¿Qué es la cadena de ataque cibernético? Pasos, ejemplos y cómo interrumpirla

Todo ciberataque sigue un recorrido. El atacante tiene que entrar, afianzarse, desplazarse por el entorno y, finalmente, alcanzar su objetivo. Ese recorrido no es aleatorio. Sigue una secuencia reconocible de etapas, y la «cadena de ataque cibernético» ofrece a los equipos de seguridad un marco para comprender exactamente cómo es esa secuencia y en qué puntos se puede interrumpir.

Para los MSP y los equipos de TI que protegen entornos complejos y distribuidos, la «cadena de ataque» es más que un modelo teórico. Es una perspectiva práctica que permite comparar los controles de seguridad con la progresión real de los ataques e identificar dónde las lagunas en la cobertura dejan a las organizaciones expuestas. Herramientas como Datto EDR, Kaseya SIEM y Kaseya MDR están diseñadas para detener a los atacantes en múltiples etapas de esa cadena, antes de que el daño alcance las fases de las que es más difícil recuperarse.

¿Qué es la cadena de ataque cibernético?

La «cadena de ataque cibernético» es un marco que describe las fases de un ciberataque, desde el reconocimiento inicial hasta que el atacante alcanza su objetivo final. Fue desarrollada por Lockheed Martin en 2011, a partir del concepto militar de «cadena de ataque», que desglosa un enfrentamiento con el enemigo en pasos identificables, cada uno de los cuales puede ser objeto de ataque y ser neutralizado.

En ciberseguridad, el modelo cumple la misma función. Al comprender la secuencia que debe seguir un atacante, los equipos de seguridad pueden identificar puntos de control en cada fase en los que se puede detectar, ralentizar o detener por completo el ataque. Un atacante al que se bloquea en la fase dos nunca llega a la fase cinco. Un atacante al que se detecta en la fase cuatro puede ser contenido antes de que llegue a la fase siete.

El marco se diseñó originalmente teniendo en cuenta las amenazas persistentes avanzadas (APT): ataques sofisticados y prolongados llevados a cabo por adversarios que cuentan con amplios recursos y planifican minuciosamente sus acciones antes de pasar a la acción. Sigue siendo especialmente aplicable a ese tipo de amenazas, aunque su lógica se aplica de manera general a la forma en que los equipos de seguridad conciben las defensas por capas frente a cualquier ataque estructurado.

Los 7 pasos de la cadena de ataque cibernético

El modelo original de Lockheed Martin define siete pasos secuenciales. Cada paso representa un punto en el que los defensores pueden intervenir.

Paso 1: Reconocimiento

Antes de lanzar un ataque, el atacante recopila información sobre el objetivo. Esto incluye identificar datos de dominio público sobre la infraestructura de la organización, las direcciones de correo electrónico de los empleados, las ofertas de empleo que revelan la tecnología que se utiliza, los perfiles en redes sociales y cualquier sistema expuesto al exterior que pueda servir como punto de entrada.

El reconocimiento puede ser pasivo, utilizando inteligencia de fuentes abiertas (OSINT) sin acceder directamente a los sistemas del objetivo, o activo, lo que implica escanear los puertos abiertos, identificar las versiones de software y buscar vulnerabilidades. Cuanta más información recopile un atacante en esta fase, más preciso y convincente será el ataque posterior.

Enfoque defensivo: supervisión de la actividad de escaneo externo, limitación de la información técnica disponible públicamente y control de los sistemas destinados a los empleados que están expuestos a Internet.

Paso 2: Conversión en arma

El atacante utiliza la información obtenida durante la fase de reconocimiento para crear o ensamblar su carga útil de ataque. Esto suele implicar la creación de archivos maliciosos diseñados para aprovechar una vulnerabilidad específica identificada en el entorno del objetivo. Un documento de phishing que contenga una macro que distribuya un troyano de acceso remoto, un PDF malicioso que aproveche una vulnerabilidad del lector o un «dropper» que instale ransomware al ejecutarse son ejemplos de «weaponization».

Los defensores rara vez tienen visibilidad directa de esta fase, ya que se desarrolla íntegramente en una infraestructura controlada por el atacante. El objetivo aquí es reducir la superficie de ataque que ha quedado al descubierto tras el reconocimiento: la aplicación rápida de parches a las vulnerabilidades conocidas elimina las armas que el atacante tenía previsto utilizar.

Paso 3: Entrega

El atacante envía la carga maliciosa al objetivo. El correo electrónico es el mecanismo de distribución más habitual, a través de campañas de phishing que contienen archivos adjuntos o enlaces maliciosos. Otros métodos de distribución son los sitios web comprometidos que realizan descargas automáticas, las memorias USB maliciosas, las actualizaciones de software de terceros comprometidas (ataques a la cadena de suministro) y la explotación de servicios conectados a Internet.

