Cotejar solo los rastros de una brecha (IOC) no puede seguir el ritmo cuando los atacantes cambian esos rastros. Ahí es donde ayudan los IOA basados en el comportamiento. Aquí tienes el significado y cómo usarlos (sin pasos de ataque).
IOC vs IOA: un rastro del resultado vs el comportamiento en curso
IOC (Indicador de Compromiso) = un rastro del resultado
- Evidencia a posteriori: hashes, IPs, dominios
- Se puede cotejar mecánicamente contra lo malo conocido — rápido
- Pero los atacantes lo cambian con facilidad
- Inherentemente reactivo
IOA (Indicador de Ataque) = comportamiento en curso
- El flujo de la técnica: escalada → movimiento lateral → exfiltración
- Lo atrapa más cerca del tiempo real
- Difícil de cambiar (es la esencia del ataque)
- Más pesado de adoptar — requiere entender la mecánica
Por qué el comportamiento es difícil de cambiar
Para un atacante, un hash de archivo o una IP son desechables. Pero el flujo de «cómo atacar» está ligado al objetivo (obtener privilegio, propagarse, exfiltrar), así que no se puede cambiar con facilidad.
Cómo pueden usarlo incluso los equipos pequeños
Incluso sin un EDR dedicado (un producto que monitoriza el comportamiento del endpoint), la esencia es vigilar el «comportamiento que difiere de lo normal».
Conoce tu 'normalidad'
Vigila las anomalías de comportamiento
Ante un acierto, aísla e investiga
Mantenlo combinado con el cotejo de IOC
Ejemplos de IOA por fase del ataque
Un IOA solo funciona cuando decides qué vigilar. La forma más sencilla de agruparlos por fase es usar MITRE ATT&CK (una base de conocimiento pública que organiza las técnicas de los atacantes por fases).
| Fase | Ejemplo de comportamiento | Dónde mirar |
|---|---|---|
| Acceso inicial | Una ráfaga de inicios de sesión fallidos seguida de uno correcto; un inicio de sesión desde un país u hora inusual | Registros de inicio de sesión (eventos de Windows 4625 y 4624, registros de inicio de sesión de la nube) |
| Escalada de privilegios | Una cuenta que casi no se usa se añade a un grupo de administradores | Evento de Windows 4732, registros de cambios de permisos en la nube |
| Persistencia | Se crea una cuenta, tarea programada o servicio nuevo | Eventos 4720, 4698, 4697 |
| Borrado de huellas | Se borra el registro de auditoría | Evento 1102 |
| Comunicación con el exterior | Tráfico al mismo destino a intervalos regulares (C2); envíos masivos a horas extrañas | Registros de proxy, DNS y cortafuegos; volumen de tráfico a lo largo del tiempo |
Cada uno de estos puede ocurrir también durante el trabajo normal de administración. La propia lista de Microsoft de eventos que conviene monitorizar indica que los eventos de criticidad media y baja deben investigarse cuando aparecen de forma inesperada o muy por encima de la línea base habitual. Un IOA no se juzga por un valor aislado, sino por cuánto difiere de lo normal y cómo se encadenan las acciones.
Casos reales: ¿se detectó por el rastro o por el comportamiento?
En los casos públicos que trata este sitio, lo que dio la pista fue distinto en cada caso.
| Caso | Qué dio la pista | Tipo |
|---|---|---|
| Codecov (2021) | El hash del script distribuido no coincidía con el valor oficial | IOC (cotejo de rastros) |
| Hugging Face (2026) | Según lo publicado por la empresa, una canalización de detección de anomalías sobre la telemetría de seguridad captó la señal | IOA (anomalía de comportamiento) |
En el caso de Hugging Face, ambas empresas informan de que el intruso era un agente de IA que actuaba sin dirección humana. Un actor así se mueve de formas que un humano no puede: no descansa, no hace pausas y ejecuta la misma acción en paralelo. Cuanto más nuevo es el ataque y menos rastros conocidos (como hashes o IPs) existen de él, más vale la pena detectarlo por el comportamiento.
Cómo comprobarlo en tu propio entorno
Puedes empezar con los registros que el sistema operativo o la nube guardan por defecto, sin un producto dedicado.
- Windows: en el Visor de eventos, abre «Registros de Windows → Seguridad» y filtra por los ID de evento de la tabla anterior. En PowerShell,
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 50muestra los inicios de sesión fallidos recientes (ejecútalo como administrador) - Si no se registra nada: qué eventos de auditoría guarda Windows por defecto depende de la versión y la configuración. Revisa «Configuración de directiva de auditoría avanzada» en la directiva de grupo para que se registren los eventos que necesitas
- Servidores Linux:
lastmuestra el historial de inicios de sesión;journalctl -u ssh(osshd, según la distribución) o/var/log/auth.logmuestran las autenticaciones correctas y fallidas - Nube y SaaS: en los registros de auditoría y de inicio de sesión de la consola de administración, busca inicios de sesión desde países u horas inusuales y cambios de permisos
- Mantén una línea base: anota tus recuentos habituales de inicios de sesión y tu volumen de tráfico en días laborables y fines de semana. Sin una línea base, no puedes saber qué significa «distinto de lo normal»
La opinión de este sitio: detectar y prevenir son cosas distintas, así que conserva ambas
Los IOA son una potente idea de «notar por el comportamiento», pero en este sitio recomendamos no apoyarse solo en «notar». La detección (IOA/IOC) va de después de que un incidente empieza; el primer objetivo es un diseño que no deje que empiece ni se propague: mínimo privilegio, parcheo rápido (monitorización de CVE), MFA resistente al phishing, sin secretos en texto plano. Como la prevención perfecta no existe, necesitas a la vez prevención (evitar que ocurra) y detección (notarlo vía IOA/IOC). Los IOA basados en el comportamiento aportan valor al delatar una anomalía un paso antes que el cotejo de rastros.
Fuentes (primarias)
- MITRE, "ATT&CK Enterprise Tactics" — attack.mitre.org (cómo se agrupan las fases de un ataque)
- IETF RFC 9424, "Indicators of Compromise (IoCs) and Their Role in Attack Defence" (agosto de 2023) — rfc-editor.org (las TTP son más difíciles de cambiar que los rastros)
- Microsoft Learn, "Appendix L: Events to Monitor" — learn.microsoft.com (ID de evento e investigación frente a la línea base habitual)
- Las fuentes de Codecov y Hugging Face figuran en el artículo de cada caso