Limitar el movimiento lateral y el tiempo del adversario

MITRE ATT&CK es una base de conocimiento pública de tácticas y técnicas de adversarios, construida a partir de observaciones reales. Para el arquitecto es una taxonomía: un nombre estable para cada clase de movimiento que el diseño debe considerar. En la versión vigente, el movimiento lateral es la táctica TA0008 y agrupa técnicas como T1021 (servicios remotos), T1072 (herramientas de despliegue de software) o T1550 (uso de material de autenticación alternativo). El apéndice F de NIST SP 800-160 vol. 2 rev. 1 cruza técnicas de ATT&CK con los enfoques de resiliencia que pueden afectarlas.

La misma publicación describe los efectos que un control de resiliencia busca sobre el adversario: redirigir su acción, excluirla (que no pueda ocurrir o no tenga efecto), obstaculizarla (hacerla más difícil, lenta o costosa, o encerrarla), limitar su duración o su alcance y exponerla para verla y aprender de ella. Nombrar el efecto obliga a decir qué se espera del control, en vez de solo instalarlo.

Un ejercicio de mesa de movimiento lateral no simula ataques: lista, desde cada punto de apoyo supuesto, los destinos alcanzables, la técnica con que se catalogaría cada ruta y el control de diseño que la corta. La ruta sin control es la que el arquitecto tiene que resolver primero, sobre todo si llega a un componente de una función esencial.

Abre el laboratorio y lee rutas-de-movimiento.txt.

La taxonomía sirve para ver patrones. Si la misma técnica aparece en varias rutas, el arquitecto puede preguntarse si un solo control de diseño la cubre en todas o si cada ruta necesita el suyo. A veces la respuesta es lo segundo, porque la técnica es la misma pero el servicio y el destino son distintos.

En el mismo archivo, compara la columna de técnica de las cinco rutas.

Limitar el tiempo del adversario es una decisión de diseño: cuanto más dura una credencial, más tiempo le sirve a quien la robe, aunque el equipo donde la encontró se reconstruya mañana. Entre las credenciales, las que importan primero son las que pueden cambiar un componente crítico. Una credencial de lectura que vive dos años es un problema; una que puede cambiar el autorizador y vive uno es peor.

Lee credenciales.txt.

La ruta sin control y la credencial más longeva pertenecen a la misma cuenta. Un buen cambio de diseño ataca las dos cosas: reduce el tiempo que la credencial sirve y exige algo más que la credencial para cambiar el autorizador, sin detener los despliegues.