Durante años, cada equipo describía los ataques con sus propias palabras: lo que para uno era “movimiento lateral”, para otro era “pivoting”. MITRE ATT&CK acabó con esa torre de Babel: es una base de conocimiento abierta de tácticas y técnicas adversarias, construida a partir de observaciones de ataques reales. Hoy es el lenguaje común de la ciberseguridad —ofensiva y defensiva—. Esta guía explica qué es, cómo se estructura y para qué sirve.
La idea en una frase. ATT&CK (Adversarial Tactics, Techniques & Common Knowledge) es un mapa del "cómo" de los ataques: no lista vulnerabilidades, sino los comportamientos que usan los adversarios una vez en marcha. Es gratuito, mantenido por MITRE y actualizado con TTPs observadas en el mundo real.
1. Los bloques: tácticas, técnicas y procedimientos (TTP)
| Nivel | Responde | Ejemplo |
|---|---|---|
| Táctica | ¿Por qué? El objetivo del adversario | Persistencia, Escalada de privilegios, Exfiltración |
| Técnica | ¿Cómo logra ese objetivo? | Phishing (T1566), Exfiltración por DNS (T1048) |
| Sub-técnica | Una variante más específica | Spearphishing Attachment (T1566.001) |
| Procedimiento | La implementación concreta de un actor | “APT29 usó X herramienta para…” |
Las tácticas son las columnas de la matriz (las fases de un ataque); las técnicas, las celdas. Cada técnica tiene un ID (Txxxx), descripción, detecciones y mitigaciones sugeridas.
2. La matriz y sus dominios
ATT&CK se organiza en matrices por entorno:
- Enterprise — Windows, Linux, macOS, nube, contenedores, redes. La más usada.
- Mobile — Android e iOS.
- ICS — sistemas de control industrial.
Las tácticas de Enterprise van, grosso modo, de Reconnaissance e Initial Access hasta Exfiltration e Impact — el recorrido de un ataque, alineado con la idea de kill chain.
3. Para qué sirve (casos de uso)
| Rol | Uso de ATT&CK |
|---|---|
| Blue Team / SOC | Mapear detecciones y medir cobertura (¿qué técnicas detecto?) |
| Red Team | Planificar y documentar ejercicios con un lenguaje estándar |
| Purple Team | El mapa compartido para emular y validar detección |
| CTI | Describir y comparar actores por sus TTPs |
| Gestión de riesgo | Priorizar controles según las técnicas más relevantes |
4. Herramientas del ecosistema
- ATT&CK Navigator: visualizar y colorear la matriz (p. ej. tu cobertura de detección).
- CAR y detecciones: analíticas asociadas a técnicas.
- Emulación de adversario: Atomic Red Team y Caldera ejecutan técnicas por su ID.
- Sigma: reglas de detección que se mapean a técnicas ATT&CK.
5. ATT&CK no está solo: la familia MITRE
- ATT&CK — el “cómo” de los ataques (comportamiento).
- ATLAS — el equivalente para ataques a sistemas de IA.
- D3FEND — contramedidas defensivas, complementarias a ATT&CK.
- CAPEC / CWE / CVE — patrones de ataque, debilidades y vulnerabilidades concretas (el “qué”).
6. Cómo empezar a usarlo
- Elige amenazas relevantes para tu sector (CTI) y sus técnicas.
- Mapea tu detección actual en el Navigator: pinta lo que cubres.
- Encuentra las brechas (técnicas sin detección) y priorízalas por riesgo.
- Emula esas técnicas (Atomic/Caldera) y crea detecciones (Sigma) — esto es purple team.
- Repite: ATT&CK es un ciclo de mejora, no un póster en la pared.
El error a evitar. "Cobertura 100% de ATT&CK" no es una meta realista ni útil: no todas las técnicas aplican a tu entorno y algunas son casi indetectables. Prioriza por las que usan los adversarios que te apuntan, no por llenar la matriz.
7. Por qué es el sistema de coordenadas de la disciplina
ATT&CK es el hilo que cose la parte ofensiva y la defensiva: el red team ejecuta técnicas, el blue team las detecta, el purple mide la cobertura, la respuesta a incidentes clasifica lo visto, y la OT y la IA tienen sus propias matrices (ICS y ATLAS). Por eso es el sistema de coordenadas común de la disciplina.
8. Conclusión
MITRE ATT&CK transformó la ciberseguridad al darle un lenguaje común para describir cómo atacan los adversarios. No reemplaza al criterio ni a las herramientas: las organiza, permite medir cobertura y priorizar con sentido. Empezar por las amenazas que importan, mapear, encontrar brechas y mejorar en ciclos. Es, probablemente, el recurso gratuito de mayor impacto en la defensa moderna.
Fuentes
- Oficial — MITRE ATT&CK · ATT&CK Navigator · MITRE D3FEND
- Familia — MITRE ATLAS (IA) · CAPEC
- Emulación/detección — Atomic Red Team · Caldera · Sigma