MITRE ATT&CK: tácticas, técnicas y la matriz cloud

“Nos han hackeado” no le sirve a nadie. No dice por dónde entraron, qué buscaban ni qué regla debería haber saltado. MITRE ATT&CK resuelve eso con un vocabulario compartido. En lugar de una frase vaga dices: el adversario usó cuentas cloud válidas (T1078.004), enumeró la infraestructura (T1580) y descargó objetos del almacén de objetos (T1530). Threat intel, el equipo de detección, el red team y quien diseña la arquitectura entienden exactamente lo mismo, y cada uno sabe qué tiene que hacer.

Qué es ATT&CK (y qué no es)#

ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) es una base de conocimiento pública y gratuita, mantenida por MITRE, construida a partir de comportamiento observado en ataques reales: informes de incidentes, threat intel y análisis de malware. No es una teoría de cómo podría atacarse algo, sino un catálogo de cómo se ha atacado. Por eso complementa al modelado de amenazas. STRIDE te ayuda a imaginar qué puede salir mal en tu diseño, y ATT&CK te dice qué hacen de verdad los adversarios ahí fuera.

Está organizada en tres dominios: Enterprise, Mobile e ICS (sistemas de control industrial). Enterprise se divide a su vez en plataformas: Windows, macOS, Linux, PRE, Network Devices, Containers, ESXi y el bloque Cloud, que agrupa Office Suite, Identity Provider, SaaS e IaaS. Para una aplicación como Citas (contenedores gestionados, base de datos gestionada y almacén de objetos) la vista que más importa es IaaS.

Tácticas, técnicas, subtécnicas y procedimientos#

La clave de ATT&CK es separar el porqué del cómo:

Nivel	Pregunta	Formato de ID	Ejemplo
Táctica	¿Qué quiere conseguir?	`TA00xx`	Discovery (`TA0007`)
Técnica	¿Cómo lo consigue?	`T1xxx`	Cloud Infrastructure Discovery (`T1580`)
Subtécnica	¿Cómo, exactamente?	`T1xxx.00x`	Valid Accounts: Cloud Accounts (`T1078.004`)
Procedimiento	¿Qué hizo este actor, en concreto?	—	Usar access keys válidas encontradas en repositorios públicos

Una táctica es una columna de la matriz. Una técnica es una celda. Los procedimientos son la implementación concreta (herramientas, comandos, orden) que documenta cada técnica con ejemplos de grupos y software reales. Los tres juntos forman las TTPs de un adversario.

Una técnica puede servir a varias tácticas. T1078.004 (cuentas cloud válidas) aparece en Acceso inicial, Persistencia, Escalada de privilegios y Sigilo: la misma credencial robada sirve para entrar, quedarse, subir de privilegios y pasar por un usuario legítimo.

Una intrusión cloud vista sobre la matriz ATT&CK

ATT&CK v19 · IaaS

Paso 1 de 7La matriz

Cada fila es una táctica: el objetivo del adversario, el porqué. Cada celda es una técnica o subtécnica: cómo lo consigue. Esta es la matriz Cloud · IaaS.

La matriz Cloud · IaaS#

La matriz IaaS tiene 12 tácticas. No incluye Reconnaissance, Resource Development ni Command and Control, que en cloud se observan fuera del proveedor o no aplican de la misma forma. Algunas técnicas representativas, con lo que significarían en Citas:

Táctica	Técnicas representativas	En Citas, por ejemplo
Initial Access `TA0001`	`T1078.004` Cloud Accounts · `T1190` Exploit Public-Facing Application	Access key de CI filtrada; RCE en la API detrás del balanceador
Execution `TA0002`	`T1651` Cloud Administration Command · `T1648` Serverless Execution	Comandos vía la API de administración; una función serverless creada por el atacante
Persistence `TA0003`	`T1098.001` Additional Cloud Credentials · `T1136.003` Cloud Account	Una credencial adicional; un usuario IAM “de servicio” nuevo
Privilege Escalation `TA0004`	`T1098.003` Additional Cloud Roles · `T1548.005` Temporary Elevated Cloud Access	Adjuntar una política de administrador a su rol
Stealth `TA0005`	`T1535` Unused/Unsupported Cloud Regions · `T1078.004`	Lanzar recursos en una región que nadie mira
Defense Impairment `TA0112`	`T1685.002` Disable or Modify Cloud Log · `T1578` Modify Cloud Compute Infrastructure	Desactivar los registros de auditoría; snapshots para saltarse controles
Credential Access `TA0006`	`T1552.005` Cloud Instance Metadata API · `T1555.006` Cloud Secrets Management Stores	Robar credenciales desde la API de metadatos; leer el gestor de secretos
Discovery `TA0007`	`T1580` Cloud Infrastructure Discovery · `T1526` Cloud Service Discovery · `T1619` Cloud Storage Object Discovery	`ListBuckets`, `DescribeDBInstances`
Lateral Movement `TA0008`	`T1021.007` Cloud Services · `T1550.001` Application Access Token	Usar el token de la consola o de un rol para saltar de cuenta
Collection `TA0009`	`T1530` Data from Cloud Storage · `T1074.002` Remote Data Staging	Descargar el almacén de adjuntos
Exfiltration `TA0010`	`T1537` Transfer Data to Cloud Account · `T1048` Exfiltration Over Alternative Protocol	Compartir un snapshot de la base de datos gestionada con su cuenta
Impact `TA0040`	`T1485` Data Destruction · `T1486` Data Encrypted for Impact · `T1496.001` Compute Hijacking	Borrar backups; ransomware en el almacén de objetos; minería en contenedores

Fíjate en el patrón: casi nada de la tabla requiere un exploit. En cloud, la mayoría de las intrusiones son identidades legítimas haciendo cosas ilegítimas con la API. Esa es la razón por la que tu principal fuente de detección son los registros de auditoría de la API del proveedor (CloudTrail en AWS, Activity Log en Azure, Cloud Audit Logs en GCP), y la razón por la que el mínimo privilegio recorta tantas filas de la matriz de golpe.

Más allá de la matriz#

Cada técnica de ATT&CK es una ficha con mucho más que un nombre:

Procedimientos, grupos y software. Quién la ha usado y cómo: grupos (G0016 APT29), software (S1091 Pacu, un framework de explotación de AWS) y campañas.
Mitigaciones (M1xxx). Por ejemplo, M1018 User Account Management o M1032 Multi-factor Authentication.
Detección. Desde la v18 (octubre de 2025), cada técnica trae una Detection Strategy (DETxxxx) con Analytics (ANxxxx) por plataforma, alimentadas por data components, en sustitución de las antiguas Data Sources. Para T1580, la estrategia DET0169 describe qué buscar: ráfagas de list/describe desde identidades nuevas, desde IPs inusuales, o seguidas de creación de snapshots.

Las analytics son agnósticas de herramienta: te dicen qué comportamiento buscar, no qué consulta escribir. Traducirlas a tus logs es tu trabajo, y es justo lo que hace la siguiente nota.

Para qué se usa en el día a día#

Threat intel orientada a ti

Filtra grupos y campañas por plataforma (IaaS) y sector. Las técnicas que más se repiten son tu prioridad, no las 200 de la matriz.
Ingeniería de detección y cobertura

Etiqueta cada regla con la técnica que detecta. Así puedes responder “¿qué vemos de Persistence en AWS?” con datos. ATT&CK Navigator te permite pintarlo como mapa de calor.
Emulación (red y purple team)

Ejecuta técnicas concretas de forma controlada (Stratus Red Team, Atomic Red Team) y comprueba si tus reglas saltan. Una regla que nunca se ha probado es una hipótesis, no una detección.
Priorización de controles

Las mitigaciones que cortan muchas técnicas a la vez (MFA, mínimo privilegio, SCPs) suben en la lista.

Etiquetar en el propio IaC hace que la cobertura sea consultable y revisable en code review (ejemplo en AWS; el patrón es idéntico en cualquier nube):

resource "aws_cloudwatch_event_rule" "cloudtrail_tampering" {
  name          = "detect-cloudtrail-tampering"
  description   = "StopLogging/DeleteTrail/UpdateTrail sobre cualquier trail"
  event_pattern = file("${path.module}/patterns/cloudtrail-tampering.json")

  tags = {
    "attack:technique" = "T1685.002"
    "attack:tactic"    = "TA0112"
    "attack:version"   = "v19"
  }
}

Kill chain, modelado de amenazas y ATT&CK#

La Cyber Kill Chain de Lockheed Martin describe un ataque en 7 fases lineales, desde el reconocimiento hasta las acciones sobre el objetivo. ATT&CK es mucho más granular y no es lineal: un atacante salta entre tácticas, repite Discovery tras cada escalada y puede saltarse fases enteras. En la práctica se combinan. La kill chain sirve para comunicar a negocio, ATT&CK para el trabajo técnico, y el modelado de amenazas para decidir qué técnicas son plausibles contra tu arquitectura.

Tu turno

Describe un incidente como secuencia de TTPs

Toma un incidente o postmortem real de tu trabajo (o uno público, como una brecha de credenciales cloud) y reescríbelo con ATT&CK.

¿Qué táctica perseguía el atacante en cada momento?
¿Qué técnica o subtécnica usó, con su ID de v19?
¿Qué evento o log lo habría mostrado? ¿Lo tenías activado?
¿En qué paso podrías haberlo cortado con una mitigación (M1xxx)?

| #   | Táctica (TA) | Técnica (T) | Qué hizo, en concreto | Log que lo muestra | ¿Lo detectamos? |
| --- | ------------ | ----------- | --------------------- | ------------------ | --------------- |
| 1   |              |             |                       |                    |                 |
| 2   |              |             |                       |                    |                 |

Reto

¿T1078.004 es una táctica o una técnica? ¿Por qué aparece en cuatro columnas de la matriz?

▸Mostrar solución

Es una subtécnica (Valid Accounts → Cloud Accounts). Aparece en Initial Access, Persistence, Privilege Escalation y Stealth porque el mismo cómo (usar una cuenta cloud legítima) sirve a cuatro porqués distintos: entrar, quedarse, escalar y camuflarse como tráfico normal.