Indicadores de compromiso (IOC): tipos, ejemplos, detección y respuesta
Cuando un atacante se mueve por tu entorno, deja rastros. Un archivo guardado en una ubicación inusual. Una conexión saliente a una dirección IP con la que ningún proceso legítimo debería conectarse. Un inicio de sesión desde un país en el que no tienes empleados. Estos son los indicadores de compromiso (IOC): pruebas digitales de que se ha producido una intrusión en un sistema o una red, o de que dicha intrusión está teniendo lugar en ese mismo momento.
Para los equipos de seguridad y los proveedores de servicios gestionados (MSP), los indicadores de compromiso (IOC) son una de las principales herramientas para detectar amenazas que ya han traspasado el perímetro. Herramientas como Datto EDR, Kaseya SIEM y Kaseya MDR se han diseñado precisamente con este objetivo: detectar IOC en todo el entorno y convertirlos en respuestas coordinadas antes de que el daño se extienda.
¿Qué son los indicadores de compromiso?
Los indicadores de compromiso (IOC) son pruebas forenses digitales que sugieren que se ha accedido sin autorización a un sistema, un terminal o una red, o que estos han sido infectados con malware o han sufrido un ataque. El término «compromiso» se utiliza de forma deliberada: cuando se identifican la mayoría de los IOC, la intrusión ya se ha producido o está en curso.
Los IOC pueden ser elementos recopilados a partir de registros, tráfico de red, sistemas de archivos o telemetría de terminales. Entre ellos se incluyen hash de archivos específicos asociados a malware conocido, direcciones IP o dominios utilizados para el comando y control, cambios en las claves del registro, comportamientos inusuales de los procesos y patrones de autenticación que sugieren un robo de credenciales.
Los equipos de seguridad utilizan los IOC de dos maneras. De forma reactiva, una vez que se ha detectado un evento sospechoso, los analistas buscan IOC para comprender qué ha ocurrido, rastrear el recorrido del atacante y determinar el alcance del incidente. De forma proactiva, los equipos introducen los IOC conocidos en las herramientas de detección para que, si vuelven a aparecer los mismos artefactos, se active automáticamente una alerta. Este segundo uso es lo que hace que las fuentes de inteligencia sobre amenazas y el intercambio de IOC sean tan valiosos.
Conviene dejar clara una limitación: la detección de IOC es, por naturaleza, retrospectiva. Si tus herramientas han detectado un IOC, es que algo ya ha salido mal. El objetivo de una buena supervisión de IOC es reducir el lapso de tiempo entre el momento en que se produce una intrusión y el momento en que se detecta, ya que es en ese lapso donde actúan los atacantes.
Indicadores de compromiso frente a indicadores de ataque (IOA): ¿Cuál es la diferencia?
Un indicador de compromiso es una prueba de que ya ha ocurrido algo negativo. Se basa en elementos concretos: un hash de archivo, una clave del registro, un nombre de dominio o una dirección IP. Los IOC son específicos y estáticos.
Un indicador de ataque se centra en el comportamiento más que en los artefactos. Los IOA describen las técnicas y acciones que utiliza un atacante, independientemente de las herramientas específicas que emplee. Un proceso que genera un proceso hijo que intenta establecer una conexión de red es un patrón de IOA. Puede ser activado por malware conocido o por una amenaza totalmente nueva que nunca se haya catalogado. Los IOA son más amplios y más resistentes a la evasión, ya que cambiar el hash de un archivo no modifica el comportamiento subyacente.
En la práctica, los equipos de seguridad con experiencia utilizan ambos. Los IOC detectan rápidamente las amenazas conocidas. Los IOA detectan ataques novedosos y a adversarios sofisticados que crean herramientas específicamente diseñadas para evitar que coincidan con las bases de datos de IOC conocidas.
Tipos de indicadores de compromiso
Los IOC se clasifican en cuatro categorías en función de su origen y de lo que describen.
Indicadores de compromiso (IOC) basados en la red
Los IOC de red son elementos relacionados con actividades de red sospechosas o maliciosas. Entre ellos se incluyen direcciones IP vinculadas a la infraestructura de los actores maliciosos, dominios utilizados para la comunicación de comando y control (C2), patrones inusuales de tráfico saliente y consultas DNS para dominios que no corresponden a servicios legítimos.
