8.1 Lección Teórica: Marco MITRE ATT&CK, Emulación de Adversarios y Caldera

MITRE ATT&CK desde CERO: CVE, CWE, CAPEC y T1190 en acción en nuestro ciclo “Aprendiendo Ciberseguridad paso a paso”.

Qué es MITRE y su historia.

Cómo se conectan ATT&CK, CVE, CWE y CAPEC.

Presentación del primer ejercicio práctico: en 4 pasos detectamos una vulnerabilidad, la enlazamos con la técnica T1190 (Exploit Public-Facing Application), su relación con la CWE-502 (Deserialización insegura) y finalmente el CAPEC-586 (Inyección de datos maliciosos).

Cómo todo esto se integra con NIST NVD y el CVSS de FIRST para evaluar el impacto y la criticidad.

Este es el comienzo de una serie única en YouTube, donde explicamos MITRE con un nivel de detalle que no encontrarás en otro lugar.

¿Qué es MITRE?

MITRE es una organización sin fines de lucro que provee recursos vitales para entender las amenazas y vulnerabilidades que enfrentan los sistemas hoy en día. Su proyecto inicial fue el SAGE (Semi-Automatic Ground Environment), que se trató del primer sistema conectado de defensa aérea de EEUU y estaba compuesto por grandes ordenadores y redes que tenían el fin de coordinar los datos de las estaciones de radar. Esta organización, todavía existe en la actualidad, pero ahora se denomina MITRE.

En 2014 crearon el único centro de I+D de colaboración público-privada en EEUU dedicado en exclusiva a la ciberseguridad: el National Cybersecurity FFRDC (Federally Funded Research and Development Centers). Fruto de esta amplia experiencia, los equipos de MITRE desarrollaron ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge), una herramienta que ahora es muy utilizada por toda la comunidad de expertos en ciberseguridad.

El nombre MITRE fue creado por James McCormack Jr, uno de los miembros originales del consejo de administración. Este nombre no es un acrónimo, aunque se pueden encontrar en Internet varias afirmaciones de que lo es (Massachusetts Institute of Technology Research And Engineering o Massachusetts Institute of Technology Reject Engineers), originalmente siempre en mayúsculas, MITRE comenzó a utilizar mayúsculas normales alrededor de la época de la escisión de Mitretek, pero ambas formas todavía se pueden encontrar ampliamente a partir de 2023.

En 2023, Simon Garfinkel para MIT Technology Review estudió cientos de documentos de archivo y no pudo determinar el origen del nombre de MITRE. Howard Murphy, historiador de la Universidad Estatal de Nueva York en Oneonta, fue citado en Technology Review diciendo que los fundadores de la empresa eligieron el nombre MITRE porque era la grafía francesa de la palabra inglesa “miter”, una unión suave de dos piezas.

Los contenidos de todo este capítulo están basado en nuestro artículo “Curso práctico de MITRE” que como siempre, podéis descargarlo gratuitamente de www.darFe.es en el menú “Descargas” “Artículos”.

MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge )— Matriz que organiza y clasifica todas las tácticas y técnicas que los adversarios usan en ataques reales. Lo veremos con muchos ejemplos prácticos, desde la ejecución remota hasta la exfiltración de datos.

CVE (Common Vulnerabilities and Exposures) — Listado oficial de vulnerabilidades con identificadores únicos, que te permiten saber exactamente qué fallas afectan a tus sistemas.

CWE (Common Weakness Enumeration) — Catálogo de debilidades comunes en software y hardware que causan esas vulnerabilidades.

CAPEC (Common Attack Pattern Enumeration and Classification) — Clasificación de patrones de ataque que usan los adversarios para explotar esas debilidades.

¿Por qué es importante esto?

Porque al comprender este ecosistema podemos anticipar ataques, detectar intrusiones y mejorar la seguridad de forma proactiva.

Durante el curso, además de teoría, vamos a realizar muchos ejercicios prácticos: búsquedas en bases de datos, simulaciones con la herramienta Mitre Caldera, scripting para detección de vulnerabilidades, análisis de casos reales y mucho más.

Al final, estarás listo para aplicar estas técnicas en cualquier entorno profesional.

Este conocimiento no solo te hará entender mejor el panorama de ciberseguridad, sino que te dará herramientas para analizar y defender sistemas en la vida real.

MITRE Corporation opera centros de investigación y desarrollo financiados por el gobierno de los Estados Unidos (FFRDCs: Federally funded research and development centers). Su misión es resolver problemas complejos de interés público, especialmente en áreas como:

En ciberseguridad, MITRE desarrolla modelos, bases de conocimiento, marcos de ataque y defensa, y clasificaciones que son de uso libre y ampliamente adoptadas por gobiernos, empresas e investigadores.

A continuación se presentan una serie de enlaces más directos hacia las diferentes páginas con las que trabajaremos durante todo este ciclo.

