1. Introducción

Threat Intelligence con MITRE ATT&CK se ha convertido en la combinación favorita de los equipos de defensa que quieren dejar de perseguir alertas al azar. La inteligencia de amenazas aporta los datos (indicadores, campañas, tácticas de los adversarios) y MITRE ATT&CK aporta el lenguaje común para estructurarlos. Trabajar la Threat Intelligence con MITRE ATT&CK significa aplicar información real sobre adversarios a un marco de referencia que todos los profesionales de seguridad entienden, desde el analista del SOC hasta el responsable de arquitectura.

En este artículo verás el flujo de trabajo completo: cómo recoger inteligencia mediante STIX y TAXII, cómo mapear técnicas contra el marco MITRE ATT&CK, cómo traducir ese mapeo en reglas de detección y cómo priorizar alertas con un sistema de puntuación objetivo. Al final tendrás una metodología reproducible para introducir la Threat Intelligence con MITRE ATT&CK en tu organización, aunque dispongas de un equipo pequeño.

2. Threat Intelligence con MITRE ATT&CK: qué es y para qué sirve

La inteligencia de amenazas es el proceso de recopilar, procesar y analizar información sobre actores maliciosos para tomar decisiones de seguridad con conocimiento de causa. La Threat Intelligence con MITRE ATT&CK ordena esa información en tácticas (el objetivo del adversario: acceso inicial, persistencia, exfiltración), técnicas (cómo lo consigue) y procedimientos (el detalle concreto de una campaña).

¿Por qué MITRE ATT&CK y no un simple listado de indicadores? Porque los indicadores se deterioran con rapidez: una IP o un hash cambian en cuestión de horas. Las técnicas, en cambio, son relativamente estables: el adversario que usó phishing con adjunto para entrar en tu empresa probablemente volverá a intentarlo con una variante distinta. Por eso la Threat Intelligence con MITRE ATT&CK se centra en el comportamiento, y no solo en la firma del ataque. En ese sentido, la Threat Intelligence con MITRE ATT&CK prioriza el comportamiento del adversario frente a los artefactos puntuales, porque es lo único que te permite anticiparte a variantes que aún no existen.

El valor práctico es inmediato: los reportes de los grupos de amenazas (los llamados threat reports) se publican con atribuciones a técnicas de ATT&CK, de modo que puedes comparar el perfil del atacante con tus propias detecciones y descubrir huecos. Si un grupo activo contra tu sector usa la técnica T1059.001 (PowerShell) y tú no monitorizas ejecución de scripts, ya sabes por dónde empezar a invertir.

3. El marco MITRE ATT&CK: tácticas, técnicas y grupos

MITRE ATT&CK es una base de conocimiento abierta y mantenida por la comunidad que cataloga el comportamiento adversario en matrices por plataforma: Enterprise, Mobile e ICS. Cada entrada relaciona una táctica, una técnica y sus sub-técnicas con la información que los analistas necesitan para detectarla. Es el diccionario común que convierte la Threat Intelligence con MITRE ATT&CK en un proceso ordenado en lugar de un aluvión de feeds. Sin ese diccionario, cada equipo aplicaría la Threat Intelligence con MITRE ATT&CK a su manera, y la coordinación entre silos de seguridad sería imposible en la práctica.

3.1 Los niveles de la matriz para la Threat Intelligence con MITRE ATT&CK

Para trabajar bien la Threat Intelligence con MITRE ATT&CK hay que entender sus tres niveles de abstracción. La táctica responde al «por qué» del atacante (por ejemplo, Defense Evasion). La técnica responde al «cómo» (T1078, Valid Accounts), y el procedimiento es la secuencia concreta observada en una campaña real. Cuando un informe de incidente dice T1059.001, está describiendo la técnica PowerShell dentro de la táctica de ejecución.