Dado que los IOC de red suelen indicar una comunicación activa con una infraestructura controlada por los atacantes, es fundamental detectarlos rápidamente. Un terminal que haya sido comprometido pero que aún no haya filtrado datos puede contenerse si se detecta primero la conexión C2 saliente.
Indicadores de compromiso (IOC) basados en el host
Los IOC basados en el host se encuentran en los terminales y dispositivos individuales. Entre ellos se incluyen cambios inesperados en las claves del Registro o en los archivos del sistema, nuevos procesos que se ejecutan bajo procesos padres inusuales, modificaciones en las tareas programadas o en las entradas de inicio, archivos que aparecen en ubicaciones en las que ningún software legítimo escribe datos, y cambios no autorizados en los permisos de las cuentas.
Las herramientas EDR son el principal mecanismo para detectar indicadores de compromiso (IOC) basados en el host, ya que ofrecen una visibilidad a nivel de agente de todo lo que ocurre en el dispositivo: cada inicio de proceso, cada escritura en un archivo, cada modificación del registro. Esta telemetría permite detectar malware sin archivos y ataques del tipo «living-off-the-land», que no dejan archivos en el disco pero sí dejan rastros de comportamiento.
IOC basados en archivos
Los IOC basados en archivos son elementos específicos vinculados a archivos maliciosos conocidos. La forma más habitual es un hash criptográfico (MD5, SHA-1 o SHA-256) que identifica de forma única a un archivo. Si un hash coincide con uno asociado a un malware conocido, es un indicio claro de que el archivo es malicioso, independientemente del nombre que se le haya dado.
Otros IOC basados en archivos incluyen nombres de archivo y rutas que utilizan familias conocidas de malware, así como datos de certificados digitales de malware firmado. Los IOC basados en archivos se comprueban rápidamente y son fáciles de compartir, por lo que constituyen la mayor parte de los datos de las fuentes de inteligencia sobre amenazas. Su limitación es que se pueden eludir fácilmente recompilando el código, lo que modifica el hash.
Indicadores de compromiso (IOC) basados en el comportamiento
Los IOC de comportamiento describen patrones de actividad que se desvían de los valores de referencia establecidos, independientemente de los archivos o artefactos específicos implicados. Varios intentos fallidos de inicio de sesión en diferentes cuentas en un breve intervalo de tiempo, una cuenta de usuario que accede a recursos compartidos que nunca antes había utilizado o grandes volúmenes de datos leídos de una base de datos por un solo usuario son ejemplos de IOC de comportamiento.
Para que los IOC de comportamiento sean significativos, es necesario disponer de una línea de referencia establecida. Las plataformas SIEM y las herramientas de análisis del comportamiento de usuarios y entidades (UEBA) crean estas líneas de referencia con el paso del tiempo y señalan automáticamente las desviaciones, lo que las hace especialmente eficaces a la hora de detectar amenazas que evitan deliberadamente coincidir con las firmas de IOC conocidas.
Ejemplos de indicadores comunes de compromiso
Saber cómo se presentan los IOC en la práctica ayuda a los equipos de seguridad a saber qué deben buscar. Entre los ejemplos más habituales se incluyen:
- Actividad de autenticación inusual: varios intentos fallidos de inicio de sesión en distintas cuentas desde la misma dirección IP, un inicio de sesión correcto desde una ubicación geográfica inesperada o desde un dispositivo que nunca antes había accedido a la cuenta, y inicios de sesión a horas inusuales son indicios de un posible robo de credenciales o de un acceso no autorizado.
- Tráfico saliente anómalo: el hecho de que un dispositivo transfiera repentinamente grandes volúmenes de datos a destinos externos con los que nunca se ha comunicado, o que envíe tráfico a rangos de direcciones IP maliciosos conocidos, indica una posible filtración de datos. El tráfico enviado a intervalos regulares y programados suele indicar la transmisión de señales a la infraestructura C2.
