¿Qué diferencia hay entre un IOC y un IOA? ¿Qué es la Pirámide del Dolor y por qué importa al escribir detecciones?

IOC (Indicator of Compromise): es un artefacto observable que indica que algo ya pasó: un hash de archivo, una IP, un dominio, una clave de registro. Es reactivo y suele venir de threat intel o de un incidente previo.

IOA (Indicator of Attack): describe el comportamiento o la intención del atacante, independientemente de la herramienta. Por ejemplo: un proceso de Office que lanza un intérprete de comandos, o un proceso que lee la memoria de LSASS.

Pirámide del Dolor (David Bianco): ordena los indicadores según cuánto le cuesta al adversario cambiarlos:

• Hashes: triviales de cambiar (recompilar o modificar un byte).
• IPs: fáciles, cambian de infraestructura.
• Dominios: algo más molestos, pero baratos.
• Artefactos de red/host: patrones de User-Agent, rutas, nombres de pipes.
• Herramientas: obligan a cambiar o reescribir tooling.
• TTPs: la cima; cambiar la forma de operar es lo más costoso.

Por qué importa: una regla basada solo en hashes se evade enseguida. Si detecto comportamientos (TTPs, mapeados a MITRE ATT&CK), la regla sobrevive aunque el atacante cambie de muestra o de servidor. En la práctica combino ambos: los IOCs sirven para búsquedas rápidas y retrospectivas (¿apareció esta IP en los últimos 90 días?), y los IOAs/TTPs para detecciones duraderas, aceptando que suelen requerir más tuning por falsos positivos.

Decir que IOC e IOA son sinónimos o creer que bloquear hashes e IPs alcanza como estrategia de detección. También olvidar que las reglas por comportamiento necesitan ajuste para no generar ruido.