Enfoque defensivo: el filtrado de correo electrónico, el filtrado web, la protección DNS y la formación en concienciación sobre seguridad para los usuarios se aplican en la fase de entrega. Bloquear la entrega antes de que la carga útil llegue a un dispositivo es la medida defensiva más eficaz de las disponibles, ya que impide que se produzcan todas las fases posteriores.

Paso 4: Aprovechamiento

Una vez que la carga útil llega a su destino, se ejecuta y aprovecha una vulnerabilidad para obtener acceso inicial. Puede tratarse de una vulnerabilidad de software en una aplicación sin parches, un exploit del navegador que se activa al visitar una página maliciosa o una macro que se ejecuta en un documento de Office después de que el usuario haga clic en «Habilitar contenido».

Es en este punto donde el atacante pasa de estar fuera del entorno a estar dentro de él. La explotación es la fase que las herramientas de detección en terminales están diseñadas específicamente para detectar: el análisis de comportamiento identifica la actividad anómala de los procesos que sigue a una explotación exitosa, incluso cuando la vulnerabilidad en sí no se conocía de antemano.

Paso 5: Instalación

Una vez establecido el acceso inicial, el atacante instala malware persistente o una puerta trasera para mantener su presencia incluso si se cierra el punto de entrada original. Entre los mecanismos de persistencia más habituales se encuentran la creación de claves de ejecución en el Registro, la instalación de tareas programadas, la adición de entradas de inicio o la implementación de un troyano de acceso remoto que se comunica con la infraestructura de mando y control controlada por el atacante.

El objetivo es sobrevivir a un reinicio, un cambio de contraseña o un parche que corrija la vulnerabilidad original. Sin una instalación persistente, el atacante pierde el acceso en el momento en que finaliza la sesión. Las herramientas EDR con telemetría continua de los terminales son especialmente capaces de detectar las modificaciones en el registro, las nuevas tareas programadas y la creación de procesos inusuales que caracterizan esta fase.

Paso 6: Mando y control (C2)

El malware instalado establece un canal de comunicación con la infraestructura controlada por el atacante. A través de este canal, el atacante puede enviar comandos, recibir datos, implementar herramientas adicionales y dirigir de forma remota las siguientes fases del ataque. El tráfico C2 suele camuflarse como tráfico web legítimo, enrutarse a través de servicios en la nube populares o cifrarse para evitar ser detectado.

Esta fase supone una oportunidad crucial para la detección. La comunicación C2 tiene que atravesar los límites de la red, lo que significa que las herramientas de supervisión de la red y el filtrado de DNS pueden detectarla. Un terminal que haya sido comprometido, pero cuyo canal C2 esté bloqueado, no puede recibir más instrucciones. Aislarlo en este momento permite contener el incidente antes de que comience el movimiento lateral.

Paso 7: Acciones relacionadas con los objetivos

En la fase final, el atacante lleva a cabo su objetivo. En el caso de los atacantes con motivaciones económicas, esto suele traducirse en el despliegue de ransomware y el cifrado de datos, la sustracción de datos con fines de extorsión o venta, o el fraude financiero. Los actores estatales pueden tener como objetivo el espionaje, la destrucción de sistemas críticos o la obtención de un acceso persistente a largo plazo para su uso futuro.

Esta es la fase más perjudicial y costosa de la que recuperarse. Los ataques que llegan a afectar a los objetivos requieren una respuesta integral ante incidentes: investigación forense, reconstrucción del sistema, posible notificación a las autoridades reguladoras y gestión de la reputación. El objetivo principal de todo lo que precede a esta fase en una estrategia defensiva es garantizar que el atacante nunca llegue hasta aquí.

Ejemplo de la cadena de ataque cibernético: un ataque de ransomware

Recorrer los siete pasos a través de un tipo de amenaza real ilustra cómo funciona el modelo en la práctica:

