Qué es la inteligencia sobre amenazas

La inteligencia sobre amenazas (threat intelligence o CTI) es información sobre adversarios, sus métodos y su infraestructura, analizada y puesta en contexto para que una organización decida mejor cómo prevenir, detectar y responder a un ataque. No es una lista de indicadores: es información útil para una decisión concreta, con fuente, fecha y confianza.

Qué es la inteligencia sobre amenazas, en detalle

NIST describe la información sobre ciberamenazas como los datos que ayudan a una organización a tratar con esas amenazas, incluidos los indicadores de compromiso, y recuerda que quien la comparte mejora su propia postura de seguridad [1]. De esa definición conviene quedarse con dos ideas: la información existe para servir a una decisión, y su valor crece cuando circula entre organizaciones.

En la práctica distinguimos tres capas, y es útil no mezclarlas:

• Dato: un hash, una IP, un dominio. Aislado, no dice nada.
• Información: ese dato enlazado a una campaña, a una familia de malware o a una vulnerabilidad concreta.
• Inteligencia: la información evaluada frente a tu entorno. «Esta campaña explota un producto que sí usamos y todavía no hemos parcheado» es inteligencia; «esta IP es maliciosa» es, como mucho, un dato.

Esta distinción es nuestro criterio de trabajo, no una norma: sirve para recordar que el valor se genera en la tercera capa.

Los cuatro tipos de inteligencia sobre amenazas

Un marco de trabajo habitual (no una norma) separa cuatro niveles según quién la consume:

MITRE ATT&CK es la referencia común para el nivel táctico: una base de conocimiento de tácticas y técnicas de adversarios construida a partir de observaciones reales [2]. Mapear detecciones a ATT&CK permite saber qué técnicas cubres y cuáles no.

Cómo se produce: el ciclo de inteligencia

La inteligencia no se descarga, se produce. El ciclo clásico tiene seis pasos:

1. Requisitos: qué decisiones necesita apoyar (parchear, priorizar, invertir). Sin esto, todo lo demás es ruido.
2. Recolección: fuentes abiertas, boletines de CERT/CSIRT, intercambios sectoriales, proveedores comerciales y telemetría propia.
3. Procesamiento: normalizar, eliminar duplicados, descartar lo caducado.
4. Análisis: contrastar con tu inventario de activos y tu exposición, y asignar confianza.
5. Difusión: entregar a cada consumidor en su formato (una nota a dirección, una regla de detección para el SOC).
6. Retroalimentación: medir si ayudó a decidir algo. Si no, se cambian los requisitos.

Fuentes y estándares para compartirla

Una buena práctica es combinar varias fuentes con distinto sesgo. Dos ejemplos públicos y gratuitos:

• El catálogo de vulnerabilidades explotadas activamente de CISA, que describe como la fuente autorizada de vulnerabilidades explotadas en el mundo real [3].
• Los informes de panorama de amenazas, como el ENISA Threat Landscape 2025, que analiza 4.875 incidentes entre el 1 de julio de 2024 y el 30 de junio de 2025 [4].

Para intercambiar información entre organizaciones existen estándares abiertos:

• STIX es un lenguaje y formato de serialización para intercambiar inteligencia sobre ciberamenazas, y TAXII un protocolo de capa de aplicación para transportarla por HTTPS [5].
• TLP 2.0 (Traffic Light Protocol) etiqueta hasta dónde se puede redistribuir cada pieza: TLP:RED, TLP:AMBER, TLP:GREEN y TLP:CLEAR [6].

Qué dicen los datos y qué cambia en tu priorización

El informe de ENISA identifica el phishing (60 %) y la explotación de vulnerabilidades (21,3 %) como los dos principales puntos de acceso inicial en los incidentes analizados [7]. Es una cifra agregada y no describe a tu empresa, pero orienta dónde mirar primero: correo y exposición de sistemas.

Aquí la inteligencia se traduce en una tarea muy concreta, la priorización de parches. Un catálogo de vulnerabilidades explotadas [3] indica qué fallos ya se usan en ataques reales, y modelos como EPSS estiman la probabilidad de que un CVE publicado sea explotado [8]. Combinados con la gravedad técnica (CVSS [9]) y con lo que tienes realmente expuesto, evitan parchear por orden alfabético.

Para qué sirve en una empresa, caso por caso

• Gestión de vulnerabilidades: decidir qué se corrige esta semana y qué puede esperar.
• Detección: convertir técnicas de adversarios en reglas y búsquedas. Es la base de un SOC gestionado (SOCaaS / MDR), donde la inteligencia alimenta el threat hunting.
• Respuesta a incidentes: NIST integra la respuesta a incidentes en la gestión de riesgos de ciberseguridad y en el marco CSF 2.0 [10]; contar con contexto del adversario acorta la fase de análisis.
• Pruebas ofensivas: orientar un pentesting o Red Team hacia las técnicas que de verdad usan los atacantes de tu sector.
• Riesgo de terceros: gestionar el riesgo de proveedores críticos, un terreno que cubre nuestra solución de gestión de riesgos de terceros y cadena de suministro y la plataforma HodeiShield.
• Dirección y cumplimiento: justificar inversiones con amenazas relevantes para el negocio, dentro de un enfoque de consultoría GRC.

