{"id":34118,"date":"2025-09-26T13:57:55","date_gmt":"2025-09-26T11:57:55","guid":{"rendered":"https:\/\/www.codemotion.com\/magazine\/?p=34118"},"modified":"2025-09-26T13:57:57","modified_gmt":"2025-09-26T11:57:57","slug":"diferenciar-entre-ioc-ioa-e-indicadores-de-fraude","status":"publish","type":"post","link":"https:\/\/www.codemotion.com\/magazine\/es\/ciberseguridad\/diferenciar-entre-ioc-ioa-e-indicadores-de-fraude\/","title":{"rendered":"Diferenciar entre IoC, IoA e indicadores de fraude"},"content":{"rendered":"\n

Han pasado dos a\u00f1os desde que me sumerg\u00ed de lleno en el mundo de la caza de ciber amenazas (Threat Hunting), \u00a1y menuda experiencia! Ese aprendizaje y mejora constantes son lo que me mantiene entusiasmado con la seguridad. Sinceramente, es por eso que no creo que nadie pueda considerarse realmente un \u00abexperto\u00bb en la nube: \u00a1las cosas cambian demasiado r\u00e1pido! \ud83d\ude04Una cosa que me llam\u00f3 la atenci\u00f3n desde el principio (y he visto a otros luchar con ello tambi\u00e9n) es c\u00f3mo etiquetamos los indicadores usados para buscar posibles amenazas dentro de nuestros tenants o sistemas. No todo es un IoC, \u00a1y es hora de que dejemos de tratarlos como si lo fueran!<\/p>\n\n\n

\n
\"\"<\/figure><\/div>\n\n\n
L<\/strong>os t\u00e9rminos IoA, IoC e indicadores de fraude pueden resultar confusos, y no siempre est\u00e1 claro en qu\u00e9 se diferencian o cu\u00e1ndo utilizarlos. Por lo tanto, analicemos cada uno de ellos y veamos qu\u00e9 significa, c\u00f3mo funciona y cu\u00e1les son los m\u00e1s importantes para mantener la seguridad de una organizaci\u00f3n<\/h5><\/div>\n\n\n\n


IoA – Indicators of Attack<\/h2><\/div>\n\n\n\n

Los indicadores de ataque (IoA) son se\u00f1ales de alerta temprana, como picos de tr\u00e1fico de red inesperados, inicios de sesi\u00f3n sospechosos o comportamientos inusuales de los usuarios, los cuales pueden revelar amenazas activas antes de que se intensifiquen. A diferencia de los indicadores de compromiso (IoC), que se centran en las pruebas forenses posteriores a la infracci\u00f3n, los IoA revelan el \u00abporqu\u00e9\u00bb de los ataques al detectar intenciones maliciosas en tiempo real, como la escalada de privilegios o transferencias de datos inusuales. Este enfoque proactivo cambia la seguridad de reaccionar ante el da\u00f1o a interrumpir las amenazas en medio de la acci\u00f3n. Mediante el an\u00e1lisis continuo de los registros del sistema, las t\u00e1cticas de los atacantes (TTP) y las anomal\u00edas de comportamiento, los equipos pueden neutralizar los riesgos antes de que causen da\u00f1os. Por ejemplo, algunas detecciones de IoA basadas en consultas KQL pueden ser:<\/p>\n\n\n\n

1. PowerShell.exe renombrados<\/h4>\n\n\n\n

PowerShell es una herramienta fiable de Microsoft que los atacantes pueden utilizar indebidamente renombrando su archivo ejecutable para ocultar sus acciones y propagar amenazas. La siguiente consulta detecta comandos comunes de la CLI para identificar las ejecuciones mencionadas por un Powershell renombrado.<\/p>\n\n\n

