Ataque combinado

Un ataque combinado es aquel en el que el atacante usa varios métodos y vectores a la vez, de forma coordinada, para comprometer un sistema o una red.

La gracia de combinarlos es superar defensas que se diseñaron cada una para detener una cosa. Un control que bloquea de forma fiable una técnica puede ser irrelevante frente a la siguiente de la secuencia, y el atacante cuenta exactamente con eso.

La combinación puede mezclar explotación técnica con manipulación de personas, y de vez en cuando con acceso físico, apuntando a un resultado concreto: robar datos, interrumpir un servicio o socavar la integridad de un sistema.

Defenderse de ellos es más difícil por una razón estructural: exige que aguanten la tecnología, los procesos y las personas, y al atacante le basta con el más flojo de los tres.

Qué lo caracteriza

Más de un vector. Explotación de software, ingeniería social, malware y técnicas de evasión usados en conjunto y no por separado.

Coordinación. El orden y el momento están elegidos. Una acción crea las condiciones para la siguiente, y a veces una está ahí solo para tener ocupada a la gente que de otro modo estaría mirando.

Amenaza diversificada. Actividad digital combinada con tácticas físicas o sociales, en cualquiera de los dos órdenes: acceso físico usado para plantar un punto de apoyo, o un compromiso digital usado para facilitar el acceso físico.

Persistencia y adaptación. Estos ataques intentan establecer un punto de apoyo que sobreviva, y ajustarse a medida que las defensas reaccionan. Eso es lo que los separa de un intento oportunista suelto.

Un ejemplo

Una organización es el objetivo.

Los atacantes empiezan con una campaña de phishing y obtienen las credenciales de un empleado con acceso útil.

Con esas credenciales llegan a la red interna. Una vez dentro, despliegan malware en varios sistemas y usan evasión para mantenerse fuera de las alertas.

Al mismo tiempo lanzan un ataque de denegación de servicio contra los servidores expuestos a internet, que interrumpe el servicio en línea y, igual de importante, mantiene ocupado al equipo de operaciones.

Al amparo de esa confusión intentan el acceso físico a las instalaciones, buscando sistemas críticos y dispositivos de almacenamiento que se puedan llevar.

Lo que el ejemplo ilustra no es lo exótico de ningún paso concreto. Es que cada paso es corriente, y que la combinación es lo que derrota a una defensa organizada en compartimentos separados.

Dónde encaja el término hoy

Ataque combinado es un término antiguo, y merece la pena decir cómo se corresponde con la forma en que se describen ahora las intrusiones.

Hoy la misma realidad se escribe normalmente como una cadena: acceso inicial, ejecución, persistencia, escalada de privilegios, movimiento lateral e impacto, que es el vocabulario de la kill chain y de MITRE ATT&CK. Casi toda intrusión real es combinada en el sentido original, porque casi ninguna consiste en una sola técnica.

La idea que el término sigue llevando dentro, y la razón por la que merece la pena conservarlo, es el argumento a favor de la defensa en profundidad: un control que detiene un vector no detiene el ataque, detiene un paso del ataque. Lo que decide el resultado es si alguno de los pasos restantes se llega a detectar, que es una cuestión de detección y no de prevención.

El corolario es incómodo y conviene decirlo: una organización puede pasar todas las pruebas de control una por una y aun así acabar comprometida por una secuencia en la que cada paso, por separado, no llama la atención.