1. Reconocimiento: El atacante identifica una empresa manufacturera de tamaño medio a través de una oferta de empleo en la que se menciona una versión concreta de un software ERP que presenta una vulnerabilidad conocida. Además, recopila de LinkedIn los nombres de los empleados y los formatos de sus direcciones de correo electrónico.
2. Explotación: Utilizando los datos de los empleados, elaboran un correo electrónico de phishing en el que se hacen pasar por un proveedor, adjuntando un documento que aprovecha la vulnerabilidad del sistema ERP y que, al ejecutarse, instala un troyano de acceso remoto.
3. Entrega: El correo electrónico de phishing se envía a un empleado del departamento de cuentas por pagar. Supera los filtros de correo electrónico porque el dominio del remitente es una réplica muy convincente y el archivo adjunto no aparece marcado como un hash malicioso conocido.
4. Aprovechamiento: El empleado abre el archivo adjunto. La macro del documento se ejecuta, aprovechando la vulnerabilidad y ejecutando un comando de PowerShell que descarga el troyano desde un servidor controlado por el atacante.
5. Instalación: El troyano se instala a sí mismo como una tarea programada, configurada para persistir tras los reinicios. Comienza a enviar señales a la infraestructura C2 cada pocos minutos a través de HTTPS.
6. Mando y control: El atacante confirma el acceso, implementa herramientas para extraer credenciales y dedica varios días a desplazarse lateralmente por el entorno, mapeando recursos compartidos de archivos y sistemas de copia de seguridad antes de pasar a la acción.
7. Acciones relacionadas con los objetivos: El atacante distribuye el ransomware por toda la red simultáneamente desde varios terminales comprometidos. El cifrado de archivos comienza en docenas de sistemas antes de que se active ninguna alerta.

Si se hubiera roto esta cadena en el paso tres (el filtrado de correo electrónico que detecta el envío del mensaje de phishing), en el paso cuatro (el EDR que detecta la ejecución de PowerShell) o en el paso seis (el filtrado de DNS que bloquea la señal C2), se habría evitado el resultado final. Cuanto más avanza el atacante en la cadena antes de ser detectado, más costosa y compleja resulta la respuesta.

La cadena de ataque cibernético frente a MITRE ATT&CK: ¿Cuál es la diferencia?

Ambos marcos describen el comportamiento de los atacantes, pero operan con distintos niveles de detalle y tienen fines diferentes.

La cadena de ataque cibernético es un modelo secuencial de alto nivel. Describe las fases generales de un ataque en orden cronológico, lo que la hace útil para la planificación estratégica, para comprender la progresión del ataque y para comunicarse con las partes interesadas sin conocimientos técnicos. Sus siete pasos proporcionan a los equipos de seguridad un vocabulario común para analizar en qué punto del ciclo de vida de un ataque se detectó una amenaza o dónde fallaron las defensas.

MITRE ATT&CK es una base de conocimientos detallada y actualizada continuamente sobre las tácticas, técnicas y procedimientos (TTP) de los atacantes. En lugar de siete fases secuenciales, recoge cientos de técnicas específicas organizadas por táctica, extraídas de ataques observados en el mundo real. No sigue un orden secuencial: un atacante puede utilizar técnicas de varias tácticas de MITRE simultáneamente o en diferentes órdenes, dependiendo de lo que se encuentre.

Ambos marcos se complementan entre sí. La «kill chain» ofrece una visión estructural de la progresión de un ataque. MITRE ATT&CK proporciona los detalles técnicos sobre cómo se ejecuta exactamente cada fase de dicha progresión. Los equipos de operaciones de seguridad suelen utilizar la «kill chain» para la comunicación de incidentes y la planificación estratégica de la defensa, mientras que recurren a MITRE ATT&CK para la ingeniería de detección, la clasificación de alertas y la evaluación de la cobertura de las herramientas.

Datto EDR asocia sus detecciones al marco MITRE ATT&CK, lo que significa que las alertas se presentan con el contexto de la táctica y la técnica que se están utilizando. De este modo, se vinculan los detalles técnicos de MITRE con la fase de la cadena de ataque a la que corresponden, lo que permite a los analistas conocer tanto la técnica específica que se está observando como su lugar dentro de la secuencia de ataque más amplia.

Limitaciones de la cadena de ataque cibernético

El modelo de la cadena de ataque tiene una utilidad real, pero también presenta limitaciones importantes que los equipos de seguridad deben comprender.

Se parte de la hipótesis de un ataque lineal.El modelo original describe una progresión secuencial desde la fase uno hasta la fase siete. En los ataques reales, es frecuente que se salten fases, se ejecuten varias fases simultáneamente o se vuelva a pasar por fases anteriores. Un atacante que ya disponga de acceso a credenciales obtenidas en una brecha de seguridad anterior podría saltarse por completo las fases de reconocimiento y entrega.

Se centra en las amenazas relacionadas con el perímetro. El modelo se diseñó en una época en la que las redes eran locales y tenían límites bien definidos. Las amenazas internas, los ataques nativos de la nube, el acceso no autorizado de terceros y los ataques a la cadena de suministro no encajan claramente en la estructura tradicional de la cadena de ataque.

