Los IOC (Indicadores de Compromiso) son las pistas que te dicen si te han comprometido. Aquí tienes el significado y los tipos, cómo usarlos y por qué no deberías confiar en exceso en ellos, todo en clave defensiva (sin pasos de ataque).
Los principales tipos de IOC
Se dividen en cuatro, según "dónde cae el rastro".
| Tipo | Ejemplos | Dónde lo cotejas |
|---|---|---|
| Red | IP/dominio del servidor del atacante, URL de C2 | Registros de firewall / proxy / DNS |
| Archivo | Hash SHA-256 de malware, nombre de archivo distintivo | EDR / antivirus / listado de archivos |
| Host | Clave de registro sospechosa, proceso residente desconocido | Registros del SO, lista de procesos |
| Comportamiento | Inicio de sesión a una hora/país inusual, tráfico masivo repentino | Registros de autenticación, monitoreo de tráfico |
IOC vs IOA: "rastro" vs "comportamiento"
El contraste habitual es el IOA (Indicador de Ataque). La diferencia muestra tanto la fortaleza del IOC como su debilidad.
IOC (Indicador de Compromiso) = un rastro del resultado
- Evidencia de lo que ya ocurrió (hashes, IPs)
- Se puede cotejar mecánicamente contra lo malo conocido — rápido
- Pero los atacantes lo cambian con facilidad (desechable)
- Inherentemente reactivo
IOA (Indicador de Ataque) = comportamiento en curso
- El flujo de la técnica: escalada de privilegios → movimiento lateral → exfiltración
- Lo atrapa más cerca del tiempo real
- Más difícil de cambiar que un rastro (es la esencia del ataque)
- Más pesado de adoptar — requiere entender la mecánica
Cuán "cambiable" es cada uno para el atacante (la pirámide del dolor)
Incluso entre los IOC, el esfuerzo que necesita un atacante para cambiar uno —es decir, cuánto le duele que lo atrapes— varía enormemente. Más abajo es más fácil de cambiar; más arriba es más difícil.
Así que cotejar hashes e IPs funciona rápido pero caduca rápido. Cuanto más entiendes la técnica (cómo atacan), más perdura tu defensa.
Usar los IOC incluso a pequeña escala
Incluso sin un EDR dedicado ni una suscripción de inteligencia de amenazas, hay un mínimo realista que puedes hacer.
Obtén los IOC de fuentes de confianza
Cotéjalos contra tus registros y dependencias
Ante un acierto, aísla e investiga
Registra tus propios IOC y revisa otros dispositivos
Casos reales: qué sirvió de pista para cotejar
Los IOC no son solo direcciones IP y hashes. En los casos de cadena de suministro que ha cubierto este sitio, la propia «versión» del paquete fue lo primero que había que comprobar.
| Caso | Pista | Qué comprobaron los usuarios |
|---|---|---|
| XZ Utils (2024) | Las versiones que contenían código malicioso (5.6.0 y 5.6.1) | Si su sistema operativo o sus contenedores tenían esas versiones. La CISA de EE. UU. recomendó volver a una versión no comprometida, como la 5.4.6 |
| Codecov (2021) | El hash (SHA-256) del script distribuido no coincidía con el valor oficial | La manipulación se descubrió porque una empresa hizo esa comprobación. Los usuarios revisaron cuánto tiempo lo habían ejecutado en CI y a qué secretos podía llegar |
| Trivy (2026) (en inglés) | Las versiones publicadas de forma maliciosa (v0.69.4 y otras) y los puntos de comprobación publicados | Si su CI usó esas versiones o etiquetas durante ese periodo. En ese caso, rotar todas las credenciales |
En los tres, las pistas las publicaron la parte comprometida o las autoridades, y el cotejo lo hicieron los propios usuarios. Cuando sale un aviso oficial, comprueba primero si la misma versión o el mismo hash existe en tu entorno. Esa es la forma básica de usar los IOC.
Los IOC caducan
El RFC 9424 (2023), el documento del IETF sobre el manejo de los IOC, describe su gestión a lo largo de descubrimiento, evaluación, intercambio, despliegue, detección, reacción y fin de vida. La última etapa existe porque los IOC se quedan obsoletos.
- Las direcciones IP y los dominios que un atacante abandona pueden reutilizarlos después servicios legítimos. Bloquear a partir de una lista antigua puede cortar tráfico legítimo
- Cambiar un solo byte produce un hash distinto, así que una nueva compilación del mismo ataque no coincidirá
- Por eso, anota la fecha y la fuente de cada IOC y revísalos periódicamente
Cómo cotejar IOC en tu propio entorno
Incluso sin un producto dedicado, puedes cotejar tú mismo tres tipos de IOC publicados: versiones, hashes y dominios.
- Versiones: pega un archivo de bloqueo (lockfile) en el escáner de vulnerabilidades de dependencias para ver si incluye versiones maliciosas o vulnerables conocidas. Para los paquetes del sistema operativo, comprueba la versión con el comando de cada uno, p. ej.
xz --version - Hashes: calcula el valor de un archivo descargado con
sha256sum ARCHIVO(en Windows,certutil -hashfile ARCHIVO SHA256) y compáralo con el valor oficial o con el IOC publicado - Dominios e IPs: busca los dominios o IPs publicados en los registros de DNS y en los registros de acceso del servidor web. Los periodos sin registros no se pueden comprobar, así que confirma también cuánto tiempo conservas los registros
Ante una coincidencia, corta el dispositivo, la clave o el token afectado y ve al paso 3 de arriba.
La opinión de este sitio: los IOC confirman una brecha a posteriori; el objetivo principal es evitar la intrusión
El cotejo de IOC importa, pero es buscar rastros después de que la brecha haya ocurrido. Para cuando aparece un rastro, ya estás comprometido. Por eso en este sitio mantenemos el cotejo de IOC como herramienta de inspección, mientras ponemos el peso en un diseño que evite la intrusión: mínimo privilegio, parcheo rápido (monitoreo de CVE), MFA resistente al phishing y nunca guardar secretos en texto plano.
Una defensa que se apoya en el cotejo reactivo de rastros siempre va un paso por detrás. Quieres ambas cosas: la capacidad de notarlo vía rastros y la capacidad de evitar la intrusión.
Fuentes (primarias)
- IETF RFC 9424, «Indicators of Compromise (IoCs) and Their Role in Attack Defence» (agosto de 2023, en inglés) — rfc-editor.org (definición de IoC, la pirámide del dolor, el ciclo de vida de los IoC y su fin de vida)
- CISA de EE. UU., «Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094» (29 de marzo de 2024, en inglés) — cisa.gov (versiones afectadas y medidas recomendadas)
- Las fuentes de Codecov y Trivy figuran en el análisis de cada caso
Sigue leyendo
- Glosario: Qué es un IOA (Indicador de Ataque) · Qué es C2 · Qué es EDR · Qué es un CVE (el identificador de la vulnerabilidad) · Qué es el ransomware · Qué es el phishing
- Casos: La puerta trasera de XZ Utils · El compromiso de la cadena de suministro de Trivy (en inglés)
- Tu propio sitio: Cómo saber si han hackeado tu sitio web o tu servidor
- Recuperación: Fundamentos de copias de seguridad y recuperación