- Procesos o programas inesperados: merece la pena investigar los procesos que se ejecutan desde directorios temporales, los ejecutables sin firmar en ubicaciones donde el software no suele encontrarse y las herramientas de acceso remoto que no deberían estar en los equipos de producción. Las tareas programadas o las entradas de inicio que hayan aparecido sin una solicitud de cambio correspondiente pueden indicar la persistencia de un atacante.
- Modificaciones sospechosas del Registro: los atacantes modifican claves del Registro para mantener la persistencia, desactivar herramientas de seguridad o alterar el comportamiento del sistema. Los cambios en las claves de ejecución automática o en las configuraciones de los servicios sin un ticket de cambio que los justifique constituyen indicadores de compromiso (IOC) sólidos basados en el host.
- Anomalías en el DNS: los altos volúmenes de solicitudes DNS dirigidas a un único dominio, las solicitudes dirigidas a dominios recién registrados o generados mediante algoritmos (una técnica denominada «algoritmos de generación de dominios» o DGA) y las consultas sobre dominios maliciosos conocidos son indicios de una posible vulneración de la red.
- Cambios no autorizados en la configuración: las reglas del cortafuegos modificadas para abrir puertos de entrada, la creación de nuevas cuentas administrativas sin autorización y la desactivación o desinstalación de software de seguridad constituyen indicadores de compromiso (IOC) que justifican una investigación inmediata.
Cómo se utilizan los IOC en la respuesta a incidentes
La detección de IOC resulta más útil cuando se integra en un flujo de trabajo de respuesta. Detectar un IOC sin actuar rápidamente al respecto es solo ligeramente mejor que no detectarlo en absoluto.
En la práctica, la respuesta a incidentes basada en IOC sigue un patrón coherente. Se activa una alerta cuando se detecta coincidencia con un IOC conocido o cuando un comportamiento anómalo supera un umbral. Un analista comprueba si se trata de una amenaza real. Si se confirma, se evalúa el alcance: qué sistemas se han visto afectados, a qué datos se ha podido acceder y cómo ha entrado el atacante. A continuación, se lleva a cabo la contención, aislando los terminales o bloqueando las conexiones sospechosas. La corrección elimina los artefactos maliciosos y cierra el vector de acceso. Por último, los IOC recopilados durante la investigación se añaden a las reglas de detección, de modo que la próxima vez se detecte el mismo patrón más rápidamente.
La rapidez es fundamental en cada paso. El Informe global de respuesta a incidentes de Unit 42 de 2026 reveló que los ataques más rápidos llegan a exfiltrar datos en tan solo 72 minutos desde el acceso inicial. Las organizaciones que cuentan con sistemas automatizados de detección y contención de indicadores de compromiso (IOC) resuelven los incidentes de forma sistemática más rápido que aquellas que dependen de la revisión manual.
Herramientas de correlación de amenazas y detección de indicadores de compromiso (IOC)
Existen varias categorías de tecnología de seguridad diseñadas específicamente para la detección y la respuesta ante indicadores de compromiso (IOC).
Gestión de la información y los incidentes de seguridad (SIEM)
El SIEM es la herramienta principal para correlacionar los IOC en todo un entorno. Un SIEM recopila datos de registros y eventos de toda la pila de TI, aplica reglas de correlación para identificar patrones que coincidan con IOC conocidos o comportamientos sospechosos, y genera alertas priorizadas. Dado que un SIEM analiza datos de múltiples fuentes simultáneamente, relaciona entre sí eventos que, considerados de forma aislada, parecerían insignificantes: un intento fallido de inicio de sesión, seguido de un inicio de sesión correcto desde una IP diferente, y a continuación el acceso de ese usuario a un recurso compartido al que nunca había accedido antes, se convierte en un incidente correlacionado en lugar de tres alertas independientes de baja prioridad.
Detección y respuesta en dispositivos finales (EDR)
Las herramientas EDR supervisan los terminales individuales en tiempo real en busca de indicadores de amenaza (IOC) basados en el host y de comportamiento. Registran datos de telemetría detallados, comparan el comportamiento con bibliotecas de amenazas y bases de datos de IOC, y permiten una respuesta automatizada o guiada por analistas, que incluye el aislamiento, la finalización de procesos y la cuarentena de archivos.
