Indicadores de compromiso (IOCs): qué son y cómo identificarlos

Para entender los IOCs y su importancia en la ciberseguridad actual es posible hacer la analogía con un ladrón que entra a robar en una casa: al igual que los cacos que se internan en un edificio físico, los hackers a menudo dejan detrás de sí rastros y signos de su presencia y actividad digitales. Los indicadores de compromiso son precisamente esto.

Como parte de los esfuerzos de inteligencia de amenazas, la recopilación de información alrededor de los IOCs más comunes permite a los especialistas de ciberseguridad tomar acción para prevenir futuros incidentes o mitigar riesgos.

El actual es un momento en el que el panorama de ciberamenazas resulta altamente hostil para las organizaciones. Es más, el año 2024 en particular ha confirmado que el número de ataques complejos como el ransomware continúa aumentando. 

En este contexto, implementar una estrategia basada en IOCs de forma correcta supone un pilar fundamental para cualquier plan de ciberseguridad que se ocupe de proteger sistemas y redes antes de que tenga lugar un incidente. Lo analizamos.

¿Qué son los indicadores de compromiso (IOCs)?

Los IOCs se definen como cualquier tipo de información que sea indicativa de que un sistema, red o dispositivo puede haber sido comprometido por actividades maliciosas.

Ya que funcionan como "pistas" para identificar amenazas, los expertos en ciberseguridad se ocupan de recopilar indicadores de compromiso y analizarlos, además de instalar herramientas para detectarlos en los sistemas que se desea proteger.

Los IOCs no suponen pruebas definitivas de que haya ocurrido un ataque. Son, más bien, señales que podrían indicar actividad maliciosa. Por eso, siempre deben complementarse con análisis adicionales para su verificación.

¿Para qué se utilizan los IOCs?

En pocas palabras, los IOCs suponen una herramienta útil para detectar incidentes de seguridad, ya sea porque el ataque se haya producido o por existir un comportamiento anómalo que puede ser un primer paso en una amenaza.

Ejemplos de indicadores de compromiso 

• Direcciones IP maliciosas, analizadas y registradas en las listas negras elaboradas por expertos en ciberseguridad y feeds de inteligencia de amenazas.
• Dominios maliciosos, que también aparecen en los registros, y son utilizados para enviar campañas de phishing o alojar sitios web maliciosos.
• Patrones de tráfico de red anómalos, es decir, que no se corresponden con los comportamientos normales en la red. Este tipo de señal puede indicar que se está tratando de acceder al sistema, tomar su control o acceder a los datos.
• Hashes de archivo sospechosos, que pueden ser indicativos de malware.
• Comportamientos inusuales de usuarios, especialmente de los usuarios con privilegios y acceso a áreas sensibles para la organización. Entre estos IoC se incluyen intentos de inicio de sesión desde ubicaciones geográficas inesperadas, múltiples intentos fallidos de autenticación en recursos críticos de la organización, o cambios sospechosos en configuraciones y registros de sistemas de la organización.

¿Por qué son importantes los IOCs para una estrategia de ciberseguridad?

Detección de amenazas

Como parte de las estrategias de inteligencia de amenazas, los IOCs son útiles para identificar actividades maliciosas y contener un ataque en curso, evitando que se convierta en un incidente grave. Por ejemplo, al detectar un hash de archivo malicioso en un sistema, es posible bloquearlo antes de que se ejecute y propague el malware.

Mejora de la inteligencia de amenazas

Tal y como se explica más abajo, los IoC son verdaderamente útiles para los equipos de seguridad cuando aportan contexto sobre la ciberamenaza detectada, guiándoles en la decisión de qué acciones llevar a cabo. Un IoC acompañado de detalles como la fecha de detección, la fuente de la amenaza, el objetivo potencial o el impacto asociado permite a los equipos de seguridad priorizar su respuesta.

En este sentido, la compartición de inteligencia con la comunidad de ciberseguridad es un pilar fundamental en la lucha contra las amenazas digitales. Los IOCs son verdaderamente útiles cuando están contextualizados e implican acceso a información adicional que permite guiar a los equipos de seguridad sobre qué acciones tomar. Nutrirse de este ecosistema permite no solo fortalecer las capacidades defensivas de las organizaciones, sino también contribuir al esfuerzo colectivo por mantener un entorno digital más seguro.

Principales fuentes para identificar IOCs

La recopilación de información referente a los IOCs supone buscar datos en fuentes variadas, en vistas a obtener un panorama completo y actualizado sobre los indicadores de compromiso más comunes. Así, las fuentes de información pueden ser internas y externas: 

Fuentes internas

Se trata de datos recopilados por parte de la propia organización a través de sus estrategias de detección. Algunas fuentes clave en esta categoría incluyen datos históricos recogidos en:

• Logs del sistema
• Alertas de firewall
• Registros de los programas de antivirus
• Logs de aplicaciones web
• Registros de bases de datos

Se trata de fuentes de información extremadamente valiosas para las organizaciones ya que se refieren directamente a sus propios recursos, redes y sistemas. 

