La threat intelligence (inteligencia de amenazas, CTI) es información sobre los atacantes y sus métodos, procesada para que sea útil en la toma de decisiones. Convierte la defensa de reactiva en anticipada.
Los tres niveles
| Nivel | Para quién | Qué contiene |
|---|---|---|
| Estratégico | Dirección | Tendencias, riesgos del sector, panorama general |
| Táctico | Defensores | Técnicas y comportamientos de los adversarios (se mapea a MITRE ATT&CK) |
| Operativo / técnico | SOC | Datos concretos y accionables: IOCs |
IOCs (Indicadores de Compromiso)
Son rastros concretos de actividad maliciosa: direcciones IP y dominios maliciosos, hashes de archivos de malware, URLs de phishing. Son la pieza más directamente "aplicable".
Cómo se aplica
- Cargar IOCs en el SIEM y el EDR para alertar si aparecen en la red.
- Traducir técnicas conocidas en nuevas reglas de detección.
- Priorizar defensas según las amenazas reales para la industria.
- Compartir y consumir inteligencia (feeds, plataformas, formatos como STIX/TAXII).
Aplicada de verdad, la inteligencia deja de ser un informe y se convierte en detección concreta.
Cierre del pilar
El Blue Team vigila, detecta y anticipa: SOC, logs, SIEM, reglas, MITRE, hunting, EDR e inteligencia. Cuando la prevención y la detección no alcanzan y ocurre un incidente real, entra el equipo forense y de respuesta: ese es el pilar DFIR.