El ciclo de inteligencia: cómo transformar registros técnicos dispersos en conocimiento capaz de atribuir un ataque y de perfilar a quien lo dirige.
Cuando una organización descubre que ha sido atacada, la reacción inmediata se concentra casi siempre en el daño: qué se ha roto, qué datos se han perdido, cuánto costará restablecer el servicio. La pregunta que de verdad importa a quien investiga llega algo más tarde y resulta bastante más incómoda de responder: quién estaba al otro lado del teclado, con qué medios y movido por qué propósito. Contestarla exige mucho más que pericia técnica. Exige un método para ordenar el caos de registros, conexiones y ficheros que deja cualquier intrusión y convertirlo en conocimiento con valor para la investigación y, llegado el caso, para un tribunal. Ese método tiene nombre y tiene guía: la CCN-STIC-425, «Ciclo de Inteligencia y Análisis de Intrusiones», del Centro Criptológico Nacional.
Una guía que nos enseña a pensar como un analista
Dentro del extenso catálogo de guías del CCN-CERT, la 425 ocupa un lugar peculiar. La mayoría de los documentos de la serie describen cómo configurar un sistema, cómo endurecer un servicio o cómo cumplir con el Esquema Nacional de Seguridad. La 425 se ocupa de algo más abstracto y, para el criminólogo, más estimulante: enseña a razonar. Publicada en octubre de 2015 y actualizada en julio de 2020, es una guía de acceso público cuyo objetivo declarado consiste en ofrecer una explicación sencilla y concisa de qué es la ciberinteligencia y en qué consiste el ciclo de inteligencia aplicado a la ciberseguridad, desarrollando con especial detalle una de sus fases más delicadas, la del análisis (Centro Criptológico Nacional, 2020).
Conviene detenerse en la palabra «inteligencia», porque arrastra equívocos. Aquí designa un producto muy concreto: el conocimiento elaborado, contrastado y orientado a la toma de decisiones que se obtiene tras procesar información en bruto, lejos de la astucia de las películas de espías. La ciberinteligencia se ha definido en la literatura académica como conocimiento basado en evidencias acerca de las amenazas, útil para fundamentar decisiones sobre cómo prevenirlas o responder a ellas (Santos et al., 2025). Vista así, la disciplina resulta menos ajena a la criminología de lo que parece. Transformar una acumulación de indicios inconexos en una hipótesis sólida sobre un autor y su forma de operar es, en esencia, el mismo oficio que se practica desde hace más de un siglo ante la escena de un crimen. Cambian el escenario y las herramientas; la lógica investigadora es la de siempre.
Ese es el motivo por el que un profesional de las ciencias forenses no debería tratar la 425 como un documento reservado a informáticos. La guía traza el andamiaje conceptual que permite pasar de la reacción técnica ante un incidente a la investigación de fondo sobre quién lo perpetró, y ese salto es precisamente donde la criminología tiene algo que aportar.
El ciclo de inteligencia, o cómo no ahogarse en datos
El corazón de la guía es el llamado ciclo de inteligencia, un proceso ordenado y de naturaleza cíclica que persigue una única cosa: convertir información en bruto en inteligencia utilizable por quien debe decidir. La 425 lo describe como un procedimiento dinámico y permanente, en el que el final de una vuelta alimenta el comienzo de la siguiente. Sus fases, con variaciones menores según la escuela doctrinal, se articulan en una secuencia reconocible.
La primera es la dirección y planificación. Antes de recolectar nada, hay que saber qué se busca y para quién. ¿Quién es el destinatario del producto final y qué decisión debe tomar con él? Un análisis pensado para el responsable de seguridad de una empresa persigue objetivos distintos a los de un informe destinado a un juzgado. Esta fase, tan olvidada en la práctica, equivale a la formulación de hipótesis de trabajo con la que arranca cualquier investigación criminal seria.
Sigue la obtención, esto es, la recolección de datos de fuentes diversas. Aquí aparecen las tres grandes familias que el analista maneja: la información de fuentes abiertas o OSINT (todo lo que puede rastrearse en internet sin acceso privilegiado), la de señales y comunicaciones o SIGINT, y la de fuentes humanas o HUMINT. La combinación de las tres, con sus respectivos sesgos y grados de fiabilidad, dibuja el material de partida.