Los grupos también tienen su lugar: ATT&CK mantiene perfiles de los actores más activos con las técnicas que emplean con mayor frecuencia. Esto permite responder a una pregunta clave en cualquier programa de Threat Intelligence con MITRE ATT&CK: ¿qué probabilidad hay de que un atacante específico nos golpee, y con qué vector lo hará? La respuesta se traduce directamente en prioridades de detección.

4. Flujo de trabajo práctico: STIX, TAXII y fuentes de inteligencia

La Threat Intelligence con MITRE ATT&CK necesita datos y protocolos estándar para moverlos. STIX 2.1 es el lenguaje de representación de inteligencia de amenazas basado en JSON, y TAXII 2.1 es el protocolo de transporte que permite suscribirse a colecciones de inteligencia de forma automática. Esta es la arquitectura que la industria utiliza para intercambiar Threat Intelligence con MITRE ATT&CK sin reinventar la rueda en cada integración.

La librería stix2 es el puente oficial entre el ecosistema STIX/TAXII y tu propio código, y funciona igual de bien en un notebook de análisis que en un worker de producción con ejecución programada. Con la librería oficial de Python puedes conectarte a una colección TAXII y consultar indicadores de forma sencilla:

from stix2 import TAXIICollectionSource, Filter
from taxii2client import Collection

collection = Collection(
    "https://taxii.cti.example.com/collections/malware"
)
source = TAXIICollectionSource(collection)

indicators = source.query(
    [Filter("type", "=", "indicator")]
)
for ind in indicators[:10]:
    print(ind.pattern, ind.valid_from)

Fig. 1 – Consumo de indicadores STIX desde una colección TAXII con Python.

Lo que recibes es un bundle STIX como este, con patrones de detección en lenguaje formal que tu SIEM o tu motor de reglas pueden consumir después de convertirlos:

{
  "type": "bundle",
  "id": "bundle--1a2b3c4d-5e6f-7a8b-9c0d-1e2f3a4b5c6d",
  "objects": [
    {
      "type": "indicator",
      "id": "indicator--0a1b2c3d-4e5f-6a7b-8c9d-0a1b2c3d4e5f",
      "pattern": "[url:value = 'http://malware.example.com/payload']",
      "valid_from": "2026-08-01T00:00:00Z"
    }
  ]
}

Fig. 2 – Bundle STIX con un indicador de tipo URL.

Además de las fuentes comerciales, MISP es el estándar comunitario para compartir inteligencia entre organizaciones y su integración con ATT&CK está muy trabajada. A la hora de montar tu flujo de Threat Intelligence con MITRE ATT&CK, lo importante no es la cantidad de feeds, sino su fiabilidad: cinco fuentes curadas valen más que cincuenta feeds automáticos sin validar. La documentación de los estándares STIX y TAXII de OASIS y la referencia de MISP Project son el punto de partida ideal.

5. De la inteligencia a las detecciones: el mapeo ATT&CK

El paso donde la mayoría de los programas de Threat Intelligence con MITRE ATT&CK fracasan es el mapeo: conocer técnicas no sirve de nada si no sabes qué reglas de detección las cubren y cuáles quedan huérfanas. Construir la tabla de cobertura es el trabajo más valioso de un programa de Threat Intelligence con MITRE ATT&CK, porque obliga a hablar con los dueños de cada herramienta y a documentar huecos que antes estaban implícitos. Mi metodología consiste en construir una tabla de cobertura por cada técnica relevante, como la siguiente, y revisarla con los responsables de las herramientas de detección:

Tabla 1. Mapeo de técnicas ATT&CK a fuentes de detección para Threat Intelligence con MITRE ATT&CK

Técnica	Táctica	Fuente de detección	Prioridad
T1566.001 Spearphishing Attachment	Initial Access	Pasarela de correo, YARA, sandbox	Alta
T1059.001 PowerShell	Execution	Windows Event 4104, Sigma	Alta
T1110 Brute Force	Credential Access	Event 4625, correlación de fallos	Media
T1482 Domain Trust Discovery	Discovery	Eventos LDAP, anomalías de consultas	Media
T1021.001 Remote Desktop	Lateral Movement	Anomalías RDP, autenticación	Alta
T1041 Exfiltration Over C2	Exfiltration	Netflow, DNS, proxy	Alta

