Errores comunes al mapear y cómo evitarlos

Los marcos cambian. ATT&CK publica versiones nuevas en las que se crean, se mueven, se renombran y se retiran entradas; en la versión 19 de la matriz Enterprise, por ejemplo, la táctica TA0005 pasó a llamarse Stealth y apareció una táctica nueva, Defense Impairment (TA0112). Un informe que mezcla nombres de una versión con identificadores de otra confunde a quien lo lee con la matriz actual delante.

La regla que lo evita es sencilla: el informe declara la versión con la que se mapeó y cada nombre se comprueba contra esa versión. El borrador de Tacarigua declara la suya en la cabecera.

Una cadena dentro de un binario es un indicio de capacidad, no una conducta. Puede ser el nombre de un archivo que el programa crea, un resto de otra versión o un señuelo puesto para despistar. Mapearla como técnica observada es uno de los errores más repetidos, porque la cadena «suena» a lo que dice.

Busca en borrador_mapeo la línea cuyo estado dice observado y cuya evidencia no tiene ninguna conducta registrada que lo respalde.

Una subtécnica afirma algo más concreto que su técnica: no solo que la muestra se comunica por un protocolo de aplicación, sino que lo hace por uno web. Se baja a ese nivel cuando la evidencia distingue esa forma de las demás; si no la distingue, se escribe la técnica o la táctica y se anota lo que falta por saber.

En el borrador hay dos líneas con la misma subtécnica de comunicación web. En una, el registro del entorno muestra cabeceras HTTP; en la otra, el entorno no pudo leer el protocolo.

Los tres errores tienen algo en común: cada línea parecía correcta leída por encima, y ninguna se comprobó contra su propia evidencia. El equipo de Tacarigua quiere una lista breve que se pase antes de enviar cualquier mapa a otro equipo.