Viene después el procesamiento, la fase menos vistosa y más imprescindible. Los datos en bruto llegan sucios, duplicados, en formatos incompatibles y a menudo en cantidades inmanejables. Depurarlos, normalizarlos y validarlos es lo que evita que el analista se ahogue en ruido. Cualquiera que haya trabajado con volcados de registros de un servidor comprometido entiende de inmediato la magnitud del problema.
Llega entonces la fase que la guía desarrolla con mayor esmero, el análisis y la producción. Es el momento en que el analista aplica el pensamiento crítico para identificar patrones, descartar coincidencias engañosas y elaborar conclusiones. El resultado es un producto de inteligencia que puede ser meramente descriptivo (qué ha pasado), predictivo (qué es probable que pase) o prescriptivo (qué conviene hacer). La calidad de esta fase depende menos de la potencia de las herramientas que del rigor intelectual de quien las maneja, una idea que a los peritos les resulta muy familiar.
El ciclo se cierra con la difusión, la entrega del conocimiento a quien lo necesita en el momento oportuno y por un canal seguro, y con la evaluación, que mide la eficacia de todo el proceso y detecta las carencias que exigirán una nueva vuelta. Que la evaluación forme parte del propio ciclo tiene una consecuencia sana: obliga a admitir que el primer análisis casi nunca es el definitivo y que la humildad metodológica es parte del oficio.
El Modelo del Diamante: cuatro vértices para nombrar al enemigo
Si el ciclo de inteligencia aporta el marco general, el análisis de intrusiones necesita además un modelo concreto sobre el que trabajar cada ataque. La 425 adopta el más influyente de cuantos existen, el Modelo del Diamante propuesto por Sergio Caltagirone, Andrew Pendergast y Christopher Betz en un informe técnico de 2013.
La idea es de una elegancia notable. Todo suceso de intrusión, por complejo que sea, puede describirse mediante cuatro características básicas dispuestas en los vértices de un rombo: el adversario (quién actúa), la capacidad (con qué herramientas y técnicas), la infraestructura (desde qué servidores, dominios o canales) y la víctima (contra quién). Las aristas que unen esos vértices representan relaciones que el analista puede explotar. Conocido un dato de un vértice, se puede «pivotar» hacia los demás: a partir de una dirección de infraestructura cabe descubrir otras víctimas atacadas desde el mismo lugar; a partir de una capacidad reconocible, rastrear campañas anteriores del mismo autor.
Lo verdaderamente valioso del modelo para un contexto forense es su vocación de método científico. Sus creadores lo plantearon como una forma de aplicar al análisis de intrusiones los principios de medición, contrastabilidad y repetibilidad (Caltagirone et al., 2013). Esas tres exigencias son exactamente las que un tribunal reclama a cualquier prueba pericial. Un análisis que pueda medirse, someterse a refutación y reproducirse por otro perito resiste mucho mejor el contradictorio de una sala de vistas que una intuición brillante pero indemostrable. El Modelo del Diamante ofrece, en definitiva, una gramática común con la que documentar el razonamiento de forma que otro profesional pueda seguirlo paso a paso.
La cadena del ataque y el modus operandi digital
El Diamante describe la anatomía de un suceso, pero un ataque real se despliega en el tiempo, por etapas. Para ordenar esa dimensión temporal, el análisis de intrusiones recurre a la conocida kill chain, el modelo de cadena del ataque que Eric Hutchins, Michael Cloppert y Rohan Amin formalizaron para Lockheed Martin (Hutchins et al., 2011). Su propuesta descompone una intrusión avanzada en una secuencia de fases encadenadas: reconocimiento del objetivo, preparación del arma o weaponization, entrega, explotación de la vulnerabilidad, instalación del código malicioso, establecimiento de un canal de mando y control (command and control) y, por último, las acciones sobre los objetivos. La utilidad práctica es inmediata: si el defensor logra romper cualquiera de esos eslabones, frustra el conjunto de la operación. Y para el investigador, cada fase deja rastros distintos que reconstruir.
Ese trabajo requiere un vocabulario compartido para describir el comportamiento del atacante, y ahí interviene el proyecto MITRE ATT&CK, una base de conocimiento pública que cataloga las tácticas, técnicas y procedimientos —las célebres TTP— observadas en incidentes reales (MITRE Corporation, s. f.). La jerarquía es sencilla de entender: las tácticas responden al porqué de una acción (el objetivo que persigue el adversario), las técnicas al cómo (el método general con que lo logra) y los procedimientos al cómo exactamente (la implementación concreta que emplea un grupo determinado).