Si deseas profundizar más aún en todos sus centros de investigación, aquí abajo os dejamos todos los enlaces:

Luego de toda esta teoría, se presenta una metodología de trabajo por pasos, que es mejor verla directamente desde el video 161 (Obligatorio).

Para entenderlo mejor, veamos un ejemplo en cuatro pasos encadenado MITRE ATT&CK, CVE, CWE y CAPEC.

Descubrimos que un atacante ha podido controlar los parámetros de los mensajes de registro y ejecutado código arbitrario en nuestro servidor LDAP. Investigando, vemos que puede tener relación con esta CVE-2021-44228.

Si abrimos la misma desde el enlace de arriba, lo primero que nos indica es que se trata de un problema de Apache, en concreto relacionado con Log4j2, y que afecta a las versiones: 2.0-beta9 hasta 2.15.0 (excluyendo las versiones de seguridad 2.12.2, 2.12.3 y 2.3.1).

Si buscamos en Google por Apache Log4j2 nos indica que: “Apache Log4j 2 se erige como uno de los marcos de trabajo de registro más potentes y versátiles disponibles para aplicaciones Java. Como sucesor del ampliamente utilizado Log4j, este marco de trabajo completamente reescrito aborda los problemas de rendimiento, las limitaciones arquitectónicas y las vulnerabilidades de seguridad que plagaban las versiones anteriores”.

Si analizamos el contenido de esta CVE, vemos que está relacionado con 3 CWE, la primera de ellas es CWE-502. Por lo que, para seguir investigando el tema, nos dirigimos a la misma.

👉 CWE-502: Deserialization of Untrusted Data: https://cwe.mitre.org/data/definitions/502.html

Si abrimos esta CWE, lo primero que vemos en su Descripción es que: “El producto deserializa datos no fiables sin garantizar suficientemente que los datos resultantes serán válidos”. (recuadrado en verde).

Si nuevamente consultamos en Google, de qué se trata esto, nos dice que: “La deserialización de datos no fiables, también conocida como deserialización insegura, ocurre cuando una aplicación web permite que datos serializados, provenientes de fuentes no confiables, sean deserializados y utilizados. Esto puede permitir que atacantes inyecten código malicioso o manipulen el comportamiento de la aplicación, llevando a la ejecución remota de código, robo de datos o incluso el control total del sistema”.

En concreto, esto es lo que nos está sucediendo. Dicho sea de paso, el dibujo sencillo que nos muestra la CWE al lado de la descripción, es bastante representativo.

Con este breve análisis, estamos empezando a comprender cuál es la debilidad que tenemos en nuestra infraestructura.

Si prestamos atención en la parte inferior de esta CWE, nos indica que se relaciona con el patrón de ataque CAPEC-586 (recuadrado en rojo). Recordemos que CAPEC quiere decir: “Common Attack Pattern Enumeration and Classification”, por lo que para seguir comprendiendo el problema, pasemos a analizar este patrón de ataque que puede haber empleado este intruso.

Nos vamos a: https://capec.mitre.org. Desde allí, en la ventana “search” colocamos 586 (recuadrado en rojo en la imagen de arriba).

Se nos abrirá la ventana que presentamos en la imagen que sigue.

En la descripción (recuadrada en verde en la imagen de arriba), nos indica que: “Un adversario intenta explotar una aplicación inyectando contenido malicioso adicional durante el procesamiento de objetos serializados. Los desarrolladores utilizan la serialización para convertir datos o estados en un formato binario estático para guardarlos en disco o transferirlos a través de una red. Estos objetos se deserializan cuando es necesario recuperar los datos o el estado. Al inyectar un objeto malformado en una aplicación vulnerable, un adversario puede potencialmente comprometer la aplicación manipulando el proceso de deserialización. Esto puede dar lugar a una serie de resultados no deseados, incluyendo la ejecución remota de código”.

Nos indica también que su probabilidad de ataque (Likelihood Of Attack) es “Media” y su severidad es “Alta” (High).

Al final de la imagen anterior, hemos resaltado en azul un dato muy importante: [REF-468] "Deserialization of Untrusted Data". OWASP. 2017-01.

OWASP (Open Web Application Security Project), es una organización sin ánimo de lucro dedicada a mejorar la seguridad del software. Su objetivo principal es proporcionar recursos, herramientas y guías para ayudar a desarrolladores y organizaciones a crear aplicaciones web más seguras.

Y buscamos por: "Deserialization of Untrusted Data", recuadrado en rojo, en la imagen de la derecha.

Nos sigue ampliando el detalle de esta vulnerabilidad. A su vez, vemos que la primera línea nos habla de “NVD Categorization”, donde NVD viene de “National Vulnerability Database, del NIST” que, reiteramos, lo desarrollaremos unas páginas más abajo. En este punto también, nos hace referencia a la CWE-502, que acabamos de presentar.

En nuestro caso concreto, el camino más sencillo que solemos seguir, es buscar por el tipo de vulnerabilidad que venimos estudiando desde el paso 1, la cual es “Log4j”. Por lo tanto nos vamos a MITRE ATT&CK: https://attack.mitre.org

Y en la ventana “Search” colocamos: Log4j, tal cual hemos resaltado en rojo en la imagen de la derecha.

Ahora, prestad mucha atención!!!, la búsqueda nos presenta diferentes opciones, la primera relacionada a Panda, la segunda a Cinnamon, la cuarta Active Scaning… pero la tercera nos dice claramente “Exploit Public-Facing Application”, es decir: “Explotar una aplicación de cara al público”, que es exactamente lo que nos ha sucedido en este Apache. En este caso, todo indica que es la que más se ajusta a todo nuestro análisis, por lo que nos decantamos por esta misma, que es la “Technique T1190 – Enterprise”. Este mensaje nos indica que se trata de la matriz de empresa (Enterprise) y de la Técnica: T1190.

Si seleccionamos (hacemos “click”) en esta misma, se nos desplegará la imagen que se presenta a la izquierda.

Sobre la arquitectura que nos presenta MITRE ATT&CK seguiremos profundizando en el capítulo 2, pero por ahora solo nos interesa saber que estamos en la:

Esta Técnica de Explotar una aplicación de cara al público, (Exploit Public-Facing Application), si avanzamos para profundizar en ella, nos presenta:

Varios ejemplos de procedimientos que pueden emplearse para aprovechar esta vulnerabilidad.

Diferentes medidas que podemos adoptar para mitigarla.

Medias y herramientas que podemos emplear para detectar intentos de explotación de esta vulnerabilidad.

Muchas referencias, para analizar el tema hasta el nivel de detalle que deseemos. Por ejemplo, esta técnica ID: T1190, que estamos analizando posee 114 referencias, como para que podamos dedicarle varias jornadas si lo deseamos.

En resumen, en estos cuatro pasos hemos visto de forma práctica y con ejemplos, los cuatro pilares de MITRE.

El desarrollo de este tema lo desarrollamos en detalle en el video 162 (Obligatorio).

En el Paso 1: nos quedó pendiente el desarrollo de NIST NVD.

El NIST (National Institute of Standards and Technology) o, Instituto Nacional de Estándares y Tecnología, es una agencia no reguladora del Departamento de Comercio de los Estados Unidos de Norte América. Su función principal es promover la innovación y la competitividad industrial a través de avances en la ciencia de la medición, normas y tecnología. Además, el NIST desarrolla estándares, directrices y marcos de referencia, como el Marco de Ciberseguridad del NIST, para ayudar a las organizaciones a gestionar y reducir sus riesgos de ciberseguridad.

La Base de Datos Nacional de Vulnerabilidades (NVD) del NIST es un repositorio público del gobierno de EEUU que contiene información estandarizada sobre vulnerabilidades de seguridad informática y sirve como una fuente centralizada para la gestión de vulnerabilidades, la medición de la seguridad y el cumplimiento normativo.

La relación entre el NVD y CVE es que el primero es el repositorio oficial del gobierno estadounidense para las vulnerabilidades identificadas por las CVE. NVD utiliza las CVE como base para enriquecer la información con detalles adicionales sobre cada vulnerabilidad, como su gravedad (usando CVSS), tipos de debilidades (usando CWE).

En resumen, las CVE son identificadores únicos para vulnerabilidades conocidas, mientras que el NVD es una base de datos que proporciona información detallada y enriquecida sobre esas vulnerabilidades, utilizando las CVE como punto de partida.

CVSS (Common Vulnerability Scoring System) o Sistema Común de Puntuación de Vulnerabilidades, es un estándar abierto para evaluar la gravedad de las vulnerabilidades de seguridad en sistemas informáticos. CVSS permite asignar una puntuación numérica a una vulnerabilidad, lo que ayuda a priorizar los esfuerzos de mitigación. Se encuentra bajo la custodia de FIRST (Forum of Incident Response and Security Teams), pero se trata de un estándar completamente abierto, por lo que puede ser utilizado libremente.

En resumen, CVSS es una herramienta libre y gratuita para evaluar la gravedad de las vulnerabilidades y priorizar su mitigación.

CVSS proporciona un lenguaje común para discutir y comunicar el riesgo de seguridad.

El sistema CVSS se basa en un conjunto de métricas que se agrupan en cuatro categorías: base, temporal, de entorno y suplementarias. Estas métricas se combinan para calcular una puntuación numérica que indica la gravedad de la vulnerabilidad. La última versión de CVSS es la 4.0, lanzada en 2022.

En otras palabras, CVE es una lista de vulnerabilidades, mientras que CVSS es una herramienta para evaluar el riesgo asociado a esas vulnerabilidades.