Los equipos humanos de expertos en ciberseguridad se ocupan de tareas de alto valor vinculadas al análisis de datos. Se incluyen aquí acciones de ingeniería inversa (descomponiendo los sistemas para entender su funcionamiento), análisis forense o la generación de entornos controlados para la ejecución de posibles artefactos maliciosos. 

Todo un conjunto de acciones extremadamente útiles para la obtención de inteligencia adicional y más precisa sobre amenazas que podrían permanecer ocultas o encriptadas de otra manera. En pocas palabras, este tipo de acciones se orientan a diseccionar los ítems sospechosos para extraer información que pueda ser útil, y después incorporarla a la base de datos de los IOCs. 

Fuentes externas 

Más allá de la inteligencia propia de las organizaciones, es posible acudir a fuentes externas para recopilar información sobre amenazas conocidas y posibles vulnerabilidades. Entre los recursos disponibles en esta categorías destacan:

• Listas de amenazas públicas: bases de datos sobre IOCs conocidos, incluyendo direcciones IP maliciosas, dominios maliciosos o hashes de archivos infectados, entre otras. 
• Intercambio de información entre empresas: a través de plataformas colaborativas (como los ISACs o los TIPs), que facilitan el intercambio de información.
• Informes de ciberseguridad: proporcionan análisis detallados de amenazas y son elaborados por autoridades y expertos en materia de ciberseguridad. En España, un ejemplo es el CERT, organismo que publica de forma frecuente informes detallando vulnerabilidades críticas y amenazas emergentes.

Además, las fuentes externas de inteligencia pueden clasificarse en abiertas y privadas, que tienen características y aplicaciones distintas, pero que son complementarias:

• La inteligencia de fuentes abiertas, también conocida como Open Source Intelligence (OSINT) son un recurso valioso y accesible para recopilar información de dominio público. Estas fuentes incluyen informes de inteligencia publicados por expertos en ciberseguridad, plataformas comunitarias, bases de datos públicas y análisis técnicos disponibles en blogs, como los que publica la unidad de inteligencia del S2 Grupo, Lab52.

• Las fuentes privadas de inteligencia se distinguen por ser servicios especializados, generalmente ofrecidos por empresas de ciberseguridad, como los servicios ofertados por la unidad de inteligencia de S2 Grupo, Lab52. Estas fuentes suelen proporcionar datos exclusivos, que incluyen análisis detallados de campañas maliciosas, monitoreo de infraestructuras utilizadas por actores de amenazas y acceso a indicadores de compromiso enriquecidos con contexto estratégico.

Ambas son esenciales en una estrategia de inteligencia efectiva. Las fuentes abiertas ofrecen una visión general del panorama de amenazas, mientras que las privadas permiten profundizar en aspectos críticos con un enfoque personalizado.

Herramientas para la detección de IOCs

Herramientas automáticas de análisis de amenazas

Orientadas a analizar grandes volúmenes de datos en busca de indicadores de compromiso, cuentan con tecnología avanzada para detectar patrones, clasificarlos y generar alertas. 

Frente a los análisis manuales, las herramientas automáticas proporcionan mayor inmediatez y capacidades de lidiar con grandes volúmenes de datos. 

Algunos ejemplos de este tipo de herramientas incluyen VirusTotal o AlienVault USM, además de las herramientas SIEM (Security Information and Event Management), capaces de detectar anomalías o comportamientos inusuales.

Cómo integrar los IOCs en una estrategia de ciberseguridad

Proceso de implementación de IOCs en la infraestructura

Una vez reunidos los IOCs, la inteligencia obtenida debe ser incorporada a la infraestructura de defensa de forma correcta para poder ser utilizada. 

Para ello, los IOCs deben pasar por un proceso de normalización (garantizando formatos estándar) y clasificación según prioridades (según peligrosidad e impacto de la amenaza).

Tras la normalización, es recomendable correlacionar y analizar los IOCs en los propios sistemas y datos históricos, en busca de posibles signos de compromiso. Son útiles aquí las herramientas SIEM o las plataformas específicas de inteligencia de amenazas.  

Finalmente, la estrategia debe culminar con la automatización de procesos, incorporando los IOCs relevantes a las herramientas capaces de detectarlos y activar alarmas. 

Es el caso de los sistemas SIEM, Firewalls, IPS y las soluciones EDR, que se ocupan del monitoreo en los puntos de acceso. Igualmente, los dominios y URLs sospechosos se incorporan a las herramientas de protección de la navegación web. 

