La cadena de ataque — poner cada evento en su etapa

Hutchins, Cloppert y Amin describieron en 2011 una intrusión como siete etapas que se encadenan: reconocimiento, armamento, entrega, explotación, instalación, mando y control y acciones sobre el objetivo. La idea de defensa que traen es sencilla: si cada etapa deja algo, romper una cualquiera corta todas las que vienen después.

Para usarla se toma una cronología y se pone cada fila en su etapa. Abre el laboratorio, lee la tabla de etapas y la de la cronología. Una de las filas es el momento en que el atacante deja algo puesto en el puesto para volver.

Quien defiende ve lo que pasa en su propio terreno. Hay una etapa que el atacante hace en el suyo, preparando lo que va a enviar, y esa no deja una sola fila en ninguna fuente de la empresa. Otra, en cambio, a veces sí deja huellas, aunque sea de pasada: las visitas a las páginas públicas de la organización.

Eso es una limitación de las fuentes, no un fallo del analista, y conviene saber qué etapas se pueden vigilar y cuáles no.

La cadena también sirve para medir. En el laboratorio hay controles que sonaron y la hora a la que lo hicieron. Se toma el primer aviso y se mira dónde iba el atacante en ese momento: lo que ya había pasado era invisible para esos controles.

Un control que existe y no suena es peor que uno que falta, porque da la impresión de cobertura. Antes de escribir otra regla se comprueba por qué la que había no disparó, y la respuesta está en lo que mira la regla frente a lo que hizo el atacante.

Solo hay horas para activar uno de los dos controles que existen y están sin usar: un filtro de enlaces que está en modo informe y un bloqueo de macros que está desactivado. La cadena da el criterio de corte, el más temprano posible, pero la decisión se toma también con lo que cada control rompe en la empresa.