Un atacante no entra en una empresa de un solo golpe. Antes de cifrar un servidor o llevarse una base de datos, recorre una secuencia de pasos: estudia a su víctima, fabrica el arma, la entrega, la ejecuta y se asienta dentro. A esa secuencia se la conoce como cyber kill chain, y entenderla cambia la forma en que defiendes tu red. En vez de esperar al desenlace, aprendes a cortar el ataque en cualquiera de sus fases.
Este artículo va dirigido a quien gestiona la seguridad desde dentro y quiere pasar de «tenemos antivirus» a «sé en qué punto detectar a un intruso». Vamos fase por fase, con las señales que delatan cada una y el control que la frena.
Qué es la cyber kill chain
La cyber kill chain es un modelo creado por Lockheed Martin en 2011 que describe un ciberataque dirigido como una cadena de siete fases, desde que el atacante estudia a la víctima hasta que consigue lo que buscaba. Cada fase se apoya en la anterior: sin entrega no hay explotación, sin explotación no hay instalación.
El término viene del ámbito militar. La «kill chain» era la secuencia para abatir un objetivo: detectarlo, fijarlo y disparar. Trasladada a la ciberseguridad, la idea clave se mantiene. Es una cadena, y una cadena se rompe por su eslabón más débil.
¿Por qué le importa esto a una empresa? Porque no hace falta frenar las siete fases. Basta con detectar y cortar una para que el ataque completo fracase. Y cuanto antes la cortes, menos daño causa y menos cuesta limpiarlo después.
Las 7 fases de la cyber kill chain, una a una
El modelo original define siete etapas. Las repasamos con un ejemplo, con lo que puedes observar en cada una y con el control que la neutraliza.
1. Reconocimiento
El atacante recopila información sobre tu empresa: dominios, direcciones de correo, nombres de empleados en LinkedIn, qué tecnologías usas, qué puertos tienes abiertos hacia internet. Todavía no ha tocado nada; solo observa y toma notas.
Cómo detectarla: escaneos de puertos repetidos en los registros del cortafuegos, tráfico raro y sistemático contra tu web, formularios sondeados a horas extrañas. Un WAF —el cortafuegos que protege tu página web— y la revisión periódica de los logs delatan ese sondeo antes de que vaya a más.
2. Preparación (weaponization)
Con la información en la mano, el atacante fabrica el arma: un documento de Office con macros, un PDF que aprovecha un fallo del lector, un ejecutable disfrazado de factura. Esta fase ocurre en su equipo, no en el tuyo, así que no la ves de forma directa.
Cómo anticiparla: aquí no hay detección, hay prevención. Mantener el software actualizado le quita exploits reutilizables, y la inteligencia de amenazas avisa de campañas activas contra tu sector para que refuerces antes de recibir el golpe.
3. Entrega (delivery)
El arma viaja hasta tu empresa. El vehículo más común, con diferencia, es el correo: un adjunto o un enlace. También una descarga web o un USB olvidado a propósito en el aparcamiento. Es la primera vez que el ataque cruza tu perímetro.
Cómo detectarla: una pasarela de correo que filtra adjuntos y enlaces, y un sandbox —un entorno aislado que abre el archivo y observa qué hace antes de dejarlo llegar al buzón—. En esta fase se corta buena parte de los ataques, y sale barato hacerlo.
4. Explotación (exploitation)
El empleado abre el adjunto o pincha el enlace, y el código malicioso se ejecuta. Aprovecha una vulnerabilidad del sistema o, más a menudo, la confianza de la persona. En ese instante el equipo queda comprometido.
Cómo detectarla: un EDR —siglas de Endpoint Detection and Response, un vigilante que observa el comportamiento de cada dispositivo— salta cuando un Word lanza PowerShell o un proceso hace algo que no le corresponde. El parcheo al día cierra la puerta concreta que el exploit venía a empujar.
