El idioma común de los dos lados

Sin un marco compartido, cada equipo inventa su vocabulario y nadie se entiende: el que ataca dice «barrí los puertos», el que defiende dice «vi muchas conexiones nuevas», y cuesta ver que hablan de lo mismo. ATT&CK les da a los dos el mismo nombre para la misma acción. En Salitre, cuando alguien escanea el servidor, eso es «escaneo activo» tanto si lo haces tú como ejercicio guiado como si lo detecta el SIEM. El nombre no cambia según el bando.

Un idioma común es lo que permite que el informe del que entró y la regla del que vigila se puedan cruzar línea a línea.

Cada paso de una intrusión encaja en una técnica con su código. Probar muchas contraseñas contra una cuenta hasta dar con la buena es «fuerza bruta»; usar después esa cuenta que cayó para entrar como si fueras el dueño es «cuentas válidas». Reconocer qué técnica nombra cada paso es lo que convierte una lista de eventos sueltos en un relato que cualquier equipo entiende.

No hace falta memorizar el catálogo entero: hace falta saber que cada acción concreta tiene un nombre fijo, y aprender a ponérselo.

Lo que hace útil el marco es que la misma fila se lee desde los dos lados. «App expuesta» es lo que el que ataca ejerce cuando explota el gestor de contenidos, y lo que el que defiende reconstruye cuando ve en el registro la petición que entró. Una técnica, dos oficios. Por eso esta ruta te hace ejercer de forma guiada en una mitad lo que aprendes a detectar en la otra.

Ver una técnica desde las dos sillas es lo que de verdad la fija: entiendes a la vez cómo se hace y qué rastro deja.

Nombrar los pasos con ATT&CK no se recita: se hace sobre un incidente real. Abre el laboratorio, lee el mapa que cruza cada paso de la intrusión de Salitre con su técnica y baja hasta el código de sala al pie.