La pirámide del dolor

La pirámide del dolor coloca los rastros que deja un adversario en niveles, de abajo arriba, según el dolor que le causa que los detectes y tenga que cambiarlos. Abajo, los valores concretos —un hash de archivo, una dirección de red, un nombre de dominio— triviales de sustituir. En medio, artefactos de red y de host y herramientas. Arriba del todo, las tácticas, técnicas y procedimientos: su forma de operar. Cuanto más arriba detectas, más caro le sale seguir.

No es que los niveles bajos no sirvan —bloquear una dirección conocida es barato y útil hoy—; es que caducan. La pirámide no dice «ignora lo de abajo», dice «sabe lo que dura cada cosa y gasta tu esfuerzo de caza donde más le cuesta al adversario».

En la base están los indicadores que el adversario cambia sin esfuerzo. Un hash de archivo cambia recompilando o tocando un byte; una dirección de destino, moviéndose a otro servidor; un dominio, registrando otro. Detectar sobre ellos funciona exactamente hasta que el adversario rota —a veces horas—. Son útiles para el bloqueo inmediato, pero una caza anclada solo ahí se queda ciega en la siguiente campaña del mismo actor.

Por eso un hallazgo de caza no termina en la dirección de hoy. La dirección es el principio del hilo —¿qué proceso la abrió, con qué patrón?—, no el final que se convierte en regla.

En la cima están las tácticas, técnicas y procedimientos: cómo opera el adversario, no con qué. «Una tarea programada que lanza un intérprete desde una carpeta temporal del perfil» describe una conducta, y abandonarla le obliga a rediseñar su forma de persistir, no a cambiar un valor. Por eso detectar arriba duele: el adversario puede cambiar su malware entero y, si sigue operando igual, la detección de conducta lo sigue viendo.

Subir en la pirámide cuesta más trabajo de caza —la conducta es más difícil de describir que un hash— pero rinde mucho más tiempo. Es la misma idea que recorre la ruta: el nombre y la ruta son baratos, la conducta es cara.

El cazador tiene tiempo finito, así que decide dónde anclar la detección que deja. Gastarlo en el nivel bajo da victorias de un día; gastarlo arriba, en la conducta, da detecciones que aguantan campañas. La estrategia madura usa los dos: bloquea lo barato hoy porque es gratis, pero invierte el esfuerzo de caza en describir la conducta, que es lo que el adversario no puede abandonar sin coste.

Preguntarse «si esto lo detecto, ¿qué le obligo a cambiar?» ordena el trabajo. Si la respuesta es «un valor», la detección es de usar y tirar; si es «su forma de operar», vale la inversión.

Abre el laboratorio de la pirámide. El informe de la caza de Brío dejó cuatro rastros del actor CENIZA LENTA, cada uno en un nivel distinto de la pirámide. Ordénalos por lo que le costaría al adversario cambiarlos y quédate con el que está en la cima —la conducta, lo más caro de abandonar—. La ficha de ese rastro lleva el código.