La tabla de cobertura se alimenta de los informes de grupos y de los avisos emitidos por organizaciones sectoriales. Cuando llega un aviso de una campaña activa dirigida al sector retail, por ejemplo, buscas las técnicas del informe en tu tabla: las que ya tienen reglas las marcas como cubiertas y las que no, se convierten en tareas urgentes. Esta es la mecánica esencial de la Threat Intelligence con MITRE ATT&CK aplicada al día a día del SOC.

6. Priorización: del volcado de indicadores a decisiones

El último eslabón de la cadena es la priorización. Un programa maduro de Threat Intelligence con MITRE ATT&CK no muestra listas interminables de alertas, sino decisiones razonadas: este incidente parece una campaña conocida, respeta sus patrones y conviene escalarlo. Para conseguirlo, se puntúa cada detección con un sistema de scoring transparente y repetible, donde los elementos procedentes de inteligencia externa pesan tanto como el propio hallazgo técnico.

Una función de puntuación sencilla y adaptable es esta, que combina la confianza en la fuente, la relevancia sectorial del actor y la criticidad de la técnica:

def puntua_deteccion(deteccion, intel):
    score = 0
    if intel.get('confianza') >= 80:
        score += 40
    if intel.get('actor_relevante'):
        score += 30
    if deteccion.get('criticidad') == 'alta':
        score += 20
    if deteccion.get('mapeo_attack'):
        score += 10
    return score

Fig. 3 – Función de puntuación que combina inteligencia y criticidad técnica.

Los umbrales se ajustan con datos históricos: si el 20 % de tus detecciones puntúan por encima de 80 y solo el 5 % resultan relevantes en la investigación posterior, el umbral de escalado está demasiado bajo. Ajustar estos números es un proceso continuo que justifica de sobra cada reunión semanal del equipo. Recuerda que la finalidad de toda esta maquinaria, la cadena completa de Threat Intelligence con MITRE ATT&CK, es que el analista tome mejores decisiones, y no que se generen más informes. Y cuando el volumen crece, la Threat Intelligence con MITRE ATT&CK se combina con automatización y SOAR para enriquecer las alertas antes de que lleguen al analista, como explicamos en artículos anteriores de este blog.

7. Conclusión

La Threat Intelligence con MITRE ATT&CK no es un proyecto de tickets eternos: es una metodología con resultados medibles en cobertura de detección, menos alertas irrelevantes y decisiones de seguridad mejor informadas. Con STIX y TAXII estandarizas la entrada de datos, con el mapeo ATT&CK conoces tus huecos y con el scoring conviertes ruido en prioridades.

Mi recomendación para empezar es concreta: elige a los cinco actores de amenaza más relevantes para tu sector, descarga sus perfiles de MITRE ATT&CK, construye tu tabla de cobertura y pon un umbral de puntuación provisional. En cuatro semanas tendrás la fotografía más honesta de la Threat Intelligence con MITRE ATT&CK de tu propia organización que hayas visto jamás, y un plan de mejora real. La matriz oficial es el mejor aliado de este proceso: consúltala directamente en attack.mitre.org.

Si quieres profundizar en tecnologías que alimentan los flujos de inteligencia, te dejo estos artículos. Artículos relacionados: inteligencia artificial aplicada a la ciberseguridad y análisis de inyección SQL blind.

¿Necesitas ayuda con Threat Intelligence con MITRE ATT&CK?

En Jaymon Security ayudamos a las organizaciones a proteger sus sistemas. Desde auditorías de seguridad hasta implementación de SIEM/SOC, nuestro equipo de expertos diseña soluciones a medida.

Contacta con nosotros para una evaluación gratuita de tu infraestructura.