Mapear una alerta a su técnica, con criterio

La misma conducta puede ser dos técnicas según de dónde venga. Un inicio de sesión por escritorio remoto entre dos equipos de la red interna es movimiento lateral: alguien que ya está dentro salta a otro equipo. El mismo inicio de sesión, cuando llega desde internet a través de un servicio publicado hacia fuera —una VPN, una pasarela de escritorio remoto—, es otra técnica y de otras tácticas: el uso de servicios remotos expuestos al exterior, que sirven para entrar y para volver cuando se quiera.

La regla que lo detecta suele ser la misma y lleva una sola etiqueta. El contexto lo pone el analista, y la pregunta que decide es corta: ¿de dónde viene la sesión? En Delta, eso lo dice la tabla de rangos de red. Abre el laboratorio y compara las dos alertas de escritorio remoto de esta mañana.

Una sola alerta puede sostener más de una técnica. Una orden de PowerShell que baja un archivo de internet y lo deja en el disco es ejecución con un intérprete —lo que dice la etiqueta de la regla— y es también la entrada de una herramienta al equipo desde fuera, que la matriz cuenta aparte y en otra táctica.

Escribir las dos en el ticket no es un capricho de ordenación. La primera dice qué se ejecutó; la segunda dice que ahora hay un archivo nuevo en ese equipo, con su nombre y su origen, y que hay que buscarlo en el resto del parque.

Bajar a la subtécnica afina el mapeo, pero solo vale si la evidencia permite distinguirla. Muchos fallos de inicio de sesión pueden ser adivinar la contraseña de una cuenta, rociar una contraseña contra muchas cuentas o probar pares de usuario y contraseña robados en otro sitio: tres subtécnicas distintas de la fuerza bruta, y cada una manda a investigar cosas distintas.

Si el registro solo dice «muchos fallos de una cuenta» y no deja saber si las contraseñas probadas eran distintas, el mapeo honesto es la técnica madre. Una subtécnica elegida a ojo se cuenta mal en la cobertura y manda al siguiente turno a buscar lo que no es.

La misma regla disparó un rato antes, en ALR-8202, y esta vez el registro trae más: cuántas cuentas distintas se probaron, cuántos intentos hubo por cuenta y si la contraseña fallida era la misma en todos. Con eso la forma sí se distingue, y la subtécnica deja de ser una suposición.

Y a veces la evidencia no sostiene ninguna técnica. ALR-8205 viene de la regla de acceso a la memoria de lsass, etiquetada como volcado de credenciales. Antes de aceptar la etiqueta hay que mirar quién abrió el proceso, con qué firma y si alguien lo autorizó.

Cerrar un caso con la técnica de la regla «porque la regla la trae» infla las estadísticas: en la revisión del mes parecerá que hubo un robo de credenciales que nunca ocurrió, y la cobertura se medirá contra una amenaza inventada.