La matriz desde el SOC

ATT&CK la mantiene MITRE, una organización sin ánimo de lucro de Estados Unidos, y se publica gratis. Se construye a partir de informes públicos de intrusiones: cada entrada describe algo que un atacante hizo de verdad, no algo que podría hacer. Se organiza en matrices por entorno; la que usa un SOC corporativo es la de empresa (Enterprise), con Windows, Linux, macOS, la nube y la red.

Las columnas de la matriz son las tácticas: el objetivo del atacante en ese momento de la intrusión, el para qué. Entrar, ejecutar algo, quedarse, conseguir más privilegios, robar credenciales, moverse a otro equipo, sacar datos. Dentro de cada columna están las técnicas: el cómo lo consigue. Y muchas técnicas tienen subtécnicas, que son una forma concreta de hacerla.

La matriz no está quieta. En la versión 19, de abril de 2026, la antigua táctica de evasión de defensas se partió en dos —esconderse (Stealth) y romper las defensas (Defense Impairment)— y desde entonces son quince columnas. Cada versión añade técnicas, mueve otras y retira algunas.

Cada pieza de la matriz tiene un identificador que no cambia con el idioma. Una táctica es TA seguido de cuatro cifras (TA0001 es el acceso inicial). Una técnica es T y cuatro cifras. Una subtécnica es la técnica, un punto y tres cifras: en la etiqueta de la introducción, T1059 es el uso de un intérprete de órdenes y .001 lo concreta en PowerShell.

El identificador es lo que va en la regla, en el ticket y en el informe, porque el nombre se traduce y se resume de mil maneras y el código no. Para pasar de una regla a su táctica hay que dar dos saltos: la regla dice su técnica, y la técnica dice a qué tácticas sirve.

Un programa se renombra, se recompila o se cambia por otro en una tarde. La conducta que el atacante necesita —leer la memoria del proceso que guarda las credenciales, dejar algo que se ejecute solo al arrancar— sigue siendo la misma, con el programa que sea. Además, muchas de esas conductas se hacen también con herramientas de administración legítimas que ya están en el equipo.

Por eso una regla se etiqueta con la técnica. Así se puede contar —cuántas técnicas vigila el SOC—, se puede comparar con las técnicas que usan los grupos que atacan al sector y se puede explicar a otro equipo en el mismo idioma. Una regla etiquetada con el nombre de un programa solo dice en qué programa pensaba quien la escribió.

Una de las reglas de Delta lleva como etiqueta el nombre de un programa. Lo que la regla busca de verdad está en su descripción, y esa descripción es lo que hay que llevar a la matriz: se encuentra la técnica que describe esa conducta y, si la conducta es tan concreta que se distingue de las demás formas de la misma técnica, se baja a la subtécnica.

Una técnica puede aparecer en varias tácticas a la vez. Usar una cuenta válida, por ejemplo, sirve para entrar, para quedarse, para conseguir más privilegios y para esconderse, y por eso T1078 está en cuatro columnas. Para el turno importa porque la táctica que se escribe en el ticket la decide lo que la evidencia dice que buscaba el atacante en ese momento, no la primera columna donde aparece la técnica.