Threat intelligence asistida por IA: de los IOC a la inteligencia accionable

La inteligencia de amenazas (CTI, Cyber Threat Intelligence) promete saber qué harán los atacantes antes de que lo hagan. En la práctica, muchos equipos reciben listas interminables de IP y hashes que nadie revisa. La IA puede ayudar a procesar ese volumen, pero solo si se usa con criterio. En el libro IA en Ciberseguridad tratamos la threat intelligence asistida por IA como parte del SOC moderno; este artículo resume el enfoque.

Datos, información e inteligencia

• Datos: una IP, un hash, un dominio. Sin contexto.
• Información: “esa IP es un servidor de comando y control del grupo X”.
• Inteligencia: “el grupo X ataca a bancos de nuestra región usando phishing con facturas falsas y luego mueve lateralmente con RDP; tenemos detección para lo primero pero no para lo segundo”.

Solo el último nivel cambia decisiones. La CTI suele dividirse en estratégica (para la dirección: tendencias y riesgos), operacional (campañas y actores) y táctica (técnicas e indicadores para el SOC).

La pirámide del dolor

El modelo de David Bianco ordena los indicadores según cuánto le cuesta al atacante cambiarlos:

Conclusión práctica: bloquear IOC sirve, pero dura poco. La inteligencia más valiosa describe técnicas, y por eso se mapea a MITRE ATT&CK.

Ejemplo: extraer IOC de un informe con Python

Los informes de amenazas suelen publicar los indicadores “desactivados” (hxxp, evil[.]com) para que nadie haga clic por error. Este script los normaliza y los extrae con expresiones regulares, listos para cargarse en tu SIEM o plataforma de CTI.

import ipaddress
import json
import re

texto = open("informe.txt", encoding="utf-8").read()

# "Reactivar" los indicadores: hxxp -> http, [.] -> .
texto = (texto.replace("hxxp", "http")
              .replace("[.]", ".")
              .replace("[:]", ":"))

PATRONES = {
    "ipv4":   r"\b(?:(?:25[0-5]|2[0-4]\d|1?\d?\d)\.){3}(?:25[0-5]|2[0-4]\d|1?\d?\d)\b",
    "sha256": r"\b[a-fA-F0-9]{64}\b",
    "md5":    r"\b[a-fA-F0-9]{32}\b",
    "url":    r"https?://[^\s\"'<>]+",
    "cve":    r"\bCVE-\d{4}-\d{4,7}\b",
}

iocs = {tipo: sorted(set(re.findall(patron, texto, re.IGNORECASE)))
        for tipo, patron in PATRONES.items()}

# Descarta IP privadas, reservadas o de documentación: suelen ser ejemplos o ruido
iocs["ipv4"] = [ip for ip in iocs["ipv4"] if ipaddress.ip_address(ip).is_global]

print(json.dumps(iocs, indent=2))

Para intercambiar inteligencia entre herramientas y organizaciones existen estándares como STIX (formato de los datos) y TAXII (protocolo de transporte), y plataformas abiertas como MISP.

LLM para resumir y clasificar informes

Los modelos de lenguaje son muy buenos leyendo un informe de 40 páginas y produciendo un resumen, una lista de técnicas ATT&CK mencionadas o una tabla de indicadores. Bien usados, ahorran horas de lectura. Pero tienen un riesgo serio: pueden inventar datos plausibles.

• Pide siempre que cite el fragmento del informe del que sale cada afirmación.
• Nunca dejes que un LLM genere IOC: extráelos con métodos deterministas, como el script anterior.
• Valida los ID de técnicas ATT&CK contra la base oficial: es habitual que el modelo confunda o invente subtécnicas.
• No envíes informes confidenciales a servicios externos sin revisar sus condiciones de uso de datos.

De la inteligencia a la detección

La pregunta que convierte la CTI en defensa es siempre la misma: ¿qué hago distinto con esto? Un flujo práctico:

1. Identifica los actores y campañas relevantes para tu sector y región.
2. Extrae sus técnicas ATT&CK.
3. Compara con tu cobertura: ¿qué técnicas detectas y cuáles no?
4. Para las que faltan, formula hipótesis de threat hunting y crea nuevas detecciones.
5. Carga los IOC con fecha de caducidad: un indicador de hace un año probablemente ya no sirve.

Inteligencia de amenazas que se convierte en defensa

El libro IA en Ciberseguridad explica cómo integrar threat intelligence asistida por IA en el SOC, junto con herramientas como MITRE ATT&CK y SIEM.

Comprar en Amazon