Amenazas persistentes avanzadas

Una Advanced Persistent Threat (APT) describe un adversario u operación con capacidad, recursos y determinación suficientes para perseguir objetivos durante un periodo prolongado, adaptarse a la defensa y mantener acceso. No es una familia de malware ni significa simplemente “ataque sofisticado”.

La persistencia cambia la escala temporal de la defensa. Cerrar un servidor comprometido puede interrumpir una ruta y dejar intacta otra identidad obtenida meses antes. El análisis busca la operación y sus accesos alternativos, no únicamente el artefacto que disparó la alerta.

• Objetivo estratégico: espionaje, ventaja económica o militar, posicionamiento o disrupción.
• Persistencia: múltiples intentos, accesos alternativos y capacidad de volver.
• Adaptación: cambios de infraestructura, herramientas y procedimientos frente a la defensa.
• Recursos: tiempo, personal, acceso previo, desarrollo o compra de capacidades.
• Múltiples vectores: tecnología, cadena de suministro, identidad, terceros, engaño o acceso físico.

La atribución estatal es posible, pero no forma parte de la definición y requiere evidencia independiente.

Los rasgos tampoco convierten cualquier intrusión larga en una APT. Un atacante oportunista puede conservar una contraseña durante meses sin invertir en adaptación o perseguir un objetivo estratégico. La etiqueta aporta poco si no se describen las capacidades y comportamientos concretos que cambian la respuesta.

Una campaña puede combinar reconocimiento, acceso inicial, persistencia, escalada, movimiento lateral, descubrimiento, recolección, mando y control, exfiltración e impacto. Estas actividades no siempre son lineales y pueden repetirse durante meses.

El adversario puede usar herramientas legítimas, credenciales válidas y administración remota para reducir señales. Detectar un único malware no demuestra que el acceso haya sido erradicado.

• inventariar activos críticos y relaciones de confianza
• detectar comportamiento y abuso de identidad, no solo indicadores estáticos
• conservar telemetría suficiente para reconstruir actividad prolongada
• buscar accesos alternativos, persistencia y compromiso de terceros
• coordinar contención para no alertar prematuramente al adversario
• validar la erradicación y monitorizar recurrencia.

MITRE ATT&CK ayuda a describir TTP observadas, pero no sustituye evidencia, contexto ni priorización por riesgo.

Un mapeo completo de ATT&CK puede seguir dejando una investigación incompleta. Las técnicas describen comportamiento. La respuesta necesita además activos, identidades, tiempos, dependencias y evidencia de que el acceso fue erradicado. Esa diferencia evita confundir cobertura documental con comprensión del incidente.

• ¿Qué hace que una amenaza sea persistente y no solo avanzada?
• ¿Por qué una APT no equivale a malware?
• ¿Qué riesgo tiene contener un sistema aislado sin conocer todos los accesos?

• NIST: Advanced Persistent Threat
• MITRE ATT&CK: Enterprise tactics
• NIST SP 800-61 Rev. 3: Incident Response