De la amenaza del sector al caso de uso

Una regla es una consulta que dispara. Un caso de uso es el documento que explica por qué existe esa regla y qué se hace cuando dispara: la amenaza que lo motiva, la técnica de ATT&CK, la fuente de datos que necesita, la lógica de detección, los falsos positivos que se esperan, la respuesta que sigue el turno y cómo se prueba.

Sin el caso de uso, dentro de un año nadie sabe si la regla todavía hace falta, de qué informe salió ni qué hacer con su alerta a las tres de la mañana. Con él, la cobertura deja de ser una lista de consultas y pasa a ser una lista de amenazas con su respuesta.

El informe del CSIRT trae, por cada técnica del grupo, en cuántas de las intrusiones que estudió apareció. Ese número se cruza con lo que Delta tiene hoy: lo que el grupo usa y Delta no vigila es la lista de huecos, y las intrusiones ordenan esa lista. Cuidado con un detalle: hay técnicas que Delta no vigila con una regla del SIEM, pero sí con un control de otro equipo, y eso también es cubrirlas.

Antes de escribir una línea de la regla hay que saber de dónde va a leer. Si la fuente no llega al SIEM, el primer paso del caso de uso es conseguirla, y ese es un trabajo con otro equipo, otra petición y otro plazo. Si ya llega, la regla se puede escribir esta misma semana.

Dos técnicas del informe no dejan un evento que un SIEM pueda distinguir de la actividad normal: hacerse pasar por un transportista para pedir el cambio de cuenta, y el robo en sí, que aquí es un pago legítimo hecho a una cuenta equivocada. Un correo amable y un pago aprobado se ven igual en cualquier registro.

Eso no las deja fuera del trabajo. ATT&CK describe lo que hace el atacante, no solo lo que se ve en un equipo, y un caso de uso puede decir con todas las letras que una técnica se cubre con un procedimiento de otro equipo y no con una alerta.

El hueco con más intrusiones no es el único que deja el informe. Antes de escribir otro caso de uso desde cero conviene mirar el inventario: muchos SOC tienen borradores que alguien empezó y se quedaron a medias, y terminar uno cuesta mucho menos que empezarlo.