ATT&CK aplicado a una muestra y no a un intruso

ATT&CK ordena el comportamiento en tácticas (el para qué: persistir, descubrir, comunicarse con quien controla) y técnicas (el cómo), con subtécnicas cuando la forma concreta importa. El vocabulario es el mismo tanto si se describe una intrusión como una muestra, pero el objeto cambia: el informe de un incidente cuenta lo que hizo una persona o un grupo en una red concreta, con sus horas y sus cuentas; el informe de una muestra cuenta lo que hace un programa cuando se ejecuta, venga de donde venga.

Esa diferencia decide qué entra en el mapa. En el de una muestra entra lo que el código hace y la evidencia que lo muestra: un informe de entorno aislado, una ficha estática, un volcado de memoria. Lo que ocurrió alrededor —cómo llegó el archivo, quién lo abrió, qué hizo después alguien con teclado— pertenece al mapa del incidente. Mezclar los dos hace que otro equipo, que recibe la muestra sin el incidente, busque en su red cosas que la muestra nunca hará.

El borrador de lmaturana tiene siete filas y una columna fuente que dice de dónde sale cada una. Casi todas vienen del informe del entorno aislado o del análisis estático, que hablan del código. Una viene de otro sitio: describe cómo llegó el archivo a la empresa. Esa fila es verdad, y va al informe del incidente, pero no describe un comportamiento de la muestra.

Abre el laboratorio y lee la tabla comportamientos junto con la columna fuente.

Hay técnicas que aparecen en más de una táctica porque la misma conducta puede servir a fines distintos. Una inyección en otro proceso, por ejemplo, sirve para esconderse dentro de un programa legítimo, y en algunos casos sirve también para ganar privilegios, si el proceso de destino tiene más que el de origen. El informe no escribe las dos por costumbre: escribe la que la evidencia sostiene.

Para R5, mira en tecnicas_v19 las tácticas de su técnica y en procesos_integridad el nivel de integridad del proceso que inyecta y del que recibe. Si los dos tienen el mismo nivel, la muestra no ganó nada en privilegios con esa conducta.

El análisis estático muestra capacidades: funciones importadas, cadenas, rutinas que el programa podría usar. El entorno aislado muestra conductas: lo que hizo durante el tiempo que se observó. Las dos cosas valen, pero no valen lo mismo. Una capacidad que no se ejecutó puede depender de una orden del servidor, de una fecha o de un entorno que el análisis no tenía; también puede ser código muerto de una versión anterior.

Por eso el mapa de una muestra lleva, en cada fila, el estado: observado en ejecución o solo visto en el estático. Fíjate en R7.