¿Qué es la cadena de eliminación cibernética (cyber kill chain)? Pasos, ejemplos y cómo interrumpirla

Todo ciberataque sigue un camino. El atacante debe entrar, establecer una posición de apoyo, moverse por el entorno y, en última instancia, alcanzar su objetivo. Ese camino no es aleatorio. Sigue una secuencia reconocible de etapas, y la cadena de ataque cibernético proporciona a los equipos de seguridad un marco para comprender exactamente cómo es esa secuencia y dónde se puede romper.

Para los MSP y los equipos de TI que protegen entornos complejos y distribuidos, la cadena de ataque es más que un modelo teórico. Es una perspectiva práctica para mapear los controles de seguridad frente a la progresión real de los ataques e identificar dónde las deficiencias en la cobertura dejan a las organizaciones expuestas. Herramientas como Datto EDR, Kaseya SIEM y Kaseya MDR están diseñadas para interrumpir a los atacantes en múltiples etapas de dicha cadena, antes de que los daños alcancen las fases de más difícil recuperación.

¿Qué es la cadena de ataque cibernético (cyber kill chain)?

La cadena de ataque cibernético es un marco de trabajo que mapea las etapas de un ciberataque, desde el reconocimiento inicial hasta que el atacante logra su objetivo final. Fue desarrollada por Lockheed Martin en 2011, adaptada a partir del concepto militar de «cadena de destrucción» (kill chain), que desglosa un enfrentamiento con el enemigo en pasos identificables a los que se puede atacar e interrumpir de forma individual.

En ciberseguridad, el modelo cumple el mismo propósito. Al comprender la secuencia que debe seguir un atacante, los equipos de seguridad pueden identificar puntos de control en cada etapa donde el ataque pueda ser detectado, ralentizado o detenido por completo. Un atacante que es bloqueado en la segunda etapa nunca llega a la quinta. Un atacante que es detectado en la cuarta etapa puede ser contenido antes de llegar a la séptima.

El marco se diseñó originalmente pensando en las amenazas persistentes avanzadas (APT): ataques sofisticados y de larga duración llevados a cabo por adversarios con buenos recursos que planifican cuidadosamente antes de actuar. Sigue siendo directamente aplicable a esos tipos de amenaza, aunque su lógica se aplica de forma general a la manera en que los equipos de seguridad conciben las defensas en capas frente a cualquier ataque estructurado.

Los 7 pasos de la cadena de ataque cibernético

El modelo original de Lockheed Martin define siete pasos secuenciales. Cada paso representa un punto en el que los defensores pueden intervenir.

Paso 1: Reconocimiento

Antes de lanzar un ataque, el atacante recopila información sobre el objetivo. Esto incluye identificar datos disponibles públicamente sobre la infraestructura de la organización, direcciones de correo electrónico de empleados, ofertas de empleo que revelan la tecnología en uso, perfiles en redes sociales y cualquier sistema expuesto al exterior que pueda servir como punto de entrada.

El reconocimiento puede ser pasivo, utilizando inteligencia de fuentes abiertas (OSINT) sin tocar directamente los sistemas del objetivo, o activo, lo que implica escanear puertos abiertos, identificar versiones de software y buscar vulnerabilidades. Cuanta más información recopile un atacante aquí, más preciso y convincente resultará el ataque en las siguientes fases.

Enfoque defensivo: monitorear la actividad de escaneo externo, limitar la información técnica disponible públicamente y controlar qué sistemas orientados a los empleados están expuestos a internet.

Paso 2: Preparación (Weaponization)

El atacante utiliza lo aprendido en el reconocimiento para construir o ensamblar su carga útil de ataque. Esto suele implicar la creación de archivos maliciosos diseñados para explotar una vulnerabilidad específica identificada en el entorno del objetivo. Un documento de phishing incrustado con una macro que descarga un troyano de acceso remoto, un PDF armado que explota una vulnerabilidad del lector o un instalador que despliega ransomware al ejecutarse son ejemplos de preparación.

Los defensores rara vez tienen visibilidad directa de esta etapa, ya que ocurre enteramente en una infraestructura controlada por el atacante. El enfoque aquí se centra en reducir la superficie de ataque expuesta durante el reconocimiento: parchear rápidamente las vulnerabilidades conocidas elimina las armas que el atacante planeaba utilizar.

