Indicadores de compromiso: las pistas que dejan los atacantes

Cuando ocurre un incidente de ciberseguridad, el atacante deja rastros: un archivo específico, una dirección de red desde la que operó, un dominio que usó para comunicarse. A esos rastros se los conoce como indicadores de compromiso, o IOC por su sigla en inglés.

Para qué sirven, en la práctica

Cuando un organismo de ciberseguridad o una empresa especializada detecta y hace pública una campaña de ataques, suele compartir estos indicadores para que otras organizaciones puedan revisar si algo similar les ocurrió a ellas, y bloquear preventivamente esos mismos elementos en sus propios sistemas. Es, en esencia, una forma de defensa colectiva: lo que una organización aprendió de un ataque, sirve para proteger a otras.

IOC e IOA: dos conceptos que conviene distinguir

Un indicador de compromiso (IOC) dice "esto ya pasó": un archivo conocido, una dirección ya asociada a un ataque. Un indicador de ataque (IOA) es distinto: describe un comportamiento sospechoso en curso, como un programa de oficina que de repente intenta ejecutar comandos del sistema, algo que no depende de conocer previamente ningún dato específico del atacante. Los IOA suelen ser más difíciles de esquivar para quien ataca, precisamente porque no dependen de un dato puntual que se pueda cambiar de un día para otro.

Un límite que hay que entender

Los indicadores de compromiso caducan rápido. Un atacante puede cambiar de dirección o de archivo de un día para el otro con un costo mínimo, así que un indicador de hace seis meses puede no servir de nada hoy. Por eso los especialistas insisten en que, además de bloquear indicadores puntuales, hace falta detectar comportamientos y patrones más difíciles de cambiar para un atacante.

Un caso donde el volumen de información fue el verdadero desafío: Log4Shell

En diciembre de 2021 se hizo pública una vulnerabilidad crítica, identificada como CVE-2021-44228 y conocida popularmente como "Log4Shell", en una biblioteca de software (Log4j) usada de forma extendida en miles de productos distintos. El desafío principal para las organizaciones no fue tanto entender el problema técnico, sino algo más básico: muchas ni siquiera sabían si usaban esa biblioteca, porque estaba integrada dentro de otros programas de terceros. Las organizaciones que ya contaban con un inventario claro de qué software usaban pudieron reaccionar mucho más rápido que las que no lo tenían.

La lección que dejó el caso

Sin un inventario actualizado de los sistemas y del software propio, ningún indicador de compromiso ni ninguna alerta sirve de mucho: no se puede proteger lo que no se sabe que se tiene. Esa lección, más allá de lo técnico, es aplicable a cualquier organización, sin importar su tamaño, y suele ser más rentable de resolver que cualquier herramienta de detección sofisticada.

Un ejemplo simple de cómo se usa un IOC

Supongamos que un centro sectorial informa que una campaña reciente de fraude usa un dominio determinado para robar credenciales. Una organización que recibe ese aviso puede, en minutos, revisar sus propios registros de tráfico para ver si algún empleado intentó acceder a ese dominio, y bloquearlo preventivamente en sus sistemas aunque nunca haya sido blanco directo de esa campaña. Ese uso, simple y rápido, es la forma más común y más efectiva en que las organizaciones aprovechan los indicadores de compromiso en el día a día, sin necesitar ningún análisis complejo de por medio.

Compartir para defenderse en conjunto

En varios países existen centros sectoriales, conocidos por su sigla en inglés como ISAC, donde organizaciones de un mismo rubro (financiero, energético, de salud) comparten indicadores de compromiso y patrones de ataque entre sí, bajo reglas claras de confidencialidad. La lógica es simple: ninguna organización individual ve todo el panorama de amenazas, pero un grupo de organizaciones del mismo sector, compartiendo lo que cada una detecta, alcanza una visión mucho más completa que la suma de sus partes por separado. Participar de este tipo de espacios, cuando existen para el sector propio, suele ser más valioso que comprar herramientas costosas de detección aisladas.

Con el tiempo, ir guardando estos indicadores junto con la fecha en que se recibieron y su contexto, en lugar de solo cargarlos y olvidarlos, permite además detectar patrones propios: qué tipo de amenazas afectan más seguido al sector de la organización, información que resulta valiosa incluso más allá de cada indicador individual.

Fuentes: CISA, guías públicas sobre Log4Shell (diciembre de 2021); David Bianco, "The Pyramid of Pain" (2013); base de datos pública CVE (MITRE).