Este ciclo no es una receta mágica ni siempre lineal. Es un modelo mental de trabajo. En la práctica se avanza, se retrocede y se repite. Pensar que es lineal es el primer error del principiante.
1. Reconocimiento
Aquí no se ataca. Aquí se observa.
El objetivo es responder a una pregunta básica pero poderosa:
¿Qué existe ahí fuera que pueda ser relevante?
Se recopila información del objetivo sin interactuar directamente o con la mínima huella posible.
Incluye:
Dominios, subdominios, IPs
Rangos de red
Tecnologías usadas
Información pública de la organización
Usuarios, correos, patrones
Es como mirar un edificio desde la calle: cuántas puertas tiene, cuántas ventanas, si hay cámaras, si alguien entra y sale.
Error típico del alumno: querer usar exploits aquí. Lección clave: sin información, cualquier ataque es ruido.
2. Enumeración
Ahora sí se empieza a tocar el sistema… con cuidado.
La enumeración responde a otra pregunta crítica:
¿Qué servicios concretos están activos y cómo se comportan?
Aquí se baja al detalle:
Puertos abiertos
Servicios y versiones
Rutas web
Usuarios válidos
Recursos compartidos
Respuestas del sistema
La diferencia con el reconocimiento es la profundidad. Si el reconocimiento es el mapa, la enumeración es poner nombres a las calles.
Error típico: escanear sin entender los resultados. Lección clave: un puerto abierto no es una vulnerabilidad; es una pista.
3. Explotación
Aquí ocurre lo que todos esperan… pero solo debería llegar cuando hay base suficiente.
La pregunta ahora es directa:
¿Puedo aprovechar esto para obtener acceso?
Explotar no significa “romperlo todo”, significa:
Ejecutar código
Saltarse autenticaciones
Obtener una shell
Acceder a información sensible
Puede ser:
Automático (frameworks)
Manual (mucho más interesante didácticamente)
Error típico: lanzar exploits al azar. Lección clave: explotar es confirmar una hipótesis, no probar suerte.
4. Post-explotación
Este es el bloque que diferencia a un curioso de un profesional.
Una vez dentro, la pregunta cambia:
¿Hasta dónde puedo llegar y qué impacto real tiene esto?
Aquí se evalúa:
Qué permisos se tienen
Si se puede escalar privilegios
Qué otros sistemas son accesibles
Qué datos pueden extraerse
Qué persistencia sería posible
No se trata de “hacer daño”, sino de medir consecuencias.
Error típico: quedarse satisfecho con “ya entré”. Lección clave: una intrusión sin impacto medido no sirve para nada.
5. Reporte
El paso más infravalorado… y el más importante.
El objetivo no es impresionar, es comunicar.
Un buen reporte responde a:
Qué se hizo
Cómo se hizo
Qué se consiguió
Qué riesgo real existe
Cómo se puede mitigar
Aquí el lenguaje cambia:
Técnico para técnicos
Claro y ejecutivo para responsables
Error típico: pensar que esto es “relleno”. Lección clave: si no se puede explicar, no existe.
¿Qué es MITRE ATT&CK?
La caja MITRE ATT&CK es, básicamente, el mapa oficial del “cómo” atacan los adversarios. No es una herramienta, no es un exploit, y no sirve para “hackear” directamente. Sirve para pensar con rigor.
Si el ciclo clásico te dice en qué fase estás, MITRE ATT&CK te dice qué tácticas y técnicas existen en cada fase. Ciencia del mal comportamiento, documentada con obsesión académica.
MITRE ATT&CK (Adversarial Tactics, Techniques and Common Knowledge) es una base de conocimiento que recoge:
Técnicas reales usadas por atacantes
Observadas en incidentes reales
Clasificadas y normalizadas
Mantenida por MITRE (organización sin ánimo de lucro)
No habla de herramientas concretas. Habla de comportamientos.
La “caja” ATT&CK
Se suele representar como una matriz (una caja grande):
Columnas → Tácticas (el por qué)
Filas → Técnicas (el cómo)
Cada celda responde a:
Para conseguir este objetivo, ¿qué formas conocidas existen?
Tácticas principales (Enterprise)
Las tácticas son intenciones del atacante. No son pasos estrictos, pero sí un flujo lógico.
Reconnaissance – Recopilar información
Resource Development – Preparar infraestructura
Initial Access – Primer acceso al sistema
Execution – Ejecutar código
Persistence – Mantener acceso
Privilege Escalation – Subir permisos
Defense Evasion – Evitar detección
Credential Access – Obtener credenciales
Discovery – Conocer el entorno interno
Lateral Movement – Moverse por la red
Collection – Recopilar datos
Command and Control – Comunicación con el atacante
Exfiltration – Sacar información
Impact – Daño o efecto final
Observa algo interesante: no es lineal. Es un grafo mental.
Técnicas y sub-técnicas
Cada táctica contiene técnicas numeradas (por ejemplo T1059).