Si deseamos relacionarla con la CVE que estuvimos analizando en el paso 1, podemos seleccionar la opción “Search” (rojo) del menú de la izquierda, y nos mostrará el botón de CVE (azul):

El desarrollo de este tema lo desarrollamos en detalle en el video 163 (Obligatorio).

🌐 MITRE: conexión con NISTNVD y CVSS - Charla 163 - Aprendiendo Ciberseguridad paso a paso

En este tema, nos dedicaremos a realizar ejercicios.

Objetivo: Navegar y familiarizarse con cada una de las plataformas.

Caso práctico: Ahora práctica tu con Log4Shell (o si lo deseas con cualquier otro)

Busca en CVE.mitre.org el ID CVE-2021-44228.

¿Cuál es la puntuación de severidad?

¿Cuál es el ID CWE asociado?

Busca un CAPEC que tenga relación con inyecciones en parámetros o deserialización.

Accede a MITRE ATT&CK y localiza la técnica T1190.

Como veréis en nuestro artículo “Curso práctico de MITRE”, que podéis descargar gratuitamente en www.darFe.es, en el menú “Descargas” “Artículos”, en el mismo se presentan una serie de ejercicios más, os recomendamos que no dejéis de hacerlos para ir mejorando vuestra capacitación.

El desarrollo de este tema lo desarrollamos en detalle en el video 164 (Obligatorio).

Definición, estructura (tácticas, técnicas, procedimientos).

Matrices (Enterprise, Mobile, ICS).

Ejemplo visual y concepto básico.

MITRE ATT&CK, que significa Adversarial Tactics, Techniques, and Common Knowledge, es una matriz de conocimiento que describe cómo los atacantes actúan en redes y sistemas reales.

Este marco proporciona un lenguaje común para la inteligencia de amenazas, la respuesta a incidentes y las evaluaciones de seguridad. Es decir que, su principal objetivo es facilitar un lenguaje común para que los profesionales de ciberseguridad puedan comunicarse de manera más efectiva sobre las amenazas.

¿Por qué MITRE ATT&CK es revolucionario?

Antes, muchas metodologías hablaban de amenazas genéricas. ATT&CK se basa en evidencia real, reportes públicos y análisis de incidentes, documentando tácticas y técnicas específicas con descripciones claras.

Tácticas: Representan las metas o fases del ataque. Por ejemplo: Inicial Access (acceso inicial), Persistence(persistencia), Defense Evasion (evasión de defensa) (en azul).

Técnicas: Métodos concretos usados para lograr las tácticas. Por ejemplo, para Initial Access una técnica es Phishing (en verde).

Subtécnicas: Variaciones específicas de una técnica, como Spearphishing Attachment o Spearphishing Link (subrayadas en verde).

ATT&CK for Enterprise: para entornos empresariales, cubre Windows, Linux, macOS y cloud.

ATT&CK for Mobile: enfocado en ataques móviles.

ATT&CK for ICS: para sistemas de control industrial.

En la imagen de la derecha, podemos ver en la matriz “Enterprise”, la Táctica “Execution· (ejecución, recuadrado en rojo), que puede incluir Técnicas como por ejemplo “Command and Scripting Interpreter” (recuadrado en verde), que a su vez posee Subtécnicas como PowerShell, Apple Script, Windows Command Shell, etc. (recuadrado en azul), que el atacante emplea para ejecutar código malicioso.

El desarrollo de este tema lo desarrollamos en detalle en el video 165 (Obligatorio).

🌐 MITRE: Comprendiendo las Tácticas de ATT&CK - Charla 165 - Aprendiendo Ciberseguridad paso a paso

Prevention on Endpoint (Prevención de comportamientos en terminales), Credential Access Protection (Protección de credenciales de acceso

En este ejemplo, podemos observar todo el volumen de información que MITRE ATT&CK nos ofrece a la hora de analizar una vulnerabilidad.

Recordad que los contenidos de todo este capítulo están basado en nuestro artículo “Curso práctico de MITRE” que como siempre, podéis descargarlo gratuitamente de www.darFe.es en el menú “Descargas” “Artículos”.

El desarrollo de este tema lo desarrollamos en detalle en el video 166 (Obligatorio).

🌐 MITRE: ATT&CK - OS Credential Dumping (LSASS) - Charla 166 - Aprendiendo Ciberseguridad paso a paso

Veamos con otro ejemplo, como podemos navegar en esta matriz de ATT&CK.

Cada columna es una táctica (por ejemplo, "Persistence” o "Execution").

Cada cuadro es una técnica (click para expandir y ver detalles).

Puede filtrarse por plataforma (Windows, Linux, Cloud, etc).

Crear capas visuales de ataques simulados o conocidos.

Marcar técnicas detectadas por herramientas SIEM o EDR.

