D3FEND: de la técnica a la contramedida

D3FEND agrupa las contramedidas en tácticas defensivas: Model (conocer lo que se tiene), Harden (endurecer), Detect (detectar), Isolate (aislar), Deceive (engañar), Evict (expulsar) y Restore (restaurar). Cada contramedida tiene su identificador con la forma D3- y unas siglas.

Lo que une una técnica de ATT&CK con una contramedida es el artefacto digital sobre el que las dos trabajan: un archivo ejecutable, un valor de arranque del registro, un proceso, el tráfico de salida. Si una técnica escribe en la configuración de inicio y una contramedida analiza esa configuración, el marco las relaciona. Es una relación inferida por el artefacto común: indica dónde mirar, no garantiza que la contramedida detenga la técnica.

La persistencia de HTG-2051 escribe en la configuración de inicio del sistema. D3FEND tiene varias contramedidas sobre ese artefacto, en tácticas distintas: alguna lo analiza, alguna lo restaura. Para el SOC la primera pregunta es de detección.

Abre el laboratorio, busca en tecnicas_htg el artefacto de la persistencia y en d3fend_extracto la contramedida de la táctica Detect que trabaja sobre él.

El mapa defensivo solo es útil cuando se cruza con lo que la empresa tiene. La tabla controles_tacarigua dice, para cada contramedida del extracto, qué control existe y en qué estado. La muestra llegó como un ejecutable que alguien abrió desde su perfil; sobre ese artefacto hay contramedidas que lo analizan, que lo ponen en cuarentena y que impiden que se ejecute si no está autorizado.

El proxy de salida de Tacarigua aparece en el inventario como el control de filtrado del tráfico de salida, pero en estado parcial: existe y deja pasar cualquier destino por HTTPS. Si se cuenta como cubierto, el informe dirá que la comunicación de HTG-2051 estaba contemplada, cuando en la práctica salió sin obstáculo.

La jefatura lee el extracto y pregunta si, con las contramedidas activas, HTG-2051 «habría quedado detenida». El extracto no responde esa pregunta: la relación por artefacto dice que la contramedida trabaja donde trabaja la técnica, pero no si su configuración en Tacarigua habría visto esta muestra concreta.