La cobertura: lo que el SOC ve y lo que no

Una técnica está cubierta cuando se cumplen tres cosas a la vez: hay una regla activa, la fuente de datos que esa regla lee llega al SIEM, y alguien comprobó que la regla dispara cuando la conducta ocurre. Si falta cualquiera de las tres, la cobertura es de papel: una regla que lee un registro que no se ingiere no dispara nunca, y su silencio se lee como «no pasó nada».

Y aun cubierta, una técnica casi nunca se cubre entera. Una regla de PowerShell ve unas formas de usarlo y no otras; una regla de escritorio remoto ve los saltos entre puestos y no los que llegan por la VPN. Por eso la cobertura se mide por técnica y por grado, nunca como un sí rotundo.

La capa de enero se pintó exportando la lista de reglas: cada técnica con regla, en verde. Para revisarla hay que cruzar cada regla con la fuente que lee, y esa fuente con lo que de verdad se ingiere hoy. Un cambio de proveedor, una migración o un reenvío que nadie volvió a configurar dejan una regla perfecta vigilando una tabla vacía, sin que nada avise.

Una regla activa que no ha disparado en meses puede significar dos cosas: que la conducta no ocurrió, o que la regla no funciona. Desde la consola no se distinguen. Por eso la ingeniería de detección prueba cada regla reproduciendo la conducta de forma controlada en un equipo de laboratorio —hay catálogos abiertos de pruebas ordenadas por técnica— y apunta la fecha. Una regla sin prueba es una hipótesis, por bien escrita que esté.

La cobertura se lee mejor pintada sobre la matriz: cada técnica, un color según su grado. MITRE publica para eso ATT&CK Navigator, una aplicación web gratuita y de código abierto que se puede usar en su página o instalar en la red propia. Cada vista es una capa que se guarda como un archivo JSON con una puntuación, un color y un comentario por técnica.

Su fuerza está en superponer capas: la de cobertura encima de la de las técnicas que usan los grupos que atacan al sector deja a la vista los huecos que importan. Pero Navigator no se conecta al SIEM ni detecta nada: pinta lo que alguien le carga. Si se le carga la lista de reglas sin revisar, pinta la cobertura de papel con colores muy convincentes.

Queda una forma más de cobertura falsa, y es la más común: la regla funciona, pero dispara tanto y casi siempre por algo legítimo que el turno termina cerrando sus alertas en bloque sin leerlas. En la práctica esa técnica no se vigila, aunque la capa la pinte de verde. Se arregla afinando la regla —excluyendo con nombre y motivo lo que la dispara de forma legítima—, no apagándola.