Pirámide del dolor

Indicadores de compromiso (IoC) e Indicadores de ataque (IoA)

La pirámide habla del coste de adaptación del adversario cuando dejamos de permitirle usar ciertos indicadores. No dice que subir un nivel nos haga infalibles; el grimorio sigue necesitando contexto.

Un IoC es una evidencia o patrón que puede indicar un compromiso. Se puede usar durante una investigación o para detectar actividad nueva; no se limita a lo que ocurrió después del ataque.

IoA suele usarse para describir señales de comportamiento de ataque. No permite deducir automáticamente quién actuó ni por qué. La distinción es una ayuda de análisis, no una frontera universal entre pasado y tiempo real.

Un indicador aislado no confirma por sí solo un incidente.

---

Pirámide del dolor

David J. Bianco creó el concepto de pirámide del dolor. Su objetivo es mejorar la forma en que se usan los IoC en la detección. Ésta establece una relación entre IoC y el nivel de dificultad que los agentes de amenaza deben enfrentar, cuando los indicadores de compromiso son bloqueados por los equipos de seguridad.

• Valores Hash:
  • Un hash conocido permite buscar coincidencias del archivo. Si el adversario cambia el archivo, puede cambiar su hash; no encontrar coincidencias no descarta infección.
• Direcciones IP:
  • Una IP puede servir como indicador, pero puede cambiar o estar compartida por servicios legítimos. Su valor depende del contexto.
• Nombres de dominio:
  • El TLD es el nivel del nombre situado justo debajo de la raíz DNS. Un DGA genera nombres candidatos para localizar infraestructura; Fast Flux cambia rápidamente las IP asociadas a un nombre. Pueden combinarse, pero son mecanismos distintos. Sus diferencias se desarrollan en las notas enlazadas.
• Artefactos de red:
  • Patrones observables del tráfico, como rutas HTTP o valores de User-Agent strings. No equivalen a encontrar todas las copias de un archivo malicioso.
• Artefactos de host:
  • Lo mismo que en red, pero en el host. Como por ejemplo, nombres de archivos creados por malware
• Herramientas:
  • Herramientas usadas por un agente de amenaza. Obligar a cambiar herramientas puede costarle más que cambiar una IP. La ausencia de un artefacto en un host no descarta el ataque.
• Tácticas, técnicas y procedimientos:
  • Aquí ya hablamos de metodologías y modus operandi del agente. Todo lo que observamos durante el incidente (o antes) para intentar determinar qué. Lo más probable es que en este nivel tengas que pasar a un modelo más preciso e intensivo, como el MITRE ATT&CK

Fuente del modelo: David J. Bianco: The Pyramid of Pain. La pirámide relaciona tipos de indicadores con el coste de adaptación del adversario; no asigna una eficacia universal a cada detector.

+----------------------------------------+
| Floure &                               |
| Tachibana's guild                      |
| [Hikari · Nozomi]                      |
| SEAL: sha256/12: e649d9e6d96e          |
| STATUS: LITURGY_IN_PROGRESS            |
+----------------------------------------+