No tiene en cuenta la rapidez de los ataques actuales. El Informe global de respuesta a incidentes de Unit 42 de 2026 reveló que los ataques más rápidos llegan a exfiltrar datos en tan solo 72 minutos desde el acceso inicial. El modelo de la «cadena de ataque» da a entender que los defensores disponen de tiempo para detectar y responder en cada fase. Frente a ataques automatizados de rápida evolución, ese margen de tiempo suele ser más reducido de lo que sugiere el modelo.

Puede crear una falsa sensación de exhaustividad: una organización que haya implantado controles en las siete etapas de la cadena de ataque puede seguir presentando lagunas importantes si dichos controles no abordan las técnicas específicas que utilizan los atacantes en cada etapa. MITRE ATT&CK es una herramienta más adecuada para evaluar la cobertura a nivel de técnicas.

¿Cómo puede la cadena de ataque cibernético mejorar la seguridad?

A pesar de sus limitaciones, la «cadena de ataque» sigue siendo un marco práctico para la planificación estructurada de la defensa. A continuación se explica cómo aplicarla:

• Asigna tus controles a cada fase: para cada una de las siete fases, identifica qué herramientas y procesos tienes implantados para detectar o prevenir la actividad de los atacantes. Las carencias que surjan al realizar este ejercicio revelan dónde es necesario invertir.
• Dar prioridad a la interrupción en las primeras fases: cuanto antes se detenga un ataque en la cadena de ataque, menor será el daño que cause y más sencilla será la corrección. Los controles en la fase de entrega (filtrado de correo electrónico, protección DNS) y en la fase de explotación (aplicación de parches, detección de comportamiento mediante EDR) ofrecen el mayor rendimiento, ya que evitan todas las fases posteriores.
• Aplica el enfoque de la «cadena de ataque» en el análisis de incidentes: tras cualquier incidente de seguridad, repasa los pasos de la cadena de ataque e identifica en qué paso se detectó al atacante, hasta dónde llegó antes de que se lograra su contención y qué controles, si los hubiera, habrían detectado el ataque antes. Esto da lugar a mejoras específicas y aplicables, en lugar de conclusiones genéricas del tipo «reforzar la seguridad».
• No te limites a la cadena de ataque: complétala con MITRE ATT&CK para evaluar la cobertura de la detección a nivel de técnicas y con inteligencia sobre amenazas que refleje las TTP específicas de los adversarios que atacan tu sector.

Cómo Kaseya interrumpe la cadena de ataque

La plataforma de seguridad de Kaseya está diseñada para ofrecer a los proveedores de servicios gestionados (MSP) y a los equipos de TI reducidos la capacidad de detectar e interrumpir ataques en varias fases de la cadena de ataque de forma simultánea, sin necesidad de contar con un gran equipo de seguridad interno para que funcione.

Datto EDR opera en las fases de explotación, instalación y mando y control. La supervisión del comportamiento detecta la ejecución anómala de procesos, los mecanismos de persistencia y las señales C2, con más de 65 acciones de respuesta automatizadas para aislar, eliminar y poner en cuarentena antes de que comience el movimiento lateral. Las detecciones se correlacionan con el marco MITRE ATT&CK, lo que proporciona a los analistas un contexto inmediato sobre qué técnica se está utilizando y en qué punto de la secuencia de ataque se encuentra.

Kaseya SIEM ofrece una visibilidad transversal que abarca toda la cadena de ataque, correlacionando datos de telemetría procedentes de más de 60 fuentes de datos en terminales, red, identidades y la nube. Los eventos que, considerados de forma aislada, parecen no estar relacionados —como un intento fallido de inicio de sesión, la ejecución de un proceso inusual o tráfico saliente anómalo— se convierten en un patrón interconectado de la cadena de ataque en un único incidente correlacionado. La retención de registros durante 400 días permite la reconstrucción forense necesaria para determinar el tiempo de permanencia y el alcance total del ataque.

Kaseya MDR incorpora un equipo de analistas que convierte la detección en una defensa activa. Un equipo de analistas de seguridad con sede en EE. UU. supervisa su entorno las 24 horas del día, investiga las amenazas confirmadas y aplica medidas de contención antes de que los ataques alcancen fases más avanzadas, sin que usted tenga que mantener un centro de operaciones de seguridad (SOC) operativo las 24 horas del día, los 7 días de la semana para que esto funcione.

En conjunto, estas capacidades abarcan toda la cadena de ataque, desde los terminales hasta la nube, lo que proporciona a los proveedores de servicios gestionados (MSP) y a los equipos de TI la visibilidad y la capacidad de respuesta necesarias para detener los ataques mucho antes de que lleguen a afectar a los objetivos.