunting, arquitectura | ¿Cómo operan los atacantes? | Técnicas MITRE ATT&CK de un grupo, la cadena de infección de un infostealer | Meses |
| Técnica | SOC y herramientas (SIEM, EDR, firewall) | ¿Qué artefacto concreto busco o bloqueo? | IOCs: IPs, dominios, URLs y hashes | Horas o días |
¿Cómo se usa cada tipo de inteligencia?
Inteligencia estratégica
Llega como informes y resúmenes en lenguaje de negocio. Sirve para decidir presupuesto, priorizar proyectos y explicar riesgos al comité de dirección. Su error típico es quedarse en tendencias globales sin relación con tu sector, tu tamaño o tu tecnología.
Inteligencia operativa
Es la más difícil de conseguir, porque exige vigilar dónde se preparan los ataques (foros, mercados y canales de mensajería) y cruzarlo con lo que es tuyo: dominios, marcas, directivos y proveedores. Su valor es el aviso previo: una credencial a la venta hoy puede ser el acceso inicial de la semana que viene.
Inteligencia táctica
Describe las tácticas, técnicas y procedimientos de los atacantes, normalmente con el lenguaje de MITRE ATT&CK. Dura más que los indicadores, porque a un atacante le cuesta más cambiar su forma de trabajar que su infraestructura. Alimenta reglas de detección, hipótesis de threat hunting y decisiones de arquitectura.
Inteligencia técnica
Son indicadores de compromiso pensados para máquinas: IPs, dominios, URLs y hashes que se cargan en el SIEM, el EDR o el firewall. Es la más fácil de automatizar y la que antes caduca. Sin fecha, contexto y nivel de confianza, genera más falsos positivos que detecciones.
¿Qué es el ciclo de inteligencia?
Es el proceso que convierte datos en bruto en inteligencia útil. La versión clásica tiene seis fases; Google, por ejemplo, describe cinco y no trata la difusión como una fase aparte.
- Planificación y dirección: define qué necesitas saber con preguntas concretas, llamadas requisitos de inteligencia. Por ejemplo: «¿qué grupos de ransomware atacan a empresas de logística en Europa y cómo entran?».
- Recolección: reúne datos de las fuentes que pueden responder a esas preguntas.
- Procesamiento: normaliza, deduplica, traduce y estructura la información, por ejemplo en formato STIX.
- Análisis y producción: extrae conclusiones, valora la relevancia para tu organización y propone acciones.
- Difusión: entrega cada producto a su audiencia en el formato que necesita. Indicadores a las herramientas, TTP al equipo de detección y resúmenes a dirección.
- Retroalimentación: comprueba si la inteligencia sirvió y ajusta los requisitos del siguiente ciclo.
Si te saltas la primera fase, el programa acumula feeds y nadie sabe qué pregunta responden.
¿De qué fuentes se obtiene la threat intelligence?
| Fuente | Qué aporta | Limitaciones |
|---|---|---|
| OSINT (fuentes abiertas) | Informes de fabricantes, avisos de INCIBE-CERT y CISA, investigadores, registros de dominios y certificados | Mucho ruido y duplicados; requiere filtrar y contrastar |
| Comunidades de intercambio | Indicadores y análisis compartidos por empresas del mismo sector, a menudo con plataformas como MISP | Calidad irregular; se espera reciprocidad |
| Dark web, foros y mensajería | Credenciales filtradas, accesos en venta y menciones de tu empresa | Acceso difícil y con riesgo; necesita especialistas y entornos aislados |
| Telemetría propia | Lo que ya ha pasado en tus sistemas: alertas, incidentes y hallazgos de hunting | Solo ves lo que registras |
| Proveedores comerciales | Seguimiento de actores y campañas, datos curados e integrables con tus herramientas | Coste y solapamiento entre proveedores |
¿Qué hace útil la threat intelligence para una empresa?
- Relevancia: habla de tu sector, tu tecnología, tu geografía y tus proveedores.
- Oportunidad: llega antes de que el dato pierda valor. Un IOC de hace seis meses rara vez sirve para bloquear.
- Acción: termina en una decisión concreta, como bloquear, buscar, parchear o avisar a alguien.
- Contexto y confianza: indica fuente, fecha y nivel de confianza, para decidir si se aplica de forma automática o pasa por revisión.
- Integración: llega sola a las herramientas (SIEM, EDR, firewall, ticketing) en lugar de quedarse en un PDF.
- Medición: puedes contar qué detecciones, bloqueos o decisiones ha originado.
Una señal de alarma frecuente: millones de indicadores cargados sin caducidad y ninguna detección que se les pueda atribuir.
Cómo te ayuda Ciberia Intel
Ciberia Intel reúne inteligencia de amenazas propia y de terceros sobre actores, campañas, familias de malware, vulnerabilidades, IOCs e informes, además de credenciales robadas por infostealers y actividad en dark web y foros, y la cruza con lo que ocurre en tu organización. La procesa una IA de arquitectura y desarrollo propios en servidores ubicados en España. Esa inteligencia da contexto a las alertas que investiga Ciberia MDR, prioriza las campañas de Threat Hunting y respalda los avisos de exposición de Ciberia CTM.
