MITRE ATT&CK: el conocimiento del adversario como lenguaje común

MITRE ATT&CK es una base de conocimiento de uso libre sobre tácticas y técnicas de atacantes reales, derivadas de incidentes observados públicamente. Pública desde 2015 y mantenida por la organización estadounidense sin ánimo de lucro MITRE, se publica semestralmente (abril/octubre); la versión actual es Enterprise v19, del 28/04/2026. Describe lo que los atacantes hacen realmente, no lo que sería teóricamente posible.

Las tácticas describen el porqué: el objetivo de una fase del ataque, como el acceso inicial (Initial Access) o la escalada de privilegios (Privilege Escalation). Las técnicas y subtécnicas describen el cómo; por ejemplo, phishing con la subtécnica Spearphishing Attachment. Los procedimientos documentan, por último, cómo grupos o malware concretos han ejecutado realmente una técnica en incidentes observados.

Enterprise es la matriz más amplia: además de Windows, macOS y Linux cubre cloud, infraestructura de red y contenedores; desde la v19 cuenta con 15 tácticas, ya que Defense Evasion se dividió en Stealth y Defense Impairment. Mobile cubre Android e iOS. ICS describe ataques contra sistemas de control industrial, incluidos los activos afectados (Assets), y con la v19 recibe por primera vez subtécnicas.

ATT&CK vincula las técnicas con actores reales: Groups documenta grupos de atacantes como APT29 con sus TTPs preferidas, Software registra el malware y las herramientas empleadas y Campaigns agrupa oleadas de ataques acotadas en el tiempo. Para la threat intelligence esto vale oro: quien sabe qué grupos atacan su sector puede priorizar sus técnicas, en lugar de intentar defenderlo todo a la vez.

Con la v18 (octubre de 2025), MITRE reestructuró a fondo la parte de detección: en lugar de indicaciones en texto libre, cada técnica dispone ahora de Detection Strategies estructuradas con Analytics específicas de cada plataforma, es decir, lógicas de detección concretas y accionables por sistema operativo o entorno cloud. La v19 lo amplía notablemente: Enterprise suma ya 697 Detection Strategies y más de 1.700 Analytics, y Mobile recibe sus primeras Detection Strategies.

Las Mitigations describen medidas preventivas que dificultan o impiden técnicas concretas: desde el hardening hasta la segmentación de red o el control de aplicaciones. Las fuentes de datos (Data Sources) y los Data Components responden a la pregunta previa: ¿qué telemetría —eventos de procesos, tráfico de red, logs de auditoría cloud— hay que recopilar para poder siquiera ver una técnica? Sin la fuente de datos adecuada, cualquier regla de detección se queda en teoría.

El ATT&CK Navigator visualiza mediante capas de cobertura (coverage layers) qué técnicas cubren sus reglas SIEM, detecciones EDR y reglas Sigma, y dónde quedan huecos. En un gap assessment se contrasta esa cobertura con las TTPs de los grupos relevantes para su organización y de ahí se prioriza la hoja de ruta de detection engineering. A través de feeds STIX/TAXII y de la ATT&CK Workbench, el framework se integra directamente en sus propias herramientas.

La adversary emulation construye simulaciones de ataque a partir de las TTPs documentadas de grupos reales: así, el red team prueba exactamente los comportamientos que afectan a su sector. En el purple teaming, atacantes y defensores comprueban juntos, técnica a técnica, si la telemetría, la detección y la respuesta funcionan. Las pruebas guiadas por amenazas exigidas por la regulación, como DORA TLPT o TIBER-EU, presuponen precisamente este enfoque basado en ATT&CK.

ATT&CK es descriptivo: cataloga TTPs observadas, pero no es un catálogo de medidas ni una checklist de cumplimiento. Los heatmaps de cobertura pueden generar una falsa sensación de seguridad: 200 reglas débiles no superan a 20 bien probadas; la calidad importa más que el número de técnicas cubiertas. Como complemento existen MITRE D3FEND (contramedidas defensivas), MITRE ATLAS (ataques a sistemas de IA), CAR, Sigma, Atomic Red Team y Caldera, además de las MITRE ATT&CK Evaluations para comparar fabricantes.