Paso 3: Entrega

El atacante entrega la carga útil preparada al objetivo. El correo electrónico es el mecanismo de entrega más común, a través de campañas de phishing que transportan archivos adjuntos o enlaces maliciosos. Otros métodos de entrega incluyen sitios web comprometidos que realizan descargas automáticas (drive-by downloads), unidades USB maliciosas, actualizaciones de software de terceros comprometidas (ataques a la cadena de suministro) y la explotación de servicios orientados a internet.

Enfoque defensivo: el filtrado de correo electrónico, el filtrado web, la protección de DNS y la formación en concienciación sobre seguridad para usuarios operan en la etapa de entrega. Bloquear la entrega antes de que la carga útil llegue a un dispositivo es la acción defensiva de mayor impacto disponible, ya que evita que ocurran todas las etapas posteriores.

Paso 4: Explotación

Una vez que la carga útil llega al objetivo, se ejecuta y explota una vulnerabilidad para obtener el acceso inicial. Puede tratarse de una vulnerabilidad de software en una aplicación sin parches, un exploit de navegador activado al visitar una página maliciosa o una macro que se ejecuta en un documento de Office después de que el usuario hace clic en «Habilitar contenido».

Aquí es donde el atacante pasa de estar fuera del entorno a estar dentro de él. La explotación es la etapa que las herramientas de detección de endpoints están diseñadas específicamente para capturar: el análisis de comportamiento identifica la actividad anormal de procesos que sigue a una explotación exitosa, incluso cuando la vulnerabilidad en sí no se conocía de antemano.

Paso 5: Instalación

Con el acceso inicial establecido, el atacante instala malware persistente o una puerta trasera (backdoor) para mantener su presencia incluso si el punto de entrada original se cierra. Los mecanismos de persistencia comunes incluyen la creación de claves de ejecución en el registro, la instalación de tareas programadas, la adición de entradas de inicio o el despliegue de un troyano de acceso remoto que se comunica con una infraestructura de comando y control controlada por el atacante.

El objetivo es sobrevivir a un reinicio, a un cambio de contraseña o a un parche que cierre la vulnerabilidad original. Sin una instalación persistente, el atacante pierde el acceso en el momento en que finaliza la sesión. Las herramientas de EDR con telemetría continua de endpoints son específicamente capaces de detectar las modificaciones en el registro, las nuevas tareas programadas y la creación inusual de procesos que caracterizan esta etapa.

Paso 6: Comando y control (C2)

El malware instalado establece un canal de comunicación de regreso a la infraestructura controlada por el atacante. A través de este canal, el atacante puede emitir comandos, recibir datos, desplegar herramientas adicionales y dirigir las siguientes fases del ataque de forma remota. El tráfico de C2 a menudo se disfraza como tráfico web legítimo, se enruta a través de servicios en la nube populares o se cifra para evitar la detección.

Esta etapa representa una oportunidad crítica de detección. La comunicación de C2 tiene que cruzar el límite de la red, lo que significa que las herramientas de monitoreo de red y el filtrado de DNS pueden detectarla. Un endpoint que ha sido comprometido pero cuyo canal de C2 está bloqueado no puede recibir más directrices. Aislarlo en este punto contiene el incidente antes de que comience el movimiento lateral.

Paso 7: Acciones sobre los objetivos

En la etapa final, el atacante ejecuta su objetivo. Para los atacantes con motivaciones financieras, esto suele significar el despliegue y cifrado de ransomware, la exfiltración de datos para extorsión o venta, o el fraude financiero. Los actores estatales pueden perseguir el espionaje, la destrucción de sistemas críticos o el acceso persistente a largo plazo para uso futuro.

Esta es la etapa más dañina y costosa de superar. Los ataques que llegan a las acciones sobre los objetivos requieren una respuesta completa ante incidentes: investigación forense, reconstrucción de sistemas, posible notificación regulatoria y gestión de la reputación. El propósito principal de todo lo que precede a esta etapa en una estrategia defensiva es garantizar que el atacante nunca llegue hasta aquí.

