Artefactos digitales como puente

Una técnica de ATT&CK dice qué hace el adversario; una técnica de D3FEND dice qué hace la defensa. Entre las dos no hay una tabla de equivalencias fija: lo que las une es el artefacto digital, el objeto sobre el que actúa la conducta y que la defensa puede observar, endurecer o aislar. Un archivo, un proceso, una cuenta, un correo, un flujo de red o una tarea programada son artefactos.

D3FEND modela esos artefactos en una ontología y, en su sitio, cada artefacto muestra las técnicas ofensivas relacionadas y las contramedidas defensivas que se infieren. Esa es la idea: preguntar primero «¿qué objeto toca esto?» y después «¿qué técnica defensiva mira ese objeto?». El mapa que salga sigue siendo una decisión de quien lo hace, y se verifica con el inventario de lo que la organización recibe.

La tabla artefactos reúne siete técnicas de ATT&CK de la planta, el artefacto que toca cada una, el rastro que deja y la técnica de D3FEND que la planta propone para observar ese artefacto. La correspondencia es una propuesta de la planