¿Qué señales aporta la threat intelligence a la detección?
El EDR, el SIEM o la pasarela de correo te dicen qué pasa dentro de tu entorno. La inteligencia de amenazas responde a lo que esas herramientas no saben: quién está detrás, si un artefacto ya se ha visto en otros ataques y qué suele venir después. Las fuentes no son intercambiables, porque cada tipo aporta una señal distinta:
| Tipo de fuente | Ejemplos | Señal que aporta |
|---|---|---|
| Reputación y análisis de artefactos | VirusTotal, AbuseIPDB, URLhaus, MalwareBazaar, urlscan.io | Veredictos de motores y sandboxes, primera y última vez visto, relaciones entre ficheros, dominios e IPs |
| Ruido de internet | GreyNoise | Si una IP es un escáner masivo que toca todo internet o actividad dirigida |
| Actores, campañas y vulnerabilidades | Recorded Future, Google Threat Intelligence, Mandiant, CrowdStrike Intel | Atribución, tácticas y técnicas, informes y vulnerabilidades con explotación activa |
| Cibercrimen, credenciales e infostealers | KELA, SpyCloud, Intel 471, Flashpoint, Hudson Rock | Credenciales y cookies robadas, accesos en venta y menciones de tu organización en foros |
| Plataformas de gestión e intercambio (TIP) | MISP, OpenCTI, ThreatConnect, Anomali ThreatStream, feeds TAXII | Indicadores agregados, deduplicados y compartidos en formato STIX |
| Infraestructura y DNS pasivo | DomainTools, SecurityTrails, Silent Push | Historial de dominios y resoluciones para pasar de un indicador a toda la infraestructura del atacante |
¿Qué detecta Ciberia con esta inteligencia?
- Reputación de IOCs en cada alerta: las IPs, dominios, URLs y hashes que aparecen en alertas del EDR, el SIEM, el firewall o el correo se contrastan con las fuentes conectadas y con Ciberia Intel.
- Atribución: si el indicador o la técnica coinciden con una campaña, una familia de malware o un actor conocidos, la alerta llega con ese contexto y su prioridad se ajusta.
- Ruido conocido: una IP catalogada como escáner masivo no merece el mismo tratamiento que una conexión a un servidor de mando y control activo, y el triaje lo tiene en cuenta.
- Búsqueda retrospectiva: con el Threat Hunting de Ciberia se puede comprobar en el histórico si un indicador recién publicado ya estuvo en tu entorno antes de conocerse.
- Credenciales e infostealers: la inteligencia sobre credenciales filtradas alimenta los avisos de exposición de Ciberia CTM, con contexto y acción recomendada.
¿Qué acciones de respuesta se orquestan con esta inteligencia?
Las fuentes de inteligencia se consultan; las acciones se ejecutan en las herramientas que protegen tu entorno, según lo que permita cada una:
- Bloquear un dominio, una IP o un hash en el firewall, el proxy, la pasarela de correo o el EDR.
- Añadir indicadores a listas de vigilancia del SIEM para detectar nuevas apariciones.
- Forzar el cambio de contraseña y revocar sesiones cuando aparece una credencial válida filtrada.
- Registrar avistamientos o indicadores nuevos en tu plataforma de inteligencia, por ejemplo MISP, si la usas para compartir con tu sector.
- Abrir o actualizar el ticket del caso con el contexto de la inteligencia.
Todo sigue el flujo de Ciberia: alerta, contexto, decisión (la IA propone y un analista valida lo que tiene impacto) y acción orquestada. Cada acción automática queda trazada: quién, cuándo, con qué criterio y sobre qué dato.
¿En qué se diferencia de las demás integraciones?
El resto de integraciones aportan telemetría y capacidad de respuesta dentro de tu entorno: el EDR ve procesos, la identidad ve inicios de sesión y el correo ve mensajes. La inteligencia de amenazas aporta contexto externo y no ve lo que pasa en tu red. Por sí sola no detecta nada, porque necesita algo con lo que cruzarse, y sin ella cada alerta llega sin saber si el artefacto es conocido. Por eso es la integración que más se consulta durante el triaje y la que menos acciones ejecuta directamente.
¿Cómo se combina con Ciberia Intel?
Ciberia Intel reúne inteligencia propia y de terceros sobre actores, campañas, familias de malware, vulnerabilidades, IOCs, informes, credenciales e infostealers, dark web y foros. Si tu empresa ya tiene contratadas fuentes como Recorded Future, KELA o SpyCloud, Ciberia las integra y suma su contexto al de Ciberia Intel. Ciberia analiza esa información con una IA de arquitectura y desarrollo propios, en servidores ubicados en España y sin recurrir a LLM de terceros.
