Fundamentos de Caza de Amenazas y Ciberinteligencia (CTI)

[!info] 🎯 Propósito

Resumen práctico sobre Cyber Threat Intelligence (CTI): qué es, por qué importa y cómo usarla para mejorar la detección y la respuesta en un SOC.

❓ ¿Qué es CTI?

⚖️ Principios clave (T.A.A.R.)

• Timely (Oportuna) — entregada cuando aún puede usarse.
• Actionable (Accionable) — debe permitir una acción concreta.
• Accurate (Precisa) — verificada y con nivel de confianza.
• Relevant (Relevante) — aplicable al entorno de la organización.

🧩 Tipos de inteligencia

• Estratégica 🏛️ — para dirección (Quién y por qué).
• Operacional ⚙️ — para managers (Cómo y dónde).
• Táctica 🛠️ — para analistas SOC (IPs, hashes, dominios).

🧭 Proceso para explotar un reporte táctico (ej.: campaña Emotet)

1. Comprender el contexto y alcance.
2. Extraer y clasificar IOCs (IP, dominio, hash, URLs, correos).
3. Validar IOCs (VirusTotal, OTX, WHOIS).
4. Mapear TTPs a MITRE ATT&CK.
5. Implementar defensas (bloqueos, reglas SIEM, firmas IDS).
6. Realizar búsquedas proactivas (hunting).
7. Monitorizar y ajustar.

🔗 CTI ↔ Threat Hunting

🧾 Cómo validar IOCs (paso rápido)

• Revisar fecha y reputación.
• Correlacionar con logs internos (SIEM, EDR).
• Consultar fuentes: VirusTotal, OTX, MISP, WHOIS.
• Marcar el nivel de confianza.

🔎 Priorizar y aplicar IOCs

🧠 Buenas prácticas

• Mantén feeds actualizados (VT, OTX, MISP).
• Usa niveles de confianza para IOCs.
• Integra CTI en playbooks de IR.
• Comparte IOCs validados con ISAC/partners (si procede).

🧭 Glosario esencial (rápido)

• IOC: Indicador de Compromiso (hash, IP, dominio).
• TTPs: Tácticas, Técnicas y Procedimientos (mapear en MITRE).
• Pyramid of Pain: indica qué IOCs afectan más al adversario (TTPs arriba).
• Diamond Model: Adversario ↔ Capacidad ↔ Infraestructura ↔ Víctima.

🧾 Plantilla rápida: validar un IOC (para copiar en un ticket)