DeviceProcessEvents\n| where   ProcessCommandLine !contains \"powershell\"<\/span>  \n| where  ProcessCommandLine !contains \"pwsh\"<\/span>\n| where  ProcessCommandLine contains \"-NoProfile\"<\/span> or ProcessCommandLine contains \"-ExecutionPolicy\"<\/span> or  ProcessCommandLine contains \"Invoke-Expression\"<\/span> \n| project DeviceName, FileName,ActionType, ProcessVersionInfoOriginalFileName, ProcessCommandLine, ProcessRemoteSessionIP<\/code><\/span>Code language:<\/span> JavaScript<\/span> (<\/span>javascript<\/span>)<\/span><\/small><\/pre>\n\n\n
2. Trafico SMTP inusual<\/h4>\n\n\n\n
Un atacante podr\u00eda intentar propagar malware, robar informaci\u00f3n confidencial mediante un ataque de tipo \u00abman-in-the-middle\u00bb (MitM), lanzar un ataque DDoS o hacer un uso indebido del servidor de una empresa para enviar spam y llevar a cabo estafas de phishing. La siguiente consulta ejecuta un an\u00e1lisis general sobre el alto volumen de tr\u00e1fico SMTP e incluye la opci\u00f3n de incluir una la lista blanca los dominios de confianza.<\/p>\n\n\n
let<\/span> timeRange = 3<\/span>d;  \/\/ Adjust time window<\/span>\nlet<\/span> volumeThreshold = 500<\/span>;  \/\/ Alert threshold for email count<\/span>\nlet<\/span> recipientThreshold = 200<\/span>;  \/\/ Alert threshold for unique recipients<\/span>\nEmailEvents\n\/\/| where Timestamp >= ago(timeRange)<\/span>\n| where EmailDirection == \"Outbound\"<\/span> and SenderFromDomain !in<\/span> (\"domain1\"<\/span>,\"domain2\"<\/span>)\n| summarize \n    TotalEmails = count(),\n    UniqueRecipients = dcount(RecipientEmailAddress),\n    UniqueDomains = dcount(tostring(split(RecipientEmailAddress, \"@\"<\/span>)[1<\/span>])),\n    TimeSpan = max(Timestamp) - min(Timestamp),\n    FirstActivity = min(Timestamp),\n    LastActivity = max(Timestamp),\n    SampleSubjects = makeset(Subject, 5<\/span>),\n    SampleRecipients = makeset(RecipientEmailAddress, 5<\/span>)\n    by SenderFromAddress, SenderMailFromAddress, SenderIPv4\n    | where TotalEmails > volumeThreshold\n    or UniqueRecipients > recipientThreshold\n| project\n    Timestamp = LastActivity,\n    SenderEmail = SenderFromAddress,\n    SenderIPv4,\n    TotalEmails,\n    UniqueRecipients,\n    UniqueDomains,\n    TimeSpan,\n    SampleSubjects,\n    SampleRecipients,\n    AlertReason = case<\/span>(\n        TotalEmails > volumeThreshold and UniqueRecipients > recipientThreshold, \"High volume to many recipients\"<\/span>,\n        TotalEmails > volumeThreshold, \"High email volume\"<\/span>,\n        UniqueRecipients > recipientThreshold, \"High recipient count\"<\/span>,\n        \"Threshold exceeded\"<\/span>\n    )\n| sort by TotalEmails desc<\/code><\/span>Code language:<\/span> JavaScript<\/span> (<\/span>javascript<\/span>)<\/span><\/small><\/pre>\n\n\n
3. Ejecuci\u00f3n de procesos inusual<\/h4>\n\n\n\n
Esta t\u00e9cnica se conoce como LOLBAS (Living Off the Land Binaries and Scripts)<\/em>. Estas herramientas est\u00e1n integradas en el sistema operativo y cuentan con la confianza de los controles de seguridad, lo que las hace ideales para eludir las defensas.  Comportamientos clave:
 
–   Ejecuci\u00f3n de cargas \u00fatiles codificadas en base64  (com\u00fan en PowerShell)
 –  Comandos ofuscados o sospechosos en l\u00edneas de proceso (por ejemplo, mshta, rundll32, regsvr32) <\/em>
– Uso de herramientas de confianza para descargar o ejecutar scripts remotos. 