Exportar mapas PDF o JSON para reportes.

Avancemos de forma práctica con esta herramienta que nos puede ser de mucha utilidad a la hora de realizar análisis, seguimiento e histórico de amenazas, ataques y vulnerabilidades. Esta oferta de Github, permite tanto a blue como a red team, realizar un trabajo a consciencia y metódico sobre nuestras infraestructuras, pues como veremos, puede personalizarse con todo detalle, así que pasemos a verla, como siempre, empleando nuestro Kali Linux.

Es importante lo que nos indica en: Requirements (pues si no tenemos instalado estos paquetes, no funcionará)

Para instalarlos: sudo apt install nodejs npm (puede que nos ponga algún problema, para lo que deberemos actualizar nuestro sistema previamente con apt upgrade, apt update).

Te invitamos a que veas el detalle de toda la instalación en nuestro artículo “Curso práctico de MITRE” que como siempre, podéis descargarlo gratuitamente de www.darFe.es en el menú “Descargas” “Artículos”.

El desarrollo de este tema lo desarrollamos en detalle en el video 167 (Obligatorio).

🌐 MITRE: ATT&CK Navigator GitHub: Instalación - Charla 167 - Aprendiendo Ciberseguridad paso a paso

Comenzamos a trabajar con ATT&CK Navigator. Teniendo ya instalado y lanzada la herramienta, según vimos en el tema anterior, ahora en nuestro navegador abrimos la URL: http://localhost:4200

Si seleccionamos la primera de las opciones “Create New Layer”, se nos desplegará la ventana que presentamos en la imagen que sigue.

Como podemos ver, nos presenta las tres matrices que ya venimos estudiando desde en el punto anterior:

En nuestro caso, para mantener la misma línea de trabajo, seleccionaremos “Enterprise ATT&CK”, pero por supuesto, se puede elegir la que más necesitemos para nuestro entorno.

Una vez seleccionada la matriz, se nos desplegará una ventana muy, pero muy similar a la que nos presenta MITRE en su Web oficial, pero iremos viendo “paso a paso” que este navegador de Github, nos ofrece algunas capacidades adicionales que nos serán de mucho valor.

En la imagen de abajo, vemos la ventana del nuevo nivel que acabamos de crear para la matriz Enterprise ATT&CK.

En primer aspecto que es diferente, son los tras botones que nos presenta en el extremo superior derecho (recuadrados en rojo).

Cada uno de ellos, nos ofrece opciones que iremos desarrollando a continuación.

Como primer paso, vamos a crear un nuevo nivel para personalizarlo a nuestro gusto. Lo haremos, presionando en el signo “+” (circulo verde) que vemos en la ventana de abajo, luego, una vez más elegimos la matriz “Enterprise ATT&CK”.

Se nos volverá a presentar la misma ventana que antes, pero esta vez, seleccionaremos el botón “Layer Controls”, y presionaremos en el ícono de engranaje (ambos recuadrados en azul).

En nuestro ejemplo, le hemos puesto como nombre (Name) “T1190” y en la Descripción, “ataques que hemos detectado en T1190” (ambos recuadrados en naranja). Nuestra intención con este ejemplo, será seguir avanzando en el ejemplo que hemos desarrollado en el punto anterior y ahora con mayor grado de detalle para mejorar la protección de nuestras infraestructuras.

Si en vuestro Kali, cuando escribís texto, os lo resalta, se debe a una cuestión de diccionarios de Firefox.

Para solucionarlo, posicionaros sobre cualquiera de las palabras resaltadas y con el botón derecho, seleccionáis “Languajes”, se os abrirá una nueva ventana de Firefox, en la que podéis instalar el Diccionario que deseéis. En nuestro caso, seleccionamos Spanish (Spain) Dictionary, como podéis ver en la imagen de abajo.

.

.

Hasta ahora, hemos creado un nuevo nivel, que lo llamamos “T1190” y solo le incorporamos una descripción. Avancemos un poco más, vamos a cambiar de botón y seleccionaremos el de “Selection Controls”, una vez dentro del mismo, marcamos en celeste (azul claro para los españoles) los cuarto ítems: Show Control Labels, Search & Multiselect, Deselect Techniques y Selection Behavior. Tal cual se muestra recuadrado en rojo, en la imagen de la derecha.

Una vez que tengamos los cuatro seleccionados, nos aparecerán todas las opciones que podemos ver recuadradas en verde.

Te invitamos a que veas el detalle de toda la instalación en nuestro artículo “Curso práctico de MITRE” que como siempre, podéis descargarlo gratuitamente de www.darFe.es en el menú “Descargas” “Artículos”.

El desarrollo de este tema lo desarrollamos en detalle en el video 168 (Obligatorio).

