Transforma la información en conocimiento accionable. Este módulo del Máster en Ciberseguridad Defensiva y Ofensiva de la UCM te enseña a convertir el ruido del ecosistema digital en inteligencia útil sobre quién amenaza a una organización, cómo opera y por qué. Recorre el proceso completo: desde que el negocio formula una necesidad hasta que el informe llega a quien tiene que actuar.
Threat intelligence: ciclo de inteligencia, fuentes underground y perfilado de actores
Dato, información e inteligencia: el ciclo de inteligencia y sus niveles
Distingue entre dato, información e inteligencia y domina las seis fases del ciclo de inteligencia en sus niveles estratégico, operacional y táctico. Conoce también los roles y la organización de una unidad de ciberinteligencia.
Requisitos de inteligencia (RI) y de información (RFI)
Toda operación empieza por una buena pregunta. Traduce una necesidad del negocio en requisitos de inteligencia (RI) y de información (RFI) concretos, para que cada esfuerzo de recolección responda a algo que alguien necesita saber.
Modelo Diamante y técnicas analíticas estructuradas: ACH, Pre-mortem y Devil’s Advocate
Analiza con el Modelo Diamante y otros modelos de análisis, y aplica técnicas analíticas estructuradas (SATs) como ACH, Pre-mortem o Devil’s Advocate para que tus sesgos no comprometan las conclusiones.
OPSEC del analista y sock puppets
Investigar sin protegerte es exponerte. Prepara un entorno seguro antes de empezar, con OPSEC del analista, máquinas dedicadas e identidades ficticias creíbles (sock puppets), una técnica que comparte base con el HUMINT virtual del módulo de Inteligencia — HUMINT y CORPINT.
Foros underground, marketplaces, leak sites y Telegram
Recorre los espacios donde se mueven los actores de amenaza: foros underground, marketplaces y leak sites, muchos de ellos en la dark web, y canales de Telegram, convertidos en una de las fuentes de inteligencia más relevantes. Automatiza la recolección con herramientas como Telethon o Pyrogram. Esta información se complementa con la investigación en fuentes abiertas del módulo de OSINT.
Procesamiento y enriquecimiento con VirusTotal, Shodan, MISP y OpenCTI
Procesa y enriquece lo recogido con VirusTotal, Shodan o WHOIS, pondera la fiabilidad de cada fuente y guárdalo con trazabilidad en MISP u OpenCTI, las plataformas que también se usan para el intercambio entre organizaciones que estudias en Modelado de amenazas y comprensión de adversarios.
Perfilado de actores: IABs, grupos RaaS, APT y hacktivistas
Con esa base, construye perfiles de actores de amenaza. Conoce la taxonomía de actores, de los intermediarios de acceso inicial (IABs) a los grupos de ransomware como servicio (RaaS), las APT y los hacktivistas, y entiende qué papel juega cada uno.
Reporting para el C-level, el SOC y el analista: artefactos STIX 2.1
Termina el módulo con el reporting: adapta el mismo informe al C-level, al SOC y al analista técnico, y tradúcelo a objetos STIX 2.1 para compartir inteligencia de forma estructurada entre organizaciones.
Contenidos del módulo de inteligencia de amenazas, fuentes y perfilado
- Diseño de operaciones de inteligencia.
- Ciclo de inteligencia y niveles estratégico, operacional y táctico.
- Requisitos de inteligencia (RI) y de información (RFI).
- Modelo Diamante y otros modelos de análisis.
- Roles y organización de una unidad de ciberinteligencia.
- Técnicas analíticas estructuradas (SATs): ACH, Pre-mortem y Devil’s Advocate.
- Ejecución de operaciones de inteligencia.
- OPSEC del analista y sock puppets.
- Ecosistemas underground: foros, marketplaces y leak sites.
- Telegram como fuente de inteligencia: Telethon y Pyrogram.
- Procesamiento y enriquecimiento: MISP, VirusTotal y OpenCTI.
- Perfilado de actores y reporting.
- Taxonomía de actores: IABs, APTs, RaaS y hacktivistas.
- Construcción del perfil de un actor amenaza.
- Informes para distintas audiencias y artefactos STIX 2.1.