DefiniciónMITRE ATT&CK es una base de conocimiento pública y gratuita, mantenida por MITRE, que cataloga las tácticas y técnicas que usan los adversarios en ataques reales. Sirve como vocabulario común para describir, detectar y probar comportamientos de ataque.
Cómo funciona
ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) organiza el comportamiento del atacante en una matriz. Las columnas son las tácticas, el objetivo del adversario en cada etapa, como acceso inicial, persistencia, movimiento lateral y exfiltración. En cada táctica están las técnicas y subtécnicas, que describen cómo se logra ese objetivo. Cada técnica tiene un identificador, como T1566 para phishing, además de ejemplos de uso, fuentes de datos útiles para detectarla y mitigaciones.
Hay matrices para entornos corporativos (Enterprise, que cubre sistemas operativos, nube y red), dispositivos móviles y sistemas de control industrial (ICS). La base también documenta grupos de amenaza y software malicioso, vinculando cada uno a las técnicas observadas.
Para qué sirve
- Cobertura de detección: mapear las reglas del SOC contra las técnicas muestra qué se ve y dónde están las brechas.
- Threat hunting: las técnicas se convierten en hipótesis de búsqueda.
- Red, Blue y Purple Team: los ejercicios de emulación de adversarios usan ATT&CK como guion y lenguaje común entre ataque y defensa.
- Threat intelligence: los informes de campañas citan técnicas por su identificador, lo que facilita comparar y priorizar.
ATT&CK vs Cyber Kill Chain
La Cyber Kill Chain, de Lockheed Martin, describe las fases de un ataque en una secuencia lineal y de alto nivel. ATT&CK es mucho más granular y no impone un orden: un atacante puede repetir tácticas y saltarse etapas. En la práctica, la Kill Chain ayuda a explicar el ataque a la dirección, y ATT&CK orienta el trabajo técnico de detección y prueba.
Network Secure ofrece SOC 24×7 y MDR, además de ejercicios de Red, Blue y Purple Team.
Preguntas frecuentes
¿MITRE ATT&CK es gratuito?
Sí. La base es pública y puede ser consultada y usada libremente por empresas, proveedores e investigadores. La mantiene MITRE, una organización sin fines de lucro de Estados Unidos.
¿Cuál es la diferencia entre táctica y técnica en ATT&CK?
La táctica es el objetivo del atacante en una etapa, como obtener acceso inicial. La técnica es el medio usado para lograrlo, como enviar un correo de phishing.