Cobertura medida contra ATT&CK

5 tareas · 40 min · Principiante

Viernes 14 de mayo. El comité de riesgo de Ensambles Pacandé pidió nueve técnicas de ATT&CK como prioridad y quiere saber, con una cifra, cuántas están cubiertas. Si el equipo contara reglas con la etiqueta de la técnica, la cifra sería casi total y no querría decir nada. Cuando las reglas son archivos de un repositorio, la cobertura se puede calcular desde sus propios datos: estado, casos de prueba, fuente y fecha de la última prueba. Aquí la calculas y decides qué cifra se presenta.

0 de 5 · 0%

Objetivo de la sala

Hay dos formas de contar. La cobertura declarada cuenta las técnicas que alguna regla nombra en sus etiquetas, esté en el estado que esté. La cobertura probada cuenta las técnicas para las que hay una regla en producción, un caso positivo que se comprobó que dispara, una fuente que llega y una prueba reciente. La declarada solo mide lo que se escribió; la probada mide lo que se comprobó.

La diferencia entre las dos cifras es el trabajo pendiente del equipo. Tampoco una técnica cubierta lo está entera: la etiqueta dice qué técnica, no qué formas de ella.

Responde para continuar

¿Qué diferencia a la cobertura probada de la cobertura declarada?

La probada se calcula con los niveles de gravedad de las reglas y la declarada con el número de alertas que dieron La probada incluye todas las reglas del repositorio, estén como estén, y la declarada solo las que están en producción hoy La declarada cuenta reglas etiquetadas; la probada exige regla estable, caso positivo en verde, fuente y prueba reciente

Una prueba hecha hace ocho meses prueba lo que la regla era hace ocho meses. Entre medias cambia el entorno, la fuente, la forma de los eventos. Por eso el criterio del repositorio pone un plazo: la última prueba debe estar dentro de los 90 días anteriores a la medición.

Responde para continuar

Escribe la técnica con regla estable cuya última prueba quedó fuera del plazo de 90 días.

Ver pista de ayuda

Ejecuta `SELECT * FROM criterio_de_cobertura` para el plazo y `SELECT * FROM reglas_por_tecnica` para las fechas de prueba.

Con el criterio completo, la cifra sale de aplicar las cuatro condiciones a cada técnica, una por una. Una técnica en la que falla una sola condición no está cubierta, por mucho que su regla esté ya muy avanzada.

Responde para continuar

Escribe cuántas de las nueve técnicas prioritarias están cubiertas según el criterio.

Ver pista de ayuda

Aplica a cada fila de `reglas_por_tecnica` las cuatro condiciones de la tabla de criterios.

Hay un tercer tipo de hueco, peor que la regla a medias: la técnica a la que ninguna regla apunta. No aparece en la matriz de reglas porque no hay nada que listar, y solo se ve cruzando la lista de prioridades con las técnicas que sí tienen regla.

Responde para continuar

Escribe la técnica prioritaria que ninguna regla del repositorio nombra.

Ver pista de ayuda

Compara `SELECT * FROM tecnicas_prioritarias` con `SELECT * FROM reglas_por_tecnica`.

El comité escuchará una sola cifra. Si se presenta la declarada, queda bien en la foto y mal ante el primer incidente. Si se presenta la probada sin explicación, parece que el equipo no hizo nada. La que más sirve es la cifra honesta con su lista: qué le falta a cada técnica no cubierta y quién lo tiene.

Responde para continuar

¿Qué cifra lleva el equipo al comité de riesgo?

Tres de nueve con regla estable, porque es el estado que el turno ve y el único dato que importa Ocho de nueve técnicas con regla etiquetada, porque es el avance real de todo el trabajo hecho en el repositorio Dos de nueve cubiertas con prueba vigente, y para cada otra técnica qué le falta y quién lo tiene

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Cobertura declarada y cobertura probada

2 La prueba que caducó Lab

3 Contar lo que está cubierto Lab

4 El hueco sin nombre Lab

5 Qué cifra se presenta

Whoami-Labs Pro utiliza cookies