Cadenas de ataque, no solo superficies de ataque: por qué probar técnicas individuales no aborda lo esencial

Introducción

Los equipos de seguridad han logrado una gran destreza a la hora de probar sus defensas frente a las amenazas que pueden afectarlos. ¿Puede este agente EDR detectar esta carga útil (payload)? ¿Fallará mi organización en la simulación de phishing? ¿Se activa esta regla del SIEM ante esta técnica concreta? Además, en las organizaciones más maduras, estas pruebas se realizan de forma continua, en lugar de tratarse de ejercicios aislados.

Sin embargo, por mucho que se validen las defensas frente a estas exposiciones, no se resuelve el problema principal al que se enfrenta el sector: se trata de pruebas aisladas y desconectadas entre sí.

Por el contrario, los atacantes reales —cada vez más impulsados ​​por la IA— no prueban las técnicas una a una, sino que las encadenan. Un correo de phishing conduce a la obtención de credenciales; esta obtención permite establecer un punto de apoyo inicial; dicho punto facilita la escalada de privilegios, seguida del movimiento lateral, la preparación de datos (staging) y, finalmente, la exfiltración... hasta que el daño es irreversible.

Cualquiera de estos pasos individuales podría ser detectado, en teoría, por un control de seguridad; no obstante, existen demasiadas posibles vulnerabilidades que comprobar. Incluso si se lograra solucionar el 90 % de ellas, ese 10 % restante podría convertirse en el eslabón débil que permita explotar una ruta de ataque.

Lo que realmente importa es si se detecta la secuencia completa o si esta se escapa a través de las brechas existentes entre herramientas, equipos y alertas que, en realidad, nunca fueron diseñados para comunicarse entre sí.

Es precisamente en esa brecha —entre probar técnicas aisladas y probar cadenas de ataque— donde muchas posturas de seguridad aparentemente "validadas" terminan por desmoronarse silenciosamente.