¿TRAM es fiable al 100%?

No. TRAM es un asistente, no un sustituto del analista. Su precisión varía según la calidad del informe y la complejidad del lenguaje. Siempre requiere revisión humana. Es más útil como punto de partida que como resultado final.

IntermedioTRAMMITRECTINLPherramientas

TRAM: Mapeo Automático de Inteligencia a ATT&CK

Q: ¿Qué es TRAM?

TRAM (Threat Report ATT&CK Mapper) es una herramienta de MITRE que usa procesamiento de lenguaje natural (NLP) para extraer automáticamente técnicas ATT&CK de informes de threat intelligence en texto. Analiza un informe PDF/texto y sugiere las técnicas mencionadas.

Guía de MITRE TRAM (Threat Report ATT&CK Mapper): herramienta que usa NLP para extraer automáticamente técnicas ATT&CK de informes de threat intelligence.

MalwareIntel Research·27 de mayo de 2026·4 min lectura

Serie: MITRE ATT&CK y D3FEND — Parte 30

TRAM acelera el proceso de mapear informes de threat intelligence a técnicas ATT&CK

TL;DR: TRAM es una herramienta de MITRE que utiliza NLP para automatizar el mapeo de informes de inteligencia a técnicas de ATT&CK. Al reducir el tiempo de mapeo manual de horas a segundos, logra puntuaciones de confianza superiores al 90% en detecciones como spearphishing y scripts. Se recomienda su implementación para optimizar la eficiencia de los analistas de ciberinteligencia ante el gran volumen de reportes actuales.

Cada semana se publican decenas de informes de threat intelligence (Mandiant, CrowdStrike, ESET, Kaspersky, CISA). Mapear manualmente cada informe a técnicas ATT&CK requiere horas. TRAM (Threat Report ATT&CK Mapper) automatiza este proceso usando NLP para identificar menciones de técnicas en texto natural.

Cómo funciona

Input: Informe de threat intelligence (PDF, texto, URL)
  │
  ├── 1. Extracción de texto
  ├── 2. Tokenización y análisis NLP
  ├── 3. Matching de frases con descripciones de técnicas ATT&CK
  ├── 4. Scoring de confianza por cada match
  └── 5. Output: lista de técnicas ATT&CK con confianza y fragmento fuente

Ejemplo

Input (fragmento de informe):

"The threat actor used spearphishing emails with malicious Word attachments containing macros. Upon execution, the macro launched PowerShell to download a second-stage payload from a compromised WordPress site."

Output TRAM:

Técnica sugerida	ID	Confianza	Fragmento
Phishing: Spearphishing Attachment	T1566.001	0.92	"spearphishing emails with malicious Word attachments"
User Execution: Malicious File	T1204.002	0.87	"Upon execution, the macro launched"
Command and Scripting: PowerShell	T1059.001	0.95	"launched PowerShell to download"
Ingress Tool Transfer	T1105	0.88	"download a second-stage payload"
Compromise Infrastructure	T1584	0.72	"compromised WordPress site"

Instalación y uso

# TRAM v2 (versión actual)
git clone https://github.com/center-for-threat-informed-defense/tram.git
cd tram
pip install -r requirements.txt
python tram.py

# Web UI en http://localhost:8000
# Subir informe → analizar → revisar sugerencias → exportar

Flujo de trabajo recomendado

Upload: subir informe a TRAM
Análisis automático: TRAM sugiere técnicas con confianza
Revisión humana: analista verifica cada sugerencia
- Aceptar matches correctos
- Rechazar falsos positivos
- Añadir técnicas que TRAM no detectó
Export: exportar mapping a JSON o Navigator layer

Limitaciones

Limitación	Impacto	Mitigación
Depende de la calidad del texto	Informes vagos generan matches vagos	Usar informes técnicos detallados
Falsos positivos en técnicas amplias	T1059 (scripting) match en casi todo	Revisar siempre manualmente
No entiende contexto complejo	Puede confundir defensa con ataque	Analista revisa contexto
Idioma: funciona mejor en inglés	Informes en español menos precisos	Traducir o usar informes EN
No mapea sub-técnicas siempre	Puede dar T1059 en vez de T1059.001	Refinar manualmente

Integración con otros tools

Herramienta	Integración
ATT&CK Navigator	Exportar mapping como layer JSON
ATT&CK Workbench	Importar mappings a instancia local
OpenCTI	Connectors para importar mappings TRAM
MISP	Eventos con tags ATT&CK desde TRAM output

Alternativas a TRAM

Herramienta	Enfoque	Diferencia con TRAM
CAPA (Mandiant)	Análisis de binarios, no texto	Complementario: CAPA para samples, TRAM para informes
AttackCTI (community)	Scripts de extraction	Más simple, menos preciso
LLMs (GPT/Claude)	Prompting para extraer técnicas	Más flexible pero sin scoring formal
Decider (MITRE)	Asistente interactivo de mapping	Humano guiado, no automático

Conclusión

TRAM es un acelerador para analistas CTI que procesan múltiples informes semanalmente. No reemplaza al analista pero reduce el tiempo de mapping de horas a minutos (más revisión). La combinación TRAM (informes de texto) + CAPA (binarios) + revisión humana cubre el pipeline completo de mapping a ATT&CK.

Fuentes y referencias

Center for Threat-Informed Defense: TRAM
MITRE: "Automating ATT&CK Mapping" (2023)