Aquí es donde la traducción criminológica se vuelve casi literal. Las TTP son el equivalente digital del modus operandi, y su análisis conecta directamente con una tradición central de la investigación criminal: la de reconocer a un autor por su forma de obrar. Del mismo modo que un investigador aprende a distinguir la firma de un delincuente en serie a través de los detalles que repite de un hecho a otro, el analista de intrusiones identifica a un grupo por su manera característica de moverse dentro de una red, por las herramientas que reutiliza y por las decisiones que toma bajo presión. El comportamiento, mantenido a lo largo de campañas sucesivas, delata al actor con más fiabilidad que cualquier dato aislado.
La Pirámide del Dolor: golpear donde de verdad molesta
De esa constatación nace uno de los conceptos más citados de toda la disciplina, la Pyramid of Pain o Pirámide del Dolor, formulada por el analista David J. Bianco en 2013. La pirámide ordena los indicadores de compromiso según el perjuicio que causa al atacante el hecho de que un defensor consiga detectarlos y neutralizarlos (Bianco, 2013).
En la base se sitúan los indicadores más frágiles. Los valores hash de un fichero malicioso resultan triviales de alterar: basta con recompilar el programa para obtener una firma nueva. Un escalón por encima están las direcciones IP, que un adversario cambia con solo mudarse de servidor, y luego los nombres de dominio, algo más costosos de sustituir pero todavía asequibles. Más arriba aparecen los artefactos de red y de sistema, esto es, los rastros observables en el tráfico o en el equipo (patrones de peticiones, claves de registro, rutas de ficheros), cuya modificación ya obliga al atacante a rehacer parte de su trabajo. En el penúltimo nivel se encuentran las herramientas, cuyo bloqueo fuerza al adversario a buscar o desarrollar otras. Y en la cúspide se hallan, de nuevo, las TTP: el comportamiento.
El mensaje de la pirámide es tan claro como estratégicamente importante. Perseguir los indicadores de la base produce victorias fugaces, porque el atacante los renueva casi sin esfuerzo. Cuando la detección alcanza la cima y ataca las TTP, en cambio, se obliga al adversario a reaprender su oficio, a cambiar su forma de operar, con el coste, la fricción y las probabilidades de error que ello acarrea. Muchas veces, llegado ese punto, sencillamente abandona el objetivo. Para un criminólogo la lección es reconocible: hostigar el método resulta mucho más eficaz que incautar un arma concreta, porque el método es lo que sostiene la carrera delictiva del autor.
Del indicio al autor: hasta dónde llega la atribución
Todo el andamiaje anterior apunta a una meta que en el ciberespacio es tan ambicionada como esquiva: la atribución, es decir, señalar con fundamento quién está detrás de un ataque. Aquí conviene la mayor de las honestidades, porque es también el terreno donde más se exagera. La atribución rigurosa trabaja con hipótesis de distinta solidez, sostenidas por la convergencia de muchos indicios, y solo en contadas ocasiones alcanza la certeza plena.
Las dificultades son estructurales. Una dirección IP se falsea o se alquila; una herramienta se comparte entre grupos distintos; un atacante sofisticado puede sembrar deliberadamente pistas que apunten a un tercero, en lo que se conoce como operaciones de bandera falsa (false flag). Un trabajo reciente de revisión sistemática subraya que la atribución es un problema abierto y de naturaleza multidimensional, que entrelaza planos técnico, jurídico, geopolítico y social, y que ninguna técnica automática lo resuelve por sí sola (Rani et al., 2025). Reconocer esos límites, lejos de debilitar el análisis, lo hace más creíble, que es justo lo que un tribunal espera de un perito prudente.
Precisamente por eso la atribución técnica se queda coja sin una lectura criminológica. Los datos de intrusión describen el cómo, pero la motivación, la oportunidad y el perfil del autor pertenecen al territorio clásico de la criminología. Preguntarse qué gana el atacante, qué tipo de organización dispone de los recursos y la paciencia que revela una campaña, o por qué elige unas víctimas y descarta otras, aporta el marco interpretativo sin el cual los indicadores técnicos son solo ruido ordenado. La inteligencia sobre la amenaza alcanza su pleno sentido cuando el análisis del comportamiento del sistema se cruza con el análisis del comportamiento humano.