5. Instalación (installation)
Para no perder el acceso si el equipo se apaga, el atacante instala una puerta trasera y busca persistencia: una tarea programada, un servicio nuevo, una clave de registro que lo relanza en cada arranque. Su objetivo aquí es quedarse.
Cómo detectarla: el EDR y la monitorización de integridad avisan de servicios y tareas recién creados, de binarios en carpetas donde no deberían estar o de cambios en el arranque del sistema. Son cambios silenciosos, pero dejan rastro.
6. Mando y control (C2)
El equipo infectado «llama a casa». Se conecta a un servidor del atacante para recibir órdenes y enviar lo que va robando. A ese canal se le llama C2, de command and control. Sin él, el intruso se queda a ciegas dentro de tu red.
Cómo detectarla: el cortafuegos vigilando el tráfico de salida, un IDS —sistema de detección de intrusiones— y un SIEM, la herramienta que reúne y correlaciona los registros de toda la red. Juntos identifican esas conexiones periódicas a dominios que nadie de la empresa visitaría.
7. Acciones sobre el objetivo
El atacante ejecuta por fin lo que vino a hacer: cifrar para pedir un rescate, robar datos, saltar a otros equipos o sabotear. Es la fase que da titulares y, también, la más cara de todas si has dejado que el ataque llegue hasta aquí.
Cómo detectarla: reglas de DLP —prevención de fuga de datos— que avisan de movimientos masivos de información, correlación de eventos en el SIEM y, contra el ransomware, copias de seguridad probadas que te devuelven la operación sin pasar por caja.
Un ataque recorriendo la cadena, de principio a fin
Verlo todo seguido ayuda a fijar la idea. Imagina un ataque de ransomware contra una empresa mediana, fase por fase.
Primero, reconocimiento: el atacante localiza en LinkedIn a la responsable de administración y averigua el formato de los correos de la empresa. Con eso pasa a la preparación y monta una falsa factura en Excel con una macro oculta.
La entrega llega por correo, imitando a un proveedor de siempre. Ella lo abre y activa las macros: ahí ocurre la explotación. El equipo descarga y ejecuta el programa, que se registra como tarea programada para sobrevivir a los reinicios, y con eso completa la instalación.
Acto seguido, el equipo contacta con el servidor del atacante para recibir órdenes —el C2— y, por último, cifra las carpetas compartidas de toda la red y muestra la nota de rescate. Esas son las acciones sobre el objetivo.
Ahora fíjate en dónde se habría cortado. Un sandbox en la entrega habría retenido la factura. Un EDR en la explotación habría matado la macro. Un control de salida en el C2 habría aislado el equipo antes del cifrado. Tres oportunidades de parar el mismo ataque.
Romper la cadena: dónde te conviene cortar
La fuerza de la cyber kill chain como herramienta de defensa está en su propia forma. Al ser una cadena, un tropiezo del atacante en cualquier eslabón detiene el ataque entero. No tienes que ganar siete veces; te basta con ganar una.
La regla práctica es sencilla: cuanto antes cortes, más barato sale. Frenar un correo en la fase de entrega cuesta un filtro y un sandbox. Frenar un ransomware en la fase de acciones cuesta días de parada, la recuperación desde copias y la desconfianza de tus clientes.
Por eso la defensa no se juega a una sola carta. Se reparte en capas: si un adjunto se cuela en la entrega, el EDR que vigila cada dispositivo lo detiene en la explotación; y si aún avanza, el control del tráfico de salida corta el C2. El intruso tendría que superar todas las capas seguidas.
¿Sabes en qué fase se quedaría hoy un ataque contra tu empresa? Con una auditoría de ciberseguridad lo comprobamos eslabón por eslabón y te decimos cuál reforzar primero.
Detección por capas: qué herramienta cubre cada fase
Ninguna herramienta cubre las siete fases por sí sola. Esta es la correspondencia que usamos para no dejar huecos entre una capa y la siguiente:
- Reconocimiento. Cortafuegos, WAF y revisión de logs para detectar el sondeo.