🌐 MITRE: ATT&CK Navigator GitHub: USO - Charla 168 - Aprendiendo Ciberseguridad paso a paso

Objetivo: simular y analizar una cadena de ataque mediante Caldera, y mapearla en MITRE ATT&CK.

Qué es Caldera de MITRE: https://caldera.mitre.org

Su página principal es la que podemos ver en la imagen de la derecha.

“Caldera es una plataforma de emulación de adversarios diseñada para ejecutar fácilmente ejercicios autónomos de simulación de brechas y ataques. También se puede utilizar para ejecutar operaciones manuales de equipos rojos o respuestas automatizadas a incidentes. Caldera se basa en el marco MITRE ATT&CK™ y es un proyecto de investigación activo en MITRE”.

La documentación que nos ofrece esta Web es muy completa y debemos recurrir a ella ante cualquier duda.

Caldera nos permitirá ejecutar cualquiera de los ataques que nos presenta MITRE (y mucho más), analizarlos desde cada uno de los comandos o acciones que un intruso ha realizado, y con ello comprender cómo es la metodología y pasos que realizó.

Básicamente se trata de una interfaz gráfica que se ejecuta en un servidor y que trabaja en conjunto con la matriz MITRE ATT&CK. Con este interfaz gráfica podremos crear escenarios de ataques reales y la conectaremos con un agente que se comunicará con este servidor usando C2 (Command & Control).

La importancia de aprender a emplear Caldera es que nos será de utilidad, tanto para los operadores del Red Team que pueden beneficiarse de esta herramienta ejecutando las técnicas que hemos ido desarrollando, y por otro lado, los operadores del Blue Team pueden ejecutar y revisar acciones de respuesta a incidentes. Además, está construido sobre el marco de MITRE ATT&CK, que es desde donde la plataforma extrae todas las tácticas, técnicas y procedimientos. Es decir, estamos profundizando en una metodología de trbajo que completa de forma práctica, todo lo que nos ofrece MITRE.

El proyecto Caldera de MITRE es una plataforma de tipo Breach and Attack Simulation (BAS) de código abierto que permite emular las Tácticas, Técnicas y Procedimientos (TTP) de explotación de redes y sistemas.

Para mantener nuestra metodología de trabajo eminentemente práctica, pasemos a trabajar con Caldera.

El desarrollo de este tema lo desarrollamos en detalle en el video 169 (Obligatorio).

🌐 MITRE CALDERA: Presentación y visión general - Charla 169 - Aprendiendo Ciberseguridad paso a paso

Instalación de Caldera.

Encontraréis en el enlace de caldera que hemos puesto arriba, y en todo Internet, varios foros para la instalación de caldera desde Github. Esta instalación, en muchos casos suele ponerse complicada. Pero nuevamente otra de las maravillas que nos ofrece nuestro Kali Linux, es que nos permite instalarlo sencillamente con el comando “apt”. Recomendamos que lo hagáis con la última versión de Kali.

En nuestro caso, como podéis ver en la imagen de arriba, estamos en la versión 6.12.33 de junio de 2025.

Para instalarlo solo ejecutamos: “apt install caldera”.

Una vez finalizada la instalación, se ejecuta con: “caldera --insecure”. La opción “--insecure”, nos permite trabajar con protocolo HTTP. Por supuesto mucho cuidado con el mismo, si lo hacemos en redes en producción, pues recordad que es un protocolo inseguro con lo que en ese caso no colocaremos “--insecure”.

Como podemos apreciar, la instalación de Caldera en nuestro Kali, la ha realizado en el directorio “/usr/share/caldera”, si nos vamos a este directorio, podemos ver que nos presenta enlaces simbólicos hacia “/var/lib/caldera/conf”. Este es el directorio que estamos buscando pues allí está su configuración. Nos posicionamos en el mismo.

Una vez dentro de “/var/lib/caldera/conf”. Ejecutamos “vi default.yml”, pues como se presenta en la imagen de la derecha, al final de este fichero de configuración, es donde se presentan los usuarios y contraseñas de acceso.

El desarrollo de este tema lo desarrollamos en detalle en el video 171 (Obligatorio).

🌐 MITRE CALDERA: Primeros pasos prácticos - Charla 171 - Aprendiendo Ciberseguridad paso a paso

Para acceder lo haremos vía web, con Firefox en la URL: http://localhost:8888, Donde colocaremos como usuario “admin” y contraseña “admin”, tal cual acabamos de ver en el fichero “default.yml”. Una vez validado, se nos presentará la imagen que figura abajo.

Como podemos ver en la imagen anterior, la interfaz gráfica de Caldera se divide en tres secciones:

(las hemos recuadrado en verde en la imagen).

Las campañas son conjuntos de operaciones para simular diferentes tipos de ataques, los plugins son componentes de software que extienden la funcionalidad del sistema (como añadir nuevas capacidades de ataque o adversarios), y la configuración se refiere a los ajustes del sistema, como la activación de plugins y la definición de operaciones, por ejemplo, dentro del archivo default.yml.