Ejemplo de cadena de ataque cibernético: Un ataque de ransomware

Recorrer los siete pasos a través de un tipo de amenaza del mundo real ilustra cómo funciona el modelo en la práctica:

1. Reconocimiento: El atacante identifica una empresa manufacturera mediana utilizando una oferta de empleo que hace referencia a una versión específica de un software ERP con una vulnerabilidad conocida. También extrae nombres de empleados y formatos de correo electrónico de LinkedIn.
2. Armamentización: Utilizando los datos de los empleados, elaboran un correo electrónico de phishing haciéndose pasar por un proveedor, adjuntando un documento que explota la vulnerabilidad del ERP e instala un troyano de acceso remoto al ejecutarse.
3. Entrega: El correo electrónico de phishing se envía a un empleado de cuentas por pagar. Supera los filtros de correo porque el dominio del remitente es una imitación convincente y el archivo adjunto no se marca como un hash malicioso conocido.
4. Explotación: El empleado abre el archivo adjunto. La macro del documento se ejecuta, explota la vulnerabilidad y ejecuta un comando de PowerShell que descarga el troyano desde un servidor controlado por el atacante.
5. Instalación: El troyano se instala como una tarea programada, configurada para persistir tras los reinicios. Comienza a enviar señales ("beaconing") a la infraestructura de comando y control (C2) cada pocos minutos a través de HTTPS.
6. Comando y control: El atacante confirma el acceso, despliega herramientas de robo de credenciales y pasa varios días moviéndose lateralmente por el entorno, mapeando recursos compartidos y sistemas de respaldo antes de actuar.
7. Acciones sobre los objetivos: El atacante despliega ransomware en toda la red simultáneamente desde múltiples endpoints comprometidos. El cifrado de archivos comienza en decenas de sistemas antes de que se dispare cualquier alerta.

Interrumpir esta cadena en el paso tres (con el filtro de correo bloqueando la entrega del phishing), el paso cuatro (con la EDR detectando la ejecución de PowerShell) o el paso seis (con el filtro DNS bloqueando la señal de C2) habría evitado el resultado final. Cuanto más avance el atacante en la cadena antes de ser detectado, más costosa y compleja se vuelve la respuesta.

Cadena de ataque cibernético frente a MITRE ATT&CK: ¿Cuál es la diferencia?

Ambos marcos mapean el comportamiento de los atacantes, pero operan a diferentes niveles de detalle y sirven para propósitos distintos.

La cadena de ataque cibernético es un modelo secuencial de alto nivel. Describe las fases generales de un ataque en orden, lo que la hace útil para la planificación estratégica, la comprensión de la progresión de los ataques y la comunicación con partes interesadas no técnicas. Sus siete pasos brindan a los equipos de seguridad un vocabulario compartido para debatir en qué parte del ciclo de vida de un ataque se detectó una amenaza o dónde fallaron las defensas.

MITRE ATT&CK es una base de conocimiento granular y actualizada continuamente sobre tácticas, técnicas y procedimientos (TTP) de los atacantes. En lugar de siete fases secuenciales, cataloga cientos de técnicas específicas organizadas por táctica, extraídas de ataques reales observados. No es secuencial: un atacante puede utilizar técnicas de múltiples tácticas de MITRE simultáneamente o en diferentes órdenes según lo que encuentre.

Los dos marcos se complementan entre sí. La cadena de ataque proporciona la visión estructural de la progresión de un ataque. MITRE ATT&CK proporciona el detalle técnico de cómo se ejecuta exactamente cada etapa de esa progresión. Los equipos de operaciones de seguridad suelen utilizar la cadena de ataque para la comunicación de incidentes y la planificación de la defensa estratégica, mientras que emplean MITRE ATT&CK para la ingeniería de detección, el mapeo de alertas y la evaluación de la cobertura de herramientas.

Datto EDR mapea sus detecciones con el marco MITRE ATT&CK, lo que significa que las alertas llegan con el contexto de qué táctica y técnica se están utilizando. Esto conecta el detalle técnico de MITRE con la etapa de la cadena de ataque que representa, brindando a los analistas tanto la técnica específica observada como su lugar en la secuencia de ataque más amplia.

Limitaciones de la cadena de ataque cibernético

El modelo de la cadena de ataque tiene una utilidad real, pero también limitaciones importantes que los equipos de seguridad deben comprender.

Asume un ataque linealEl modelo original describe una progresión secuencial desde la primera etapa hasta la séptima. Los ataques reales frecuentemente omiten etapas, ejecutan múltiples etapas simultáneamente o vuelven a etapas anteriores. Un atacante con acceso existente a credenciales de una brecha anterior podría omitir por completo el reconocimiento y la entrega.

Se centra en amenazas basadas en el perímetroEl modelo se diseñó en una era de redes locales con límites claros. Las amenazas internas, los ataques nativos en la nube, el acceso de terceros comprometidos y los ataques a la cadena de suministro no encajan perfectamente en la estructura tradicional de la cadena de ataque.