Managed detection and response (MDR)
Los servicios MDR añaden una capa de análisis a la tecnología SIEM y EDR. En lugar de dejar la clasificación e investigación de los indicadores de amenaza (IOC) en manos del personal interno, los proveedores de MDR realizan un seguimiento continuo y responden a las amenazas confirmadas en nombre del cliente. Para las organizaciones que no cuentan con una cobertura de operaciones de seguridad las 24 horas del día, los 7 días de la semana, el MDR es lo que convierte la detección de IOC en una respuesta operativa.
Cloud detection and response (CDR)
A medida que la actividad empresarial se traslada cada vez más a plataformas como Microsoft 365 y Google Workspace, los indicadores de compromiso (IOC) basados en la nube se han convertido en una parte importante del panorama de amenazas. Las herramientas de CDR amplían la detección de IOC a los entornos SaaS, señalando indicios como permisos inusuales de aplicaciones OAuth, inicios de sesión desde ubicaciones imposibles, descargas masivas de archivos y cambios no autorizados en las configuraciones de los inquilinos de la nube.
Plataformas de inteligencia sobre amenazas
Las plataformas de inteligencia sobre amenazas recopilan datos de indicadores de compromiso (IOC) procedentes de fuentes globales, avisos gubernamentales, investigaciones de proveedores e información compartida por la comunidad. Enriquecen las alertas con información contextual sobre a qué se ha asociado una dirección IP, un dominio o un hash de archivo concretos, qué grupos de atacantes los utilizan y cuándo se han detectado por última vez en campañas activas, lo que ayuda a los analistas a priorizar qué investigar en primer lugar.
Cómo ayuda Kaseya a los equipos a detectar y responder a los IOC
La plataforma de seguridad de Kaseya se basa en la detección de indicadores de compromiso (IOC) en toda la superficie de ataque y en la integración de dicha detección con una respuesta rápida y coordinada, especialmente dirigida a proveedores de servicios de gestión (MSP) y equipos de TI reducidos que no cuentan con un gran departamento interno de seguridad.
Kaseya SIEM recopila datos de telemetría de más de 60 fuentes de datos, correlaciona coincidencias de indicadores de amenaza (IOC) y patrones de comportamiento sospechosos en terminales, identidades, redes y la nube, y conserva los registros durante 400 días para facilitar las investigaciones forenses. Las reglas de respuesta automatizada pueden activarse de inmediato cuando se confirman los IOC, bloqueando cuentas, aislando dispositivos y señalando sesiones a punto de caducar sin necesidad de intervención manual.
Datto EDR supervisa los terminales en tiempo real en busca de indicadores de amenaza (IOC) basados en el host y de comportamiento, asocia las detecciones al marco MITRE ATT&CK para que los analistas dispongan de contexto de forma inmediata y ofrece más de 65 acciones de respuesta automatizadas, incluida la restauración tras un ataque de ransomware.
Kaseya MDR cuenta con analistas de seguridad con sede en EE. UU. que supervisan su entorno las 24 horas del día, investigan las alertas activadas por indicadores de amenaza (IOC) y toman medidas de contención cuando se confirman las amenazas. Para las organizaciones que necesitan una cobertura de respuesta a los IOC las 24 horas del día, los 7 días de la semana, sin tener que crear un centro de operaciones de seguridad (SOC), el servicio MDR es la solución más práctica.
SaaS Alerts amplía la detección de IOC a Microsoft 365, Google Workspace y otras aplicaciones en la nube. Los equipos pueden definir reglas de IOC personalizadas utilizando desencadenantes de eventos y filtros, con plantillas de IOC de la comunidad que cubren patrones de amenazas comunes y están disponibles de forma predeterminada. SaaS Alerts se conecta directamente con Kaseya SIEM para realizar correlaciones entre superficies, lo que ofrece a los analistas una visión unificada de la actividad de IOC en los terminales y en la nube en un único lugar. En conjunto, estas herramientas proporcionan a los MSP y a los equipos de TI la visibilidad y la capacidad de respuesta necesarias para actuar sobre los IOC en todas las capas del entorno, sin necesidad de un centro de operaciones de seguridad dedicado para que funcione.