Queda un último puente, el que une la inteligencia con la prueba. Los mismos registros que alimentan el análisis (los que aportan trazabilidad e integridad) son los que después habrán de sostenerse ante un juez, con su cadena de custodia intacta y su valor probatorio preservado. La ciberinteligencia y la informática forense trabajan, en realidad, sobre el mismo material; la primera busca comprender al adversario y la segunda, demostrar los hechos. Cuidar desde el primer minuto que las evidencias resistan el escrutinio judicial es lo que impide que un análisis impecable se desmorone en la sala de vistas.
Qué se lleva el perito y el criminólogo
Leída con ojos forenses, la guía CCN-STIC-425 es mucho más que un manual técnico. Ofrece una forma disciplinada de investigar que un criminólogo puede adoptar sin renunciar a nada de su propia tradición, porque el ciclo de inteligencia, el Modelo del Diamante, la cadena del ataque y la Pirámide del Dolor trasladan al ciberespacio principios que la investigación criminal viene cultivando desde siempre: formular hipótesis antes de recolectar, distinguir el ruido del indicio, reconstruir la secuencia de los hechos y reconocer al autor por su manera de obrar.
Para quien empiece, la ruta razonable consiste en familiarizarse primero con las fases del ciclo, interiorizar después el Modelo del Diamante como plantilla para documentar cada caso, y usar la cadena del ataque y las TTP de MITRE ATT&CK como lenguaje común con el que describir el comportamiento del adversario. Con ese bagaje, la Pirámide del Dolor deja de ser un diagrama vistoso para convertirse en una brújula que indica dónde conviene invertir el esfuerzo. Y, por encima de todo, la guía recuerda una verdad que la criminología conoce bien: los rastros que un atacante no puede evitar dejar son los de su propio método, y ese método, tarde o temprano, termina por señalarlo.
En próximas entregas de esta serie descenderemos de la teoría a la sala de máquinas, con las herramientas que el propio Centro Criptológico Nacional pone a disposición de la comunidad para coordinar la respuesta, compartir indicadores y sostener la investigación. Porque conocer el método del adversario es el primer paso; disponer del instrumental para perseguirlo es el siguiente.
Bibliografía
Bianco, D. J. (2013, 1 de marzo). The Pyramid of Pain [Entrada de blog]. Enterprise Detection & Response. http://detect-respond.blogspot.com/2013/03/the-pyramid-of-pain.html
Caltagirone, S., Pendergast, A., & Betz, C. (2013). The Diamond Model of Intrusion Analysis [Informe técnico]. Center for Cyber Intelligence Analysis and Threat Research. https://www.activeresponse.org/wp-content/uploads/2013/07/diamond.pdf
Centro Criptológico Nacional. (2020). CCN-STIC-425. Ciclo de Inteligencia y Análisis de Intrusiones [Guía de seguridad de las TIC]. CCN-CERT. (Publicación original de 2015, actualizada en 2020). https://www.ccn-cert.cni.es/es/series-ccn-stic/guias-de-acceso-publico-ccn-stic
Hutchins, E. M., Cloppert, M. J., & Amin, R. M. (2011). Intelligence-driven computer network defense informed by analysis of adversary campaigns and intrusion kill chains. Leading Issues in Information Warfare & Security Research, 1(1), 80-106. https://www.lockheedmartin.com/content/dam/lockheed-martin/rms/documents/cyber/LM-White-Paper-Intel-Driven-Defense.pdf
MITRE Corporation. (s. f.). MITRE ATT&CK®. Recuperado el 3 de julio de 2026, de https://attack.mitre.org
Rani, N., Saha, B., Kumar, R., & Shukla, S. K. (2025). A survey of cyber threat attribution: Challenges, techniques, and future directions. Computers & Security, 157, 104606. https://doi.org/10.1016/j.cose.2025.104606
Santos, P., Abreu, R., Reis, M. J. C. S., Serôdio, C., & Branco, F. (2025). A systematic review of cyber threat intelligence: The effectiveness of technologies, strategies, and collaborations in combating modern threats. Sensors, 25(14), 4272. https://doi.org/10.3390/s25144272
Deja una respuesta