Monitoreo y actualización continua de IOCs 

Mantener los IOCs actualizados resulta imprescindible en un contexto en el que las amenazas evolucionan continuamente. En este sentido, los equipos de ciberseguridad deben incorporar esfuerzos específicos para actualizar sus políticas y su inteligencia de amenazas de forma continua.

La suscripción a feeds de amenazas públicas y la participación activa en comunidades de ciberseguridad resultan clave en este sentido. 

En definitiva, se trata de integrar múltiples fuentes de inteligencia que capaciten a los equipos para tener una visión completa y 100% actualizada de las amenazas.

Desafíos y limitaciones en el uso de IOCs

Falsos positivos y negativos 

Es aquí donde entra en juego la capacidad de los equipos humanos para validar e interpretar la información, de modo que sea posible diferenciar amenazas reales de falsos positivos. Igualmente, los falsos negativos pueden suponer un problema al que los expertos en ciberseguridad deben estar atentos.

En ambos casos, los esfuerzos que se hayan realizado en obtener inteligencia adicional sobre IOCs y su contextualización van a dar aquí sus frutos, otorgando herramientas clave a los equipos humanos.

Necesidad de análisis contextual 

Complementar los IOCs con análisis contextuales resulta imprescindible para convertir los datos en inteligencia verdadera. 

Se trata aquí de garantizar que los indicadores cuentan con información que ayuda a los analistas de seguridad a comprender mejor cada posible amenaza. 

Entre otras, añadir contexto puede estar relacionado con contestar a las siguientes cuestiones: 

• ¿Cuál es el posible origen del indicador? 
• ¿Con qué tipo de amenaza concreta se relaciona? 
• ¿Qué nivel de importancia tiene? 
• ¿Cómo puede afectar específicamente a la arquitectura de ciberseguridad de la información?

Por ejemplo, un IOC del tipo dominio malicioso puede estar asociado al contexto de una campaña de phishing concreta que, a su vez, queda relacionada con un conjunto de ataques y tácticas a las que prestar atención.

Solo a través del contexto es posible analizar de forma exhaustiva un IOC y tomar decisiones informadas sobre cómo proceder. En este sentido, contextualizar los IOCs garantiza que los equipos humanos son capaces de:

• Priorizar las amenazas y las tácticas de respuesta en base a su gravedad e impacto. Algunas amenazas pueden ser recurrentes y no representar un problema inmediato, mientras que otras requieren una respuesta instantánea. El contexto permite discernir entre estos niveles y catalogar las amenazas.
• Generar un repositorio de inteligencia de amenazas completo. Es decir, es posible ir más allá de recopilar IOCs, pudiendo añadir información exhaustiva sobre tendencias y patrones de ataque a lo largo del tiempo, lo cual fortalece las defensas de forma proactiva.  
• Implementar mejores acciones de mitigación. Al contar con más información y contexto sobre un indicador, los equipos humanos pueden desarrollar estrategias de mitigación más completas. Esto, en última instancia, implica que la respuesta al incidente sea más dirigida y precisa y, por lo tanto, tenga mayor probabilidad de ser exitosa.
• Un paso adelante en el intercambio de información. Añadir contexto y compartirlo junto al IOC con la comunidad de ciberseguridad facilita la lucha contra el cibercrimen para todas las organizaciones desde un punto de vista colaborativo.

En definitiva, el contexto en torno a los IOCs garantiza que la información obtenida va más allá de un listado de indicadores y abre la puerta al desarrollo de una verdadera inteligencia de amenazas capaz de frenar los ataques cada vez más sofisticados que desarrollan los cibercriminales hoy en día.

Desde S2 Grupo, acompañamos a las organizaciones en el desarrollo de sus estrategias de ciberseguridad. En este sentido, nuestra solución de Ciberinteligencia Avanzada ofrece información actualizada, útil y de carácter práctico sobre las principales tendencias en ciberamenazas, incluyendo los indicadores de compromiso. 

Desde la unidad de inteligencia de S2 Grupo, Lab52, ayudamos a las organizaciones a incorporar estrategias basadas en los IOCs. Además, nos ocupamos de una amplia gama de recursos vinculados a la inteligencia de amenazas: desde la asesoría sobre ciberprotección de datos a los estudios sobre el perfil de grupos APT y los movimientos geopolíticos más relevantes para la ciberseguridad.

Para ello, ponemos a disposición de nuestros clientes los conocimientos de nuestro equipo analista experto, capaz de investigar las Técnicas, Tácticas y Procedimientos (TTP) de los ciberdelincuentes y generar sistemas defensivos basados en esta información.

Para saber más sobre cómo llevar la inteligencia de amenazas de tu organización al siguiente nivel, ponte en contacto con nosotros y habla con nuestro equipo de expertos sobre cómo podemos ayudarte.