Amenaza avanzada persistente (APT)
En inteligencia de amenazas, una advanced persistent threat (APT) es un atacante con recursos que va a por una entidad concreta y mantiene el acceso durante largos periodos hasta cumplir un objetivo. Las dos palabras que la definen son dirigida y persistente: el adversario te ha elegido y está dispuesto a quedarse, y eso cambia lo que la defensa tiene que conseguir.
Qué es una amenaza avanzada persistente
Una amenaza avanzada persistente (APT, por sus siglas en inglés) es una campaña sostenida y dirigida contra unos sistemas concretos, no un ataque suelto. Quien la ejecuta busca entrar, quedarse sin que le detecten y sacar información o mantener la vigilancia durante largos periodos.
La distinguen tres rasgos. Es dirigida: el objetivo se ha elegido, no ha caído por casualidad. Es persistente: el acceso se mantiene en el tiempo en vez de agotarse en un golpe. Y viene con recursos: herramientas propias y técnicas de evasión que no aparecen en un ataque oportunista.
Suele seguir un recorrido reconocible: selección del objetivo, entrada, establecimiento de la persistencia, movimiento lateral y exfiltración de datos. Los objetivos son estratégicos, desde información clasificada o propiedad intelectual hasta la vigilancia continuada de una organización concreta.
Cómo funciona
La diferencia es de intención y de recursos, no de herramientas. Un operador de oportunidad escanea internet, se lleva lo que cae y se marcha en cuanto un objetivo se resiste. Un actor persistente elige primero el objetivo y después dedica tiempo a entenderlo: los proveedores, las tecnologías, las personas, los horarios. Los objetivos suelen ser inteligencia, propiedad intelectual o posicionarse para una interrupción posterior, así que la operación se mide en meses y un acceso silencioso vale más que una ganancia inmediata.
De ahí se deriva la paciencia como técnica. Reconocimiento lento, un número pequeño de credenciales usadas con cuidado, varias vías independientes de regreso y actividad ajustada al horario normal de trabajo para confundirse con él.
Qué sale mal
La palabra avanzada hace esperar herramientas exóticas, y la entrada no suele tener nada de exótico: un correo de phishing dirigido a cuatro personas, un proveedor con una ruta de red de confianza, un dispositivo de borde sin parchear o credenciales compradas a un intermediario. La sofisticación aparece después, en el oficio, en cómo maneja el operador las credenciales y en el cuidado que pone en no hacer ruido.
La consecuencia práctica es que una defensa con forma de prevención es la apuesta equivocada contra esta clase de adversario. Quien va a intentarlo durante seis meses acabará encontrando una vía, así que la pregunta que importa es cuánto se tarda en advertir el movimiento que viene después, y esa es una pregunta de detección y de respuesta. Por eso assumed breach es la postura de partida razonable en un ejercicio contra este perfil.
El segundo fallo es consumir inteligencia como nombres en vez de como comportamiento. Cargar los indicadores de compromiso publicados de un grupo te da su infraestructura de una operación anterior. Leer las técnicas y mapearlas contra ATT&CK te da algo que sigue sirviendo después de que el operador cambie de servidores.
Dónde aparece esto en una auditoría
Un ejercicio contra este perfil es emulación de adversarios: elegimos un actor cuyos intereses incluyan de forma verosímil el sector del cliente, tomamos sus técnicas documentadas y ejecutamos esas en vez de nuestras preferidas. El valor está en que el informe de cobertura resultante habla del comportamiento de un adversario real y no de una lista genérica. El entregable es la cronología de nuestra actividad frente a lo que vieron los defensores, y la medida honesta es el tiempo hasta la detección, no si entramos o no. Esto forma parte de cómo un ejercicio de adversario reproduce a un atacante dirigido.