Cuando instalamos Caldera en nuestro Kali Linux, por defecto ya trae cargados los siguientes agentes:

Sandcat: consiste en un agente ligero que permite ejecutar comandos remotos, scripts y técnicas ATT&CK de manera discreta. Se utiliza principalmente para pruebas que requieren alta movilidad y sigilo, ideal para escenarios de emulación avanzados. Puede comunicarse con el servidor de CALDERA usando C2 (Command & Control) para recibir órdenes y enviar resultados.

Manx: Es un agente más orientado a entornos Windows, con funcionalidades avanzadas de persistencia y exfiltración. Se puede comunicar a través del contacto TCP y funciona como un reverse-shell. Su objetivo es simular ataques más persistentes, como malware que sobrevive a reinicios o cambios de usuario. Permite probar técnicas de movimiento lateral y recolección de credenciales en entornos controlados.

Ragdoll: Diseñado para simular ataques más destructivos, aunque sigue siendo seguro dentro del entorno de CALDERA. Su enfoque está en demostraciones y pruebas de técnicas ofensivas específicas, más que en la discreción. Útil para escenarios de entrenamiento o para visualizar cómo ciertos ataques afectan al sistema sin riesgo real.

El desarrollo de este tema lo desarrollamos en detalle en el video 172 (Obligatorio).

🌐 MITRE CALDERA: Campañas, Plugins y Configuración - Charla 172 - Aprendiendo Ciberseguridad

Para iniciar nuestro trabajo con Caldera, crearemos, configuraremos y conectaremos un agente. Para seguir nuestra filosofía “paso a paso” lo haremos con el más sencillo: Sandcat.

En el menú de la izquierda de Caldera, dentro de “Campaigns” seleccionamos “agent”, y hacemos “click” en esta opción. Se nos desplegará la ventana que se presenta a la derecha.

Para crear un nuevo agente, seleccionamos el botón “+ Deploy an agent” (recuadrado en rojo). Inmediatamente se nos abrirá la ventana que presentamos abajo, en la cual seleccionaremos “Sandcat” tal cual podemos ver en azul en la imagen que sigue.

Si seleccionamos Sandcat, se nos abrirá una ventana similar a la de la imagen de abajo.

Como podemos ver en la imagen, nos ofrece la opción de seleccionar una plataforma (Platform), ene ste caso para Linux, Windows y MAC

En nuestro ejemplo, hemos seleccionado MAC (recuadrado en verde), pero por supuesto, podéis hacerlo con la que más os guste.

Por ahora lo más importante es configurar adecuadamente el campo “app.contact.http” pues esa será la URL a la que se conectará este agente. Se trata de la dirección en la que hemos instalado nuestro servidor de Caldera. Por defecto, ya viene como:

En nuestro caso, la dirección IP del ordenador portátil en el que instalamos Caldera es 192.168.1.124, por lo que modificamos este campo colocando:

El paso final será copiar el contenido que nos ha generado, haciendo click en “Copy” (recuadrado en rojo).

Ahora debemos insertar el código copiado en el que hemos elegido como “agente”, en nuestro caso, como hemos dicho, será otro MAC, por lo que abrimos una interfaz de comandos en el mismo y pegamos el código que hemos copiado. IMPORTANTE: este pegado debemos hacerlo con una cuenta que posea permiso de administrador, pues lo que intentaremos simular con esta agente, es lo que realizaría un intruso que ha escalado privilegios.

Si lo hiciéramos con Linux, el pegado sería igual que en MAC en una interfaz de comandos, y para Windows, el código se ejecuta a través de PowerShell.

A continuación se presenta una imagen en la que podemos apreciar el “pegado” en el agente (en nuestro caso otro MAC), del fichero que acabamos desde nuestro servidor Mitre Caldera y que copiamos (“Copy”: recuadrado en rojo en la imagen anterior).

En la imagen de arriba podemos ver también, que una vez pegado el fichero se inicia “sandcat” (rojo) y se establece una comunicación HTTP hacia el servidor 192.168.1.193 (verde) que es donde instalamos Mitre Caldera recientemente. Lo hace como grupo “red” porque estamos trabajando como “Red Team” y con máximos privilegios (privilege=Elevated) (azul). Finalmente, una vez que se establece la conexión, podemos ver como comienza a generar los “Beacon” (balizas) para que mutuamente (servidor y agente) sepan que están vivos (ALIVE) (naranja).

En el lado del servidor, inmediatamente nos mostrará que este agente se ha conectado, tal cual podemos ver en la imagen de la derecha (recuadrado en verde).

Otro detalle que debemos conocer es el tema de “Configuration”de cada agente, botón que hemos recuadrado en rojo en la imagen de arriba y a la derecha. Hagamos “click” en este botón para estudiar las opciones que nos ofrece.

