Analíticas y su lógica

Una estrategia que contempla varias plataformas trae una analítica por cada una. Cada analítica lleva su descripción, la lista de componentes de datos que necesita y sus elementos ajustables. Dos analíticas de la misma estrategia pueden no compartir ni un solo componente.

La tabla analiticas_de_una_estrategia trae las cuatro analíticas de la misma estrategia, redactadas con palabras propias. Lee la columna que describe qué vigila cada una y su plataforma: de ahí sale cuál mira la red y cuál mira un sistema operativo.

Los elementos ajustables (los «mutable elements» en el sitio de ATT&CK) son los parámetros que cada organización puede cambiar sin alterar el enfoque: ventanas de tiempo, listas de procesos permitidos, rutas, patrones. Son el lugar legítimo para reducir ruido; no son una invitación a vaciar la analítica.

La tabla elementos_de_una_analitica trae los de la analítica de una estrategia que mira el acceso a un proceso de credenciales en Windows. Cada elemento viene con su propósito. Los Astilleros tienen antivirus y un EDR que consultan ese proceso todo el día y generan alertas que nadie quiere.

Ajustar un elemento es legítimo si la analítica sigue observando la misma conducta con menos ruido. Ampliar una lista de procesos permitidos hasta que ya nada genere alerta no es afinar: es apagar la analítica sin decirlo. Todo ajuste debe quedar escrito en la ficha con su motivo, y quien lo revisa debe poder ver qué dejó de observarse.

Una analítica para una plataforma que la organización no tiene no se puede ejecutar ni medir: es una fila inútil en el mapa. La tabla parque trae las plataformas de los Astilleros con el número de equipos o dispositivos de cada una. Una plataforma con cero equipos hace que su analítica no aplique.