No tiene en cuenta la velocidad de los ataques modernosEl Informe de Respuesta Global a Incidentes de Unit 42 de 2026 reveló que los ataques más rápidos ahora alcanzan la exfiltración de datos en un plazo de 72 minutos desde el acceso inicial. El modelo de la cadena de ataque implica que los defensores tienen tiempo para detectar y responder en cada etapa. Frente a ataques automatizados y de rápida evolución, esa ventana suele ser más estrecha de lo que sugiere el modelo.

Puede crear una falsa sensación de cobertura completaUna organización que haya implementado controles en las siete etapas de la cadena de ataque aún puede tener brechas significativas si esos controles no abordan las técnicas específicas que los atacantes utilizan en cada etapa. MITRE ATT&CK es una herramienta mejor para evaluar la cobertura a nivel de técnica.

¿Cómo puede la cadena de ataque (cyber kill chain) mejorar la seguridad?

A pesar de sus limitaciones, la cadena de ataque sigue siendo un marco práctico para la planificación de una defensa estructurada. Así es como puede aplicarla:

• Asigne sus controles a cada etapa: Para cada una de las siete etapas, identifique las herramientas y procesos de los que dispone para detectar o prevenir la actividad de los atacantes. Las brechas que aparezcan al realizar este ejercicio revelarán dónde es necesario invertir.
• Priorice la disrupción en las primeras etapas: Cuanto antes detenga un ataque en la cadena de ataque, menor será el daño causado y más sencilla la remediación. Los controles en la fase de entrega (filtrado de correo electrónico, protección de DNS) y de explotación (parches, detección comportamental por EDR) ofrecen el mayor rendimiento porque previenen todas las etapas posteriores.
• Utilice el enfoque de la cadena de ataque en la revisión de incidentes: Tras cualquier incidente de seguridad, recorra los pasos de la cadena de ataque e identifique en cuál de ellos se detectó al atacante, hasta dónde avanzó antes de su contención y qué controles, de haber estado presentes, habrían detectado el ataque antes. Esto genera mejoras específicas y viables en lugar de conclusiones genéricas como «reforzar la seguridad».
• No confíe únicamente en la cadena de ataque: Compáginela con MITRE ATT&CK para evaluar la cobertura de detección a nivel de técnica, y con inteligencia de amenazas que refleje las TTP (tácticas, técnicas y procedimientos) específicas de los adversarios que apuntan a su sector.

Cómo Kaseya interrumpe la cadena de ataque

La plataforma de seguridad de Kaseya está diseñada para ofrecer a los MSP y a los equipos de TI reducidos la capacidad de detectar e interrumpir ataques en múltiples etapas de la cadena de forma simultánea, sin necesidad de contar con un gran equipo de seguridad interno.

Datto EDR opera en las etapas de explotación, instalación y comando y control (C2). La supervisión del comportamiento detecta la ejecución anómala de procesos, mecanismos de persistencia y balizamiento de C2, con más de 65 acciones de respuesta automatizadas para aislar, finalizar y poner en cuarentena antes de que comience el movimiento lateral. Las detecciones se asignan a MITRE ATT&CK, lo que proporciona a los analistas contexto inmediato sobre qué técnica se está utilizando y en qué punto de la secuencia de ataque se encuentra.

Kaseya SIEM proporciona una visibilidad integral que abarca toda la cadena de ataque, correlacionando telemetría de más de 60 fuentes de datos en terminales, redes, identidades y entornos en la nube. Eventos que parecen no estar relacionados de forma aislada —un inicio de sesión fallido, el lanzamiento inusual de un proceso, tráfico saliente anómalo— se convierten en un patrón conectado de la cadena de ataque dentro de un único incidente correlacionado. Cuatrocientos días de retención de registros respaldan la reconstrucción forense necesaria para determinar el tiempo de permanencia (dwell time) y el alcance total.

Kaseya MDR añade la capa de análisis que convierte la detección en defensa activa. Analistas de seguridad basados en EE. UU. supervisan su entorno las 24 horas del día, investigan amenazas confirmadas y ejecutan la contención antes de que los ataques avancen hacia etapas posteriores, sin necesidad de que usted deba dotar de personal a un SOC 24/7 para que funcione.

Juntas, estas capacidades cubren la cadena de ataque desde el terminal hasta la nube, otorgando a los MSP y a los equipos de TI la visibilidad y la profundidad de respuesta necesarias para detener los ataques mucho antes de que alcancen sus objetivos.