Inteligencia de Amenazas (CTI).

La Inteligencia de Amenazas (CTI) es la disciplina de recolectar, procesar, analizar y difundir información sobre amenazas cibernéticas para que los defensores tomen mejores decisiones. Transforma señales en bruto (muestras de malware, credenciales filtradas, conversaciones en la dark web, telemetría) en inteligencia curada sobre quién ataca la organización, qué busca y cómo opera.

El trabajo de CTI se estructura con modelos conocidos. El ciclo de inteligencia (dirección → recolección → procesamiento → análisis → difusión → retroalimentación) gobierna el flujo, mientras que marcos analíticos como la Cyber Kill Chain de Lockheed Martin, el Modelo Diamante de Análisis de Intrusiones y MITRE ATT&CK dan a los analistas un vocabulario común para adversario, capacidad, infraestructura y víctima. La CTI suele dividirse en niveles estratégico, operacional y táctico, cada uno con un público diferente, desde la dirección hasta los analistas del SOC.

Los indicadores y reportes se intercambian habitualmente en STIX (formato de datos estructurado) sobre TAXII (protocolo de transporte), lo que permite a ISACs y proveedores compartir inteligencia legible por máquina a escala. Los programas maduros alimentan la CTI hacia SIEM, EDR, gestión de vulnerabilidades y respuesta a incidentes —por ejemplo, priorizando parches para un CVE que un actor conocido del sector explota activamente— reduciendo el tiempo de detección y respuesta y convirtiendo la defensa reactiva en anticipación.

flowchart LR
  A[Dirección] --> B[Recolección]
  B --> C[Procesamiento]
  C --> D[Análisis]
  D --> E[Difusión]
  E --> F[Retroalimentación]
  F --> A
  D --> G[Estratégico: consejo]
  D --> H[Operacional: IR / caza]
  D --> I[Táctico: SOC / SIEM]