Esta consulta detecta actividades sospechosas en la l\u00ednea de comandos mediante la decodificaci\u00f3n de argumentos codificados en base64, que se utilizan a menudo en los ataques. Identifica el uso de mshta.exe, una t\u00e9cnica com\u00fan en las infecciones de Lumma Stealer y otros programas maliciosos sin archivos, revelando intentos de ejecuci\u00f3n ocultos incluso cuando los comandos est\u00e1n ofuscados.<\/p>\n\n\n
DeviceFileEvents\n| extend CommandWords = split(InitiatingProcessCommandLine, \" \"<\/span>) \/\/ Split the command into words<\/span>\n| extend Word1 = CommandWords[0<\/span>],                     \/\/ First word<\/span>\n         Word2 = CommandWords[1<\/span>],                     \/\/ Second word<\/span>\n         Word3 = CommandWords[2<\/span>],                     \/\/ Third word<\/span>\n         Word4 = CommandWords[3<\/span>],                     \/\/ Fourth word<\/span>\n         Word5 = CommandWords[4<\/span>]  \n| extend LongestWord = case<\/span>(\n    strlen(Word1) >= strlen(Word2) and strlen(Word1) >= strlen(Word3) and strlen(Word1) >= strlen(Word4) and strlen(Word1) >= strlen(Word5), Word1,\n    strlen(Word2) >= strlen(Word1) and strlen(Word2) >= strlen(Word3) and strlen(Word2) >= strlen(Word4) and strlen(Word2) >= strlen(Word5), Word2,\n    strlen(Word3) >= strlen(Word1) and strlen(Word3) >= strlen(Word2) and strlen(Word3) >= strlen(Word4) and strlen(Word3) >= strlen(Word5), Word3,\n    strlen(Word4) >= strlen(Word1) and strlen(Word4) >= strlen(Word2) and strlen(Word4) >= strlen(Word3) and strlen(Word4) >= strlen(Word5), Word4,\n    Word5 \/\/ Default case if Column5 is the longest<\/span>\n)\n| extend tostring(LongestWord)\n| extend DecodedBytes = base64_decode_tostring(LongestWord)\n| extend DecodedString = tostring(DecodedBytes)\n| where DecodedString contains \"mshta\"<\/span> or InitiatingProcessCommandLine contains  \"mshta\"<\/span>\n| distinct  DeviceName,InitiatingProcessCommandLine,LongestWord,DecodedString\n<\/code><\/span>Code language:<\/span> JavaScript<\/span> (<\/span>javascript<\/span>)<\/span><\/small><\/pre>\n\n\n
4.Comunicaci\u00f3n Command and Control (C2)<\/h4>\n\n\n\n
Malware que se comunica con servidores externos controlados por atacantes. Puede utilizar puertos poco comunes, tr\u00e1fico cifrado o b\u00fasquedas DNS fallidas frecuentes.<\/p>\n\n\n\n
Esta consulta identifica los dispositivos de la tabla DeviceEvents que est\u00e1n iniciando conexiones RDP y proporciona la ubicaci\u00f3n de las direcciones IP remotas. La tabla DeviceEvents tiene una columna llamada \u00abLocalIP\u00bb que puede resultar confusa, pero tambi\u00e9n incluye RemoteIPs, lo que significa intentos de conexiones remotas desde el propio dispositivo. He excluido las entradas sin informaci\u00f3n sobre la ubicaci\u00f3n de la IP (lo que significa que son potencialmente IP locales). Como opci\u00f3n, puede a\u00f1adir una l\u00ednea para excluir ubicaciones \u00abincluidas en la lista blanca\u00bb, como: ‘ | where location !contain \u00abSpain\u00bb ‘<\/em><\/p>\n\n\n
DeviceEvents\n| where ActionType contains \"RemoteDesktopConnection\"<\/span>\n| extend location = geo_info_from_ip_address(LocalIP)\n| where location contains \"Country\"<\/span>\n| project Timestamp, DeviceName, ActionType, LocalIP, LocalPort, location,ReportId, DeviceId<\/code><\/span>Code language:<\/span> JavaScript<\/span> (<\/span>javascript<\/span>)<\/span><\/small><\/pre>\n\n\n
IoC – Indicadores de compromiso<\/h2>\n\n\n\n
Un indicador de compromiso (IOC)<\/strong> es un artefacto de datos u observaci\u00f3n que sugiere que se ha producido una violaci\u00f3n de la seguridad de un sistema o red, o que se ha producido una actividad maliciosa.<\/p>\n\n\n\n
Los IOC pueden incluir hash de archivos, direcciones IP, nombres de dominio, cambios en el registro, anomal\u00edas en los procesos o firmas de comportamiento que se correlacionan con amenazas conocidas. Se suelen utilizar en an\u00e1lisis forenses, b\u00fasqueda de amenazas y flujos de trabajo de detecci\u00f3n automatizada para identificar, rastrear y responder a incidentes de seguridad tras un compromiso ya sea en el propio entorno o comunicado por un segundo.<\/p>\n\n\n\n
1. File Hashes<\/h4>\n\n\n\n
Los FileHashes son huellas digitales \u00fanicas de los archivos (por ejemplo, MD5, SHA256) que pueden utilizarse para identificar ficheros relacionados con malware o acciones sospechosas.<\/p>\n\n\n\n
