Orion

Repositorio Intelligence

Artículos que ilustran diversos conceptos, ya sean de carácter introductorio o más avanzados, yendo desde las nociones más básicas hasta artículos más complejos.

Initial Access Brokers
Amenazas y actoresGrupos de amenaza, TTPs y actores maliciosos.

Initial Access Brokers

Los Initial Access Brokers (IABs) son actores especializados en obtener acceso inicial a redes comprometidas y luego venderlo a otros. Su negocio, por tanto, no consiste en ejecutar el ataque final si no abrir la puerta y vender ese acceso a otros grupos, normalmente operadores de ransomware o actores con objetivos más concretos y más sofisticados. Esto los convierte en una pieza clave del ecosistema criminal, porque separan el acceso de la explotación y convierten la intrusión en un producto que puede comprarse, revenderse y reutilizarse según el valor del objetivo. En muchos casos, ese acceso se obtiene mediante VPN, RDP, credenciales robadas o malware, luego se oferta en foros underground o por canales privados.

ISACsNuevo
Infraestructura y herramientasInfraestructuras de mando y control, plataformas y herramientas de análisis.

ISACs

Los ISACs son Centros de Intercambio y Análisis de Información, nos referiremos a ellos como ISAC, por sus siglas en inglés (Information Sharing and Analysis Center). Los ISAC son organizaciones que aúnan empresas de un mismo sector y cuyo propósito principal es compartir información, análisis e inteligencia entre las organizaciones miembro. El inicio de los ISAC se remonta a 1998, cuando Estados Unidos presentó la "Presidential Decision Directive 63 (PDD-63)", un documento cuyo principal objetivo era identificar los sectores de infraestructura crítica del país y hacer obligatorio que cada uno estableciera una organización de carácter sectorial para compartir información sobre amenazas y vulnerabilidades.

Threat Hunting
Frameworks y metodologíasKill chain, MITRE ATT&CK, Diamond Model y metodologías de análisis.

Threat Hunting

Threat Hunting es la disciplina que se centra en la búsqueda proactiva de actividad maliciosa dentro de un entorno, incluso cuando todavía no existe una alerta o una detección automática que haya "saltado". A diferencia de la monitorización tradicional, no espera a que el adversario deje una huella obvia, sino que parte de hipótesis comprobables sobre cómo podría estar operando un atacante, qué técnicas podría estar usando y qué señales deberían aparecer si esa actividad estuviera ocurriendo. En ese sentido, el hunting funciona como un puente entre CTI, detección y respuesta a incidentes: la inteligencia alimenta hipótesis, el análisis de telemetría valida o refuta esas hipótesis, y los hallazgos terminan reforzando reglas, alertas o procedimientos de IR.