CopyFail, XBOW, Mythos… no hace falta convencer a nadie de que el uso de la inteligencia artificial para descubrir y explotar vulnerabilidades, en algunas ocasiones ocultas durante años o especialmente críticas, está cambiando el panorama actual de la investigación de vulnerabilidades, los programas de bug bounty y su uso en ataques reales. Todos estos cambios se traducen, principalmente, en que la velocidad a la que se descubren y explotan las vulnerabilidades por parte de actores de amenazas es considerablemente mayor.
En el mundo del threat intelligence (o el lado defensivo en general) siempre nos vamos a mantener un paso por detrás de los cibercriminales, y debemos adaptarnos constantemente para que esta distancia sea la mínima posible.
Y si estos están utilizando la inteligencia artificial para ser más ágiles, flexibles y eficientes, ¿por qué íbamos nosotros a ser menos?
A lo largo de este artículo repaso varios ejemplos de cómo hemos potenciado algunas de nuestras tareas diarias de threat intelligence haciendo uso de la inteligencia artificial.
1Fuentes
Threat Intelligence: procesado y priorización de fuentes con IA
En el lado más táctico y analítico del Threat Intelligence tenemos que revisar constantemente cientos de artículos, mensajes o entregables de decenas de fuentes (proveedores, investigadores, deep web, threat actors) para mantenernos actualizados sobre las TTPs que se están usando y cuáles son más relevantes para las organizaciones a las que protegemos, con el objetivo final de convertir toda esa información en inteligencia accionable.
Estos ejercicios, especialmente en las primeras fases de recolección, procesado y triaje, requieren una gran inversión de tiempo para que finalmente solo una décima parte de lo recolectado resulte de utilidad real. Cuando hay que enfocarse en amenazas sobre las que no existe monitorización continua, el problema es aún mayor: solo llegar a tener una visión global de esas amenazas resulta especialmente costoso.
Para estos casos, la llegada de la inteligencia artificial, en especial los LLMs (Large Language Models), aligera considerablemente el esfuerzo de procesamiento de información de nuestras fuentes. Dado un contexto depurado de nuestro enfoque, objetivos y las características de las organizaciones a las que asistimos, estos modelos son capaces de procesar grandes cantidades de información estableciendo prioridades, resúmenes y puntos clave que ayudan a los analistas a prestar más atención a lo que realmente aporta valor.
2Exploit
Desarrollo de exploits con Inteligencia Artificial
Prácticamente a diario se publican nuevas vulnerabilidades sobre tecnologías que afectan potencialmente a nuestros clientes. A veces estos reportes contienen más información, como informes técnicos en profundidad o incluso ejemplos de exploits a modo de prueba de concepto, pero en la mayoría de las ocasiones no es así y debemos conformarnos con una breve descripción a alto nivel.
Si bien los fabricantes suelen parchear rápidamente estas vulnerabilidades, en la práctica esos parches no siempre se aplican a la velocidad que a todos nos gustaría, y desde los equipos de threat intelligence debemos prepararnos siempre ante cualquier posibilidad. Conocer cómo puede un atacante abusar de estas vulnerabilidades y cómo detectarlo a tiempo es imprescindible, especialmente en las primeras horas desde su publicación.
Para ello, siempre en un contexto seguro, podemos usar la inteligencia artificial para desarrollar pruebas de concepto o exploits funcionales, independientemente de nuestro conocimiento de base de la tecnología afectada. Al final, va a ser lo mismo que hagan los atacantes, y cada vez lo vemos con más frecuencia cuando se publican nuevas vulnerabilidades.
¿Tu equipo necesita apoyo en Threat Intelligence?
En Sofistic combinamos IA y analistas expertos para convertir cientos de fuentes en inteligencia accionable, todos los días.
