De la conducta a la técnica — mapear para detectar

MITRE ATT&CK es una base de conocimiento pública de lo que hacen los atacantes, ordenada por técnicas, cada una con su identificador (la forma T y cuatro cifras, y un punto con tres cifras más si es una subtécnica). En un informe de malware sirve para tres cosas: nombrar una conducta con un código que otro equipo entiende, comparar lo que hizo una muestra con lo que hacen otras, y medir qué parte de eso se ve en la casa.

Lo que no sirve es para decir quién fue ni cómo se hace algo. Una etiqueta describe una conducta; no es una prueba de nada más. Cada versión nueva de la matriz cambia, mueve y retira entradas, de modo que los identificadores y los nombres se comprueban contra la fuente oficial antes de ponerlos en un informe.

La herramienta automática sugiere una etiqueta por cada hallazgo, a partir de patrones. Se acierta mucho, pero no siempre. Para revisarlas, se lee la evidencia de cada hallazgo y se compara con la descripción de la técnica que se sugiere: si lo que ocurrió no es lo que describe la técnica, la etiqueta se corrige, aunque la herramienta lo haya dado por bueno.

Revisa los seis. En uno de ellos la evidencia no habla de lo que dice su etiqueta.

Corregir una etiqueta es buscar, en la lista de técnicas, la que describe lo que ocurrió. Se escoge la técnica que la evidencia sostiene y se baja a la subtécnica solo si la evidencia la distingue de las demás formas de lo mismo. En este caso la tabla ya tiene la técnica adecuada, con su nombre oficial en inglés, que es el que viaja en los informes.

Cada técnica del mapa tiene una telemetría que la deja ver. Si esa fuente no llega al SIEM, la técnica no está cubierta, por muy completa que sea la lista de reglas: una regla que lee eventos que no llegan nunca salta, y eso no se nota hasta que hace falta. La medida honesta de cobertura cruza dos tablas: la telemetría que cada técnica necesita y la que de verdad llega.

El hueco no es de este caso concreto: en la lista de siete técnicas hay una cuya fuente la configuración actual no recoge. Se detecta por ausencia, y por eso es fácil pasarla por alto.

Hallado el hueco, el informe tiene que decir qué hacer con él. Pedir «más seguridad» no sirve; hay que pedir algo concreto, comprobable y proporcionado. Antes de pedir nada se pregunta qué se pierde de no ver esa fuente y cuánto cuesta recogerla.