La ciberseguridad corporativa enfrenta diferentes retos, uno de ellos: la velocidad con la que cambia la infraestructura empleada en ataques informáticos invalida rápidamente las defensas tradicionales.
El análisis técnico ‘Búsqueda de IoC en acción: técnicas prácticas para correlacionar indicadores‘, desarrollado por Damir Shaykhelislamov, especialista del Departamento de Soluciones de Seguridad Avanzadas de Kaspersky, advierte que limitarse a detectar pistas individuales —como una dirección IP sospechosa o el nombre de un archivo infectado— resulta insuficiente para contener vulneraciones complejas.
El estudio técnico propone la correlación estratégica de Indicadores de Vulneración (IoC, por sus iniciales en inglés) como una disciplina indispensable para transformar datos aislados en conocimiento accionable sobre el comportamiento de los atacantes.
Vale la pena tener en cuenta que, según el Panorama de Amenazas 2025 de Kaspersky, América Latina se consolidó como la región más afectada por ransomware en el mundo, con el 8,13 % de las organizaciones alcanzadas. Entre agosto de 2024 y junio de 2025 la firma registró más de 1,1 millones de intentos de ransomware en la región, unos 3.000 diarios.
Brasil encabeza la lista con 549.000 registros, seguido de México (237.000), Chile (43.000), Ecuador (37.000) y Colombia (35.000). En paralelo, Kaspersky reportó que en 2025 detectó cerca de medio millón de archivos maliciosos nuevos al día a nivel global.
Las amenazas silenciosas –las que mejor se rastrean con correlación de indicadores– son las que más crecen: los backdoors (accesos ocultos que dejan los atacantes) aumentaron 24 %, los ladrones de contraseñas 35 % y el spyware 64 % en la región.
En Colombia, el foco está en el fraude financiero y la movilidad. Kaspersky bloqueó más de 56.000 ataques de troyanos bancarios en el país en ese periodo, con familias que migraron a Android como Mamont y Creduz, mientras el phishing se mantiene como una de las amenazas más frecuentes, con decenas de miles de bloqueos diarios. La industria tampoco escapa: la compañía advirtió que el 20 % de los sistemas de control industrial en la región fue blanco de ataques.
Índice de temas
¿Por qué la detección básica de indicadores resulta insuficiente ante los ataques modernos?
Los Indicadores de Vulneración actúan como rastros digitales que dejan los incidentes de seguridad. Sin embargo, pasar por alto un solo punto de contacto puede significar ignorar por completo la presencia de un grupo malicioso dentro de la red.
“La verdadera habilidad está en saber correlacionar, partir de una sola pista y ampliar la investigación hacia una red de indicadores relacionados”, explica Shaykhelislamov en la investigación. De acuerdo con el especialista, este proceso permite descubrir la infraestructura oculta del adversario, identificar movimientos laterales entre sistemas y reconstruir la secuencia temporal de la vulneración.
El análisis destaca que la efectividad de la correlación depende de su integración con la Inteligencia de Amenazas (TI). Mientras la correlación extrae valor de los datos internos, las plataformas de TI aportan el contexto exterior necesario para enriquecer la información de manera automatizada.
¿Cuáles son las técnicas clave para reconstruir la infraestructura de un ataque?
El informe técnico detalla metodologías prácticas para diversificar la investigación desde múltiples dimensiones:
- Correlación de infraestructura: El rastreo de registros de DNS pasivo permite vincular direcciones IP con dominios utilizados históricamente. Asimismo, la inspección de certificados SSL/TLS y la identificación de huellas digitales como JA3, JA3S o JARM permiten agrupar servidores maliciosos que comparten configuraciones o herramientas como Cobalt Strike.
- Análisis de registros DNS: Consultar los registros TXT de un dominio sospechoso revela frecuentemente direcciones IP de respaldo para servidores de mando y control (C2), claves de cifrado o mecanismos encubiertos para la entrega de cargas maliciosas.
- Análisis estadístico de tráfico (Beacons): Las comunicaciones periódicas que un equipo comprometido envía a su servidor de control suelen incorporar variaciones aleatorias para evitar ser detectadas. El estudio de intervalos promedio y desviaciones estándar en los registros de red permite identificar estas señales y localizar otros dispositivos afectados.
- Marcadores de código y entornos de pruebas: El uso de herramientas de atribución basadas en código y detonaciones en entornos controlados (sandboxes) facilita la extracción de artefactos dinámicos —archivos descargados, modificaciones en el registro del sistema operativo y comandos ejecutados— para crear reglas de detección automatizadas
¿Qué papel juega la Inteligencia Artificial en esta tarea?
La correlación tradicional depende de la experiencia de cada analista. El procesamiento masivo de información mediante modelos de aprendizaje automático acelera la vinculación de indicadores a gran escala, reduce falsos positivos y detecta patrones en la infraestructura que suelen pasar desapercibidos en revisiones manuales. La combinación entre la capacidad analítica de la Inteligencia Artificial y la validación del personal experto optimiza los tiempos de respuesta del Centro de Operaciones de Seguridad (SOC).
No obstante, el análisis técnico subraya que la correlación de IoC posee límites claros debido al uso de infraestructura efímera por parte de los atacantes, la sobrecarga de datos y las técnicas de evasión avanzadas. Por esta razón, el personal analista de seguridad debe complementar esta práctica con el monitoreo del comportamiento, la detección de anomalías y la alineación con marcos normativos de tácticas y técnicas como MITRE ATT&CK.
Para más información o solicitud de contacto haga clic aquí .