3Evidencias
Análisis de evidencias asistido por IA
Una vez disponemos de un exploit para una vulnerabilidad, independientemente de su procedencia, preparamos un entorno simulado que replica la infraestructura vulnerable, incorporamos las herramientas de visibilidad que nos interesan para cada caso y lanzamos el exploit. Tras su detonación, la cantidad de logs que podemos llegar a tener puede ser ingente: capturas de tráfico de red, logs del sistema operativo, de los servicios, de las herramientas de ciberseguridad, sondas personalizadas…
Como investigadores, somos nosotros quienes debemos decidir cuáles de estos logs son útiles para la monitorización continua o para ejercicios de DFIR, según la visibilidad real que tengamos sobre cada cliente. Una vez acotado ese criterio, diferenciar entre evidencias reales de un ataque y comportamientos legítimos puede ser tedioso hasta contar con una estrategia concreta de detección.
Para estos casos, gracias a su capacidad de procesamiento e identificación, la inteligencia artificial nos recomienda posibles líneas de aproximación para las lógicas de detección en función de los logs recabados, permitiendo un trabajo mucho mejor dirigido antes de caer en derroteros de los que después no se puede extraer ningún valor.
«No podemos quejarnos de que no tenemos tiempo de hacer ruedas redondas mientras estamos empujando ruedas cuadradas.»
Nicolás Moret YañezCybersecurity Analyst especializado en Threat Intelligence y Threat Hunting en Sofistic
Conclusiones
Como muestran estos casos de uso, el uso de la inteligencia artificial es inevitable en cualquier rama de la ciberseguridad. Nos ahorra tiempo en tareas manuales y repetitivas que hasta ahora no eran triviales de automatizar, crea una base técnica mucho mayor para los perfiles junior, y potencia y agiliza el trabajo de los senior. En nuestro caso particular de Cyber Threat Intelligence, nos permite reducir el tiempo de reacción frente a nuevos comportamientos de los cibercriminales, anticiparnos a posibles ataques hacia nuestros clientes y dar una cobertura más dirigida y de mayor calidad que la que veníamos ofreciendo.
Ahora bien, me gustaría recalcar que no podemos acostumbrarnos a que la inteligencia artificial lo haga todo sin que exista un criterio detrás. Como cualquier otra herramienta, hay que saber usarla, guiarla y configurarla para que se adapte a nuestra forma de trabajar; solo de esta manera conseguiremos extraer valor real. Reconozco que estos esfuerzos a veces pueden parecer pesados, y que el uso de la IA a menudo invita a ser más perezosos o a guiarnos solo por «vibes» para afrontar ciertas tareas, pero si no las abordamos con cabeza, conseguiremos los mismos resultados que no usándola, o incluso peores.
¿Tu equipo se entera a tiempo de las vulnerabilidades nuevas?
Las primeras horas son las que cuentan. Te contamos cómo las aprovechamos en Sofistic: IA para ir rápido y analistas que revisan cada regla antes de que llegue al SOC.
Preguntas frecuentes
¿Qué es threat intelligence?+
Es la disciplina que recopila, procesa y prioriza información sobre amenazas (fuentes, TTPs, actores) para convertirla en inteligencia accionable que permita anticiparse a un ataque.
¿Cómo se usa la inteligencia artificial en threat intelligence?+
Los LLMs ayudan a procesar y priorizar grandes volúmenes de fuentes, generar pruebas de concepto de vulnerabilidades, analizar evidencias tras un exploit y asistir en la redacción de reglas de detección en distintos lenguajes de query.
¿Es seguro usar IA para desarrollar exploits?+
Sí, siempre que se haga en un entorno controlado y con fines defensivos: el objetivo es anticipar cómo un atacante podría explotar una vulnerabilidad para diseñar detecciones antes de que ocurra un ataque real.
¿La inteligencia artificial reemplaza a los analistas de threat intelligence?+
No. La IA acelera tareas repetitivas de procesamiento y triaje, pero las decisiones de priorización, la validación de reglas y el criterio final siguen siendo del analista.