Errores habituales

• Acumular feeds sin contexto. Más indicadores no es más inteligencia; sin cruzarlos con tu inventario solo generan alertas.
• No tener un consumidor definido. Si nadie decide nada con ella, no es inteligencia.
• Ignorar la caducidad. Un indicador de hace meses puede ser hoy una dirección legítima reasignada.
• No cerrar el ciclo. Sin retroalimentación, los requisitos nunca se afinan.
• Tratarla como un producto en lugar de un proceso. Comprar una suscripción no sustituye al análisis.

Cómo empezar sin un equipo de analistas

1. Escribe tres decisiones que quieras apoyar (por ejemplo, qué parchear primero, qué proveedores vigilar, qué reglas de detección priorizar).
2. Inventaría tus activos expuestos a Internet; sin ese inventario no hay contexto.
3. Suscríbete a dos o tres fuentes de calidad y descarta el resto.
4. Asigna un responsable y una cadencia semanal de revisión.
5. Mide: ¿qué decisión cambió gracias a la inteligencia esta semana?

Si no quieres montarlo internamente, un servicio de SOCaaS / MDR incorpora este ciclo con analistas. Y si quieres saber qué ve un atacante de tu dominio desde fuera, puedes consultar las plazas del radar externo.

Y la inteligencia artificial, ¿cambia algo?

Sí, pero no sustituye al ciclo. Hemos desarrollado ese punto en un artículo aparte: cómo mejora la IA la inteligencia de amenazas frente a los métodos tradicionales.

Preguntas frecuentes

¿Qué es la inteligencia sobre amenazas?

Es información sobre adversarios y sus métodos, analizada en el contexto de tu organización para apoyar una decisión de seguridad concreta: qué parchear, qué vigilar, qué detectar o dónde invertir.

¿Cuál es la diferencia entre un indicador de compromiso y la inteligencia?

Un indicador de compromiso (hash, IP, dominio) es un dato técnico. La inteligencia lo vincula a una campaña, evalúa su relevancia para tu entorno y le asigna fuente, fecha y confianza. NIST incluye los indicadores dentro de la información sobre ciberamenazas, pero esta abarca más que ellos [1].

¿Necesita una pyme inteligencia sobre amenazas?

Sí, aunque no hace falta un equipo propio. Basta con usar fuentes públicas fiables, como el catálogo de vulnerabilidades explotadas de CISA [3], para decidir qué parchear primero, o contratar un servicio gestionado que lo haga por ti.

¿Qué son STIX, TAXII y TLP?

STIX y TAXII son estándares abiertos para describir y transportar inteligencia sobre ciberamenazas [5]. TLP es un sistema de etiquetas que indica hasta dónde puede compartirse una información [6].

¿Cómo se relaciona con MITRE ATT&CK?

ATT&CK ofrece un vocabulario común de tácticas y técnicas [2]. La inteligencia táctica se expresa en esos términos para que el equipo de detección sepa qué técnicas debe cubrir.

Siguiente paso

Si quieres convertir la inteligencia en detección y respuesta reales, habla con el equipo de Hodeitek o conoce HodeiShield, nuestra plataforma para la gestión de riesgo de terceros y el cumplimiento.

Fuentes

1. Guide to Cyber Threat Information Sharing (SP 800-150). NIST. https://csrc.nist.gov/pubs/sp/800/150/final
2. MITRE ATT&CK. MITRE. https://attack.mitre.org/
3. Known Exploited Vulnerabilities Catalog. CISA. https://www.cisa.gov/known-exploited-vulnerabilities-catalog
4. ENISA Threat Landscape 2025. ENISA, 2025-10-01. https://www.enisa.europa.eu/publications/enisa-threat-landscape-2025
5. STIX and TAXII documentation. OASIS Open. https://oasis-open.github.io/cti-documentation/
6. Traffic Light Protocol (TLP) 2.0. FIRST. https://www.first.org/tlp/
7. ETL 2025: EU consistently targeted by diverse yet convergent threat groups. ENISA, 2025-10-01. https://www.enisa.europa.eu/news/etl-2025-eu-consistently-targeted-by-diverse-yet-convergent-threat-groups
8. Exploit Prediction Scoring System (EPSS). FIRST. https://www.first.org/epss/
9. Common Vulnerability Scoring System (CVSS). FIRST. https://www.first.org/cvss/
10. Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile (SP 800-61 Rev. 3). NIST, 2025-04-03. https://csrc.nist.gov/pubs/sp/800/61/r3/final