- Entrega. Pasarela de correo, sandbox de adjuntos y filtrado web para parar el arma en la puerta.
- Explotación e instalación. EDR, parcheo al día y monitorización de integridad en cada equipo.
- Mando y control. Control del tráfico de salida, IDS y SIEM para cazar las llamadas a casa.
- Acciones sobre el objetivo. DLP, copias de seguridad probadas y correlación en el SIEM.
Leído en conjunto, esto es defensa en profundidad: varias capas dispuestas de modo que el fallo de una no signifique el fallo de todas. Es justo lo que separa a una red que aguanta de una que cae al primer correo con suerte.
La cyber kill chain la formuló Lockheed Martin en 2011. Más de una década después, sus siete fases siguen siendo la base para ordenar la defensa de una red.
Por dónde empezar a mapear tu detección
Si gestionas la seguridad de tu empresa y quieres pasar de la teoría a un plan, este es un orden razonable para empezar:
- Dibuja las siete fases y anota, para cada una, qué herramienta la cubriría hoy en tu red. Los huecos saltan a la vista solos.
- Prioriza las fases tempranas. El correo y la navegación son la vía de entrega de la mayoría de ataques; reforzarlas rinde mucho por poco dinero.
- Centraliza los registros. Sin un sitio donde correlacionar eventos, el C2 y el robo de datos pasan desapercibidos durante semanas.
- Prueba tus copias de seguridad. Son tu última red bajo la fase de acciones; una copia que no restaura no cuenta como copia.
No hace falta comprarlo todo de golpe. Hace falta saber qué eslabón está descubierto y taparlo antes de que el atacante lo encuentre por ti.
Los límites del modelo: por qué no lo explica todo
Conviene ser honesto. La cyber kill chain nació en 2011 pensando en ataques que entran desde fuera y avanzan en línea recta. No todos los ataques se comportan así, y forzarlos a encajar te da una falsa sensación de control.
Un empleado descontento que ya está dentro se salta las primeras fases sin despeinarse. Un ataque que usa herramientas legítimas del propio sistema —lo que se llama «living off the land»— apenas deja huella en la fase de instalación. Y en la nube, el perímetro clásico que el modelo da por hecho se difumina.
Por eso muchos equipos la combinan con MITRE ATT&CK, un catálogo mucho más detallado de tácticas y técnicas documentadas a partir de ataques ya ocurridos. La kill chain te da el mapa general del recorrido; ATT&CK, el detalle de cada movimiento concreto. No compiten: se usan juntas.
Detectar las fases de un ataque no es un ejercicio teórico. Es decidir, antes de que ocurra, en qué punto quieres plantar cara y con qué herramienta. Una red bien pensada no aspira a que nadie lo intente jamás; aspira a verlo venir y a cortarlo en el eslabón que menos cuesta.
¿En qué fase pararías hoy un ataque contra tu empresa?
Si no tienes clara la respuesta, ese es el hueco por donde entraría. En Sale Systems lo revisamos contigo, fase por fase, y te decimos dónde reforzar.
Cuéntanos qué necesita tu empresa Sin compromiso · Respuesta en menos de 24 hPreguntas frecuentes sobre la cyber kill chain
Es un modelo creado por Lockheed Martin en 2011 que describe un ciberataque dirigido como una cadena de siete fases encadenadas. Su utilidad práctica: detectar y frenar el ataque en una sola fase basta para detenerlo entero.
Reconocimiento, preparación (weaponization), entrega, explotación, instalación, mando y control (C2) y acciones sobre el objetivo. Cada fase depende de que la anterior haya tenido éxito.
Cuanto antes, más barato. Frenarlo en la entrega o en la explotación evita el daño de la fase final. Por eso la defensa se organiza en capas, para tener varias oportunidades de cortar la cadena.
No del todo. Los ataques internos, las técnicas de «living off the land» y los entornos en la nube encajan peor en su esquema lineal. Por eso suele combinarse con el marco MITRE ATT&CK, más detallado.
