Los 20 comportamientos más comunes de los hackers
Cuando se publicó por primera vez la lista de las 20 vulnerabilidades principales de OWASP, revolucionó el enfoque de nuestra industria respecto a la gestión de vulnerabilidades. En lugar de jugar al “golpea al topo” con miles de vulnerabilidades individuales cada vez que se descubría una nueva, abordamos la gestión de vulnerabilidades centrándonos principalmente en estas 20 técnicas principales.
Aunque todavía se considera «avanzada», la detección basada en el comportamiento acaba de empezar a generalizarse. Sin embargo, tal y como confirman continuamente los casos de respuesta a incidentes (IR) que atendemos, su adopción sigue siendo escasa en el 90 % del mercado de las pymes y las empresas medianas. Ya no es en absoluto controvertido afirmar que, para detectar y detener los ataques modernos, las organizaciones necesitan contar con capacidades de monitoreo del comportamiento, especialmente en los puntos finales.
Un problema es que nos han hecho creer que, si adoptamos la detección de comportamientos, tenemos que invertir mucho para maximizar la cobertura de todos los distintos comportamientos de los atacantes. Esto es un error.
Nuestra intención en materia de detección en la mayoría de las organizaciones (es decir, aquellas que no cuentan con un equipo de inteligencia de amenazas a tiempo completo) debería ser dejar de centrarnos en técnicas de ataque individuales y novedosas, y concentrar las defensas en las 20 técnicas ATT&CK más comúnmente observadas, que además son factibles de monitorear. Estas son las que realmente importan y las que capturarán a más delincuentes, con mayor frecuencia.
La siguiente lista se ha elaborado a partir de nuestros propios datos y se ha cotejado con diversos informes forenses sobre ataques observados en los últimos años:
LAS 20 TÉCNICAS MÁS UTILIZADAS POR LOS ATAQUES:
| Rango | Tactic | Id | Técnica |
| 1 | Ejecución | T1059 | Interfaz de línea de comandos / Powershell |
| 2 | Acceso inicial | T1078 | Uso indebido de una cuenta válida |
| 3 | Discovery | T1082 | Detección de información del sistema |
| 4 | Persistencia | T1060 | Claves de ejecución del Registro |
| 5 | Acceso a credenciales | T1003 | Vaciado de credenciales |
| 6 | Movimiento lateral | T1021 | Servicios remotos |
| 7 | Ejecución | T1055 | Inyección de procesos |
| 8 | Persistencia | T1053 | Tareas programadas |
| 9 | Evasión defensiva | T1218 | Ejecución de proxy binario firmado |
| 10 | Persistencia | T1547 | Ejecución de inicio automático al arrancar o iniciar sesión (especialmente modificación de accesos directos) |
| 11 | Ejecución | T1047 | Instrumentación de administración de Windows (WMI) |
| 12 | Evasión de la defensa | T1036 | Suplantación de identidad |
| 13 | Escalada de privilegios | T1574 | Secuestro del flujo de ejecución |
| 14 | Evasión de la defensa | T1027 | Archivos o información ofuscados |
| 15 | Evasión de la defensa | T1497 | Virtualización/Evasión de entornos aislados |
| 16 | Movimiento lateral | T1544 | Copia remota de archivos |
| 17 | Evasión de la defensa | T1089 | Desactivación de herramientas de seguridad |
| 18 | Acceso inicial | T1190 | Aprovechamiento de una aplicación de acceso público |
| 19 | C2 | T1219 | Software de acceso remoto (por ejemplo, RDP) |
| 20 | C2 | T1505 | Webshells |
Cuando se trata de estos comportamientos, que sean comunes no significa que sean básicos o «menos avanzados»; son comunes porque los atacantes exitosos los utilizan para eludir las medidas de protección y prevención tradicionales. Estas son las técnicas que utilizan los atacantes avanzados y están al alcance de los atacantes menos sofisticados a través de marcos como Cobalt Strike.
Por lo tanto, reforzar sus capacidades de detección contra estas 20 técnicas le reportará más beneficios que cualquier otro enfoque, al tiempo que le ahorrará tiempo y dinero al evitar tener que buscar técnicas y comportamientos de «Bluebird» que es muy probable que nunca vea en su red.
¿Es suficiente estar entre los 20 primeros?
¡Sí!
Respondemos a una gran cantidad de ataques y llevamos más de una década dedicándonos a la detección proactiva de amenazas y a la respuesta ante ellas en organizaciones de todos los tamaños. Durante ese tiempo, han sido muy pocos los ataques que no hayan mostrado comportamientos que coincidan con la lista anterior de 20, que podrías estar monitoreando hoy mismo.
Cuando SolarWinds Solarigate, también conocido como SUNBURST, golpeó en diciembre de 2020, todos dijeron que era algo nuevo; y el vector de entrada ciertamente lo era. Sin embargo, al profundizar en el caso, se pudieron observar los mismos 20 comportamientos principales: la nueva vulnerabilidad de la cadena de suministro se utilizó para generar técnicas maliciosas de Powershell (T1059), scripts (T1059), inyecciones de memoria (T1055), movimiento lateral (T1544) y extracción de credenciales (T1003).
Cuando Hafnium atacó los servidores Exchange utilizando los últimos exploits de día cero de Exchange, observamos lo mismo: nuevos vectores de entrada que conducían a muchos de los 20 comportamientos más comunes, como WebShells (T1505) que generaban comandos de PowerShell (T1059) e inyectaban Cobalt Strike en la memoria (T1055).
Todos aquellos que supervisaban de manera efectiva los 20 comportamientos de atacantes más comunes tuvieron la visibilidad necesaria para ver cómo se desarrollaban estos ataques, y mi predicción es que la próxima gran vulnerabilidad también se descubrirá mediante su supervisión.
Conclusión
En definitiva, el enfoque de las «20 principales» reconoce que no todas las técnicas son necesarias para alertar o monitorear con el fin de detectar ataques. La defensa en profundidad sigue funcionando: cada táctica y técnica de la que tienes visibilidad representa una oportunidad de detección en la cadena de ataque, y las «20 principales» son lo suficientemente amplias como para protegerte incluso contra algunos de los atacantes más avanzados. Todos tenemos recursos limitados; no busques la máxima cobertura y concéntrate en el Top 20. Con estas 20, son muy pocos los ataques que podrían pasar desapercibidos.