La ventana de configuración, es la que vemos a la derecha.

Beacon Timers (Temporizadores de baliza): segundos mínimos y máximos que tardará el agente en enviar una baliza (beacon) al servidor.

Watchdog Timer (Temporizador de vigilancia): segundos que se debe esperar, una vez que el servidor no sea accesible, antes de eliminar un agente.

Untrusted timer (Temporizador de agentes no fiable): segundos que se debe esperar antes de marcar un agente desaparecido como no fiable. Las operaciones no generarán nuevos enlaces para los agentes no confiables.

Implant Name (Nombre del implantación): Nombre base de este agente. Si es necesario, se añadirá una extensión cuando se cree un agente (por ejemplo, splunkd se convertirá en splunkd.exe al generar un agente en una máquina Windows).

Bootstrap Abilities (Capacidades de arranque): Lista separada por comas de los ID de capacidades que se ejecutarán en una nueva baliza de agente. De forma predeterminada, está configurado para ejecutar un comando que borra el historial de comandos.

Deadman Abilities (Capacidades de hombre muerto): Lista separada por comas de los ID de capacidades que se ejecutarán inmediatamente antes de la terminación del agente. El agente debe ser compatible con las capacidades de hombre muerto para que se puedan ejecutar.

El desarrollo de este tema lo desarrollamos en detalle en el video 173 (Obligatorio).

🌐 MITRE CALDERA: Desplegando un agente - Charla 173 - Aprendiendo Ciberseguridad paso a paso

Secuencia normal de trabajo con Mitre Caldera

Para nuestro trabajo cotidiano con Mitre Caldera, es importante que comprendamos cuál es la secuencia natural de pasos a seguir.

Qué es y qué hace cada uno

Qué son: acciones atómicas que Caldera puede ejecutar (por ejemplo: listar procesos, descargar un binario, ejecutar un comando, mover lateralmente, etc.).

Qué hacen: definen cómo se realiza una técnica concreta (normalmente mapeadas a técnicas ATT&CK — por ejemplo T1059 ejecución de comandos).

Formato: suelen ser scripts o módulos con parámetros, timeout, condiciones de éxito/fallo.

Por qué importan: son los bloques de construcción; sin abilities no hay pasos concretos que ejecutar.

Qué son: colecciones ordenadas de abilities (a menudo con condiciones, ramificaciones y delays) que representan una táctica o campaña completa.

Qué hacen: describen la secuencia lógica de ataque (por ejemplo: Recon → Exploit → Persistencia → Escalada → Exfiltración) agrupando abilities y su flujo.

Por qué importan: encapsulan una estrategia reutilizable — puedes ejecutar el mismo adversary contra muchos agents.

Qué son: procesos clientes conectados al servidor Caldera que ejecutan instructions (por ejemplo: un implant en un host de laboratorio).

Qué hacen: reciben órdenes (abilities) desde el servidor y las ejecutan localmente, reportando resultados y artefactos.

Por qué importan: son los puntos de ejecución reales; sin agentes no hay dónde ejecutar las abilities.

Qué son: la ejecución concreta: un intento de correr un adversary (o conjunto de abilities) sobre uno o más agents, con parámetros (fechas, alcance, velocidad, colecciones de agentes).

Qué hacen: coordinan la ejecución, monitorizan progreso, recolectan resultados/logs, y permiten pausar/terminar la campaña.

Por qué importan: es la acción real de «lanzar el ataque» en un entorno controlado.

Preparación primero: definir y probar abilities antes te evita errores en tiempo de ejecución.

Diseño de campaña: agrupar esas abilities en adversaries permite repetir y estandarizar ataques.

Disponibilidad de ejecución: tener agents conectados es requisito para que la ejecución sea posible — pero no necesitas desplegarlos al último segundo: pueden existir desde antes.

Ejecución controlada: finalmente lanzas una operation para ejecutar el adversary contra los agents.

El desarrollo de este tema lo desarrollamos en detalle en el video 174 (Obligatorio).

🌐 MITRE CALDERA: Habilidades, Adversarios y Operaciones - Charla 174 - Aprendiendo Ciberseguridad

Este tema, se desarrolla de forma totalmente práctica por medio de la ejecución de un ejercicio a través de la interfaz gráfica de MITRE Caldera, así que lo realizarás directamente siguiendo el video 175.

El desarrollo de este tema lo desarrollamos en detalle en el video 175 (Obligatorio).

Este tema también se desarrolla de forma totalmente práctica por medio de la ejecución de un ejercicio a través de la interfaz gráfica de MITRE Caldera, así que lo realizarás directamente siguiendo el video 176.

El desarrollo de este tema lo desarrollamos en detalle en el video 176 (Obligatorio).

El desarrollo de este tema lo desarrollamos en detalle en el video 177 (Obligatorio).