Lo que no se ve: el valor del comportamiento
Un ataque no es un evento aislado. Es un proceso.
Desde el acceso inicial hasta el movimiento lateral, la escalada de privilegios y la búsqueda de activos críticos, cada acción del atacante sigue una lógica. Una lógica que, si se observa, permite entender no solo qué ha ocurrido, sino cómo y por qué.
El problema es que, en la mayoría de entornos, esta visibilidad no existe o es limitada. Según el informe Cost of a Data Breach Report 2023 de
IBM Security, el
tiempo medio de
detección y contención de incidentes sigue siendo
elevado, superando en muchos casos los
200 días. Esto refleja una realidad clara: los atacantes permanecen dentro de las redes más tiempo del que las organizaciones son capaces de identificar o comprender.
Sin esa visibilidad, la ciberseguridad se convierte en un ejercicio reactivo, donde cada incidente se gestiona de forma aislada, sin generar aprendizaje estructural.
Observar al atacante: de incidente a inteligencia
Cuando una organización es capaz de observar al atacante, el paradigma cambia.
Deja de centrarse únicamente en detener el incidente y empieza a extraer información estratégica de cada interacción. El ataque deja de ser solo una amenaza y se convierte en una fuente de conocimiento.
Este cambio es especialmente relevante en un contexto donde los atacantes han evolucionado significativamente. Tal y como señala el Data Breach Investigations Report de
Verizon, una gran parte de las brechas actuales implica el
uso de credenciales válidas, lo que permite a los
atacantes operar dentro de la red
sin generar señales evidentes.
En este escenario, entender el comportamiento se vuelve más importante que detectar el evento inicial.
Comprender cómo entra: el origen del riesgo real
Uno de los primeros aprendizajes que obtiene una organización al observar a un atacante es el vector de entrada real.
En muchos casos, las hipótesis internas sobre cómo podría producirse un ataque no coinciden con la realidad. La observación permite validar —o desmontar— estas suposiciones, identificando si el acceso se ha producido mediante credenciales comprometidas, vulnerabilidades expuestas o configuraciones incorrectas.
Este conocimiento es especialmente valioso porque permite priorizar medidas de seguridad basadas en evidencia, no en estimaciones.
Entender cómo se mueve: la lógica del ataque
Una vez dentro, el atacante rara vez permanece estático. Su objetivo es avanzar, explorar y escalar.
El movimiento lateral es uno de los aspectos más críticos y, al mismo tiempo, más difíciles de detectar en modelos tradicionales. El uso de herramientas legítimas y comportamientos aparentemente normales dificulta la identificación de actividad maliciosa.
Observar este proceso permite comprender cómo se estructura el ataque, qué rutas sigue y qué técnicas emplea. Este tipo de visibilidad es clave para reforzar los puntos débiles de la infraestructura y anticipar futuros movimientos.
Identificar qué busca: redefinir lo crítico
Otro aprendizaje fundamental es entender qué activos atraen realmente al atacante.
Las organizaciones suelen clasificar sus sistemas en función de su criticidad interna. Sin embargo, esta clasificación no siempre coincide con el interés real de un atacante.
Al observar su comportamiento, se obtiene una perspectiva distinta: qué sistemas intenta alcanzar, qué información busca y qué objetivos prioriza.
Esto permite redefinir el mapa de riesgo desde una perspectiva mucho más realista y alineada con la amenaza.
Analizar cómo actúa: inteligencia aplicable
Cada interacción del atacante genera información sobre sus técnicas, herramientas y patrones de comportamiento.
Este conocimiento es clave para mejorar la detección futura. Iniciativas como el framework ATT&CK de
MITRE han demostrado que comprender las tácticas y técnicas del atacante permite construir modelos de defensa mucho más eficaces.
No se trata solo de responder a un ataque concreto. Se trata de mejorar la capacidad de respuesta ante los siguientes.
El reto: observar sin asumir riesgo
A pesar de su valor, observar a un atacante en un entorno real implica un problema evidente.
Cada segundo que permanece dentro de la red puede traducirse en riesgo operativo, pérdida de datos o impacto en sistemas críticos.
Por este motivo, muchas organizaciones priorizan la contención inmediata, sacrificando la observación y, con ello, la posibilidad de aprendizaje.
Este dilema ha limitado históricamente la capacidad de generar inteligencia a partir de ataques reales.