Estos hashes sirven como indicadores de compromiso (IOC) que pueden cruzarse con fuentes de inteligencia sobre amenazas para identificar amenazas basadas en archivos en distintos entornos. La siguiente consulta KQL une eventos de archivos locales con indicadores MD5 externos del conocido repositorio TI MalwareBazaar con el objetivo de detectar ficheros maliciosos conocidos.<\/p>\n\n\n
let<\/span> MalwareBazaar = externaldata(MD5: string) [\"https:\/\/bazaar.abuse.ch\/export\/txt\/md5\/recent\"<\/span>] with<\/span> (format=\"txt\"<\/span>, ignoreFirstRecord=True);\nlet<\/span> MaliciousMD5 = MalwareBazaar | where MD5 !startswith \"#\"<\/span>;\nDeviceFileEvents\n| join kind=inner ( MaliciousMD5) on $left.MD5 == $right.MD5<\/code><\/span>Code language:<\/span> JavaScript<\/span> (<\/span>javascript<\/span>)<\/span><\/small><\/pre>\n\n\n
2. Direcciones IP maliciosas<\/h4>\n\n\n\n
Las direcciones IP maliciosas son indicadores de compromiso (IOC) que pueden estar vinculados al phishing, la distribuci\u00f3n de malware o la infraestructura de comando y control. La comunicaci\u00f3n con estas direcciones IP puede indicar que un usuario o un sistema puede haber sido comprometido.<\/p>\n\n\n\n
Esta consulta KQL importa la fuente de amenazas IPsum<\/strong> y la analiza para extraer direcciones IP con una puntuaci\u00f3n de lista negra. A continuaci\u00f3n, combina los registros relacionados con la identidad de AADSignInEventsBeta, CloudAppEvents e IdentityLogonEvents, y los une con la lista de IP analizadas. Cualquier coincidencia revela actividad relacionada con IP de alto riesgo, lo que ayuda a identificar cuentas que interact\u00faan con infraestructura maliciosa conocida.<\/p>\n\n\n
let<\/span> ipsumrawData = externaldata(ip_string: string)[h@\"https:\/\/raw.githubusercontent.com\/stamparm\/ipsum\/master\/ipsum.txt\"<\/span>] with<\/span> (format=\"txt\"<\/span>);\nlet<\/span> parsedData = ipsumrawData\n| where ip_string matches regex @\"^\\d{1,3}\\.\\d{1,3}\\.\\d{1,3}\\.\\d{1,3}\\s+\\d+$\"<\/span>\n| extend IP = extract(@\"^(\\d{1,3}\\.\\d{1,3}\\.\\d{1,3}\\.\\d{1,3})\"<\/span>, 1<\/span>, ip_string), IPPubliclyBlacklist = toint(extract(@\"\\s+(\\d+)$\"<\/span>, 1<\/span>, ip_string));\nlet<\/span> badIPList = parsedData\n| project IP, IPPubliclyBlacklist\n| order by IPPubliclyBlacklist desc;\nlet<\/span> aadSignInEventsBeta = AADSignInEventsBeta\n| project Timestamp, AccountUpn, DeviceName, LogonType, IPAddress, Application, ApplicationId, ClientAppUsed, DeviceTrustType, LastPasswordChangeTimestamp, ResourceDisplayName, ResourceId, ResourceTenantId;\nlet<\/span> cloudAppEvents = CloudAppEvents\n| project Timestamp, AccountDisplayName, AccountObjectId, IPAddress, Application, ApplicationId, ActionType, ActivityType, IsAdminOperation, IsImpersonated, DeviceType, AuditSource, RawEventData, AdditionalFields, ReportId; \nlet<\/span> identityLoginEvents = IdentityLogonEvents\n| project Timestamp, AccountUpn, AccountObjectId, AccountSid, DeviceName, DeviceType, FailureReason, IPAddress, Protocol, DestinationIPAddress, DestinationPort, LogonType, AdditionalFields, ReportId;\nlet<\/span> combinedEvents = aadSignInEventsBeta\n| union cloudAppEvents\n| union identityLoginEvents\n| project Timestamp, AccountUpn, AccountObjectId, AccountSid, DeviceName, DeviceType, LogonType, IPAddress, Application, ActionType, ActivityType, IsAdminOperation, IsImpersonated, DeviceTrustType, LastPasswordChangeTimestamp, ResourceDisplayName, ResourceId, ResourceTenantId, FailureReason, Protocol, DestinationIPAddress, DestinationPort, AdditionalFields, ReportId;\ncombinedEvents\n| join kind=inner (badIPList) on $left.IPAddress == $right.IP\n| project Timestamp, AccountUpn, AccountObjectId, IPAddress, IPPubliclyBlacklist, LogonType, LastPasswordChangeTimestamp, Application, DeviceName, DeviceType, DeviceTrustType, ResourceDisplayName, ResourceTenantId, AdditionalFields, ResourceId, ReportId\n| order by Timestamp desc;<\/code><\/span>Code language:<\/span> JavaScript<\/span> (<\/span>javascript<\/span>)<\/span><\/small><\/pre>\n\n\n
3. Dominios y URLS <\/h4>\n\n\n\n
Los dominios y las URL se encuentran entre los IOC m\u00e1s comunes utilizados para detectar e investigar lugares maliciosos en internet. Representan nombres de host (como malicious-site.com) o direcciones web completas (como http:\/\/malicious-site.com\/payload.exe) que pueden est\u00e1n involucrados en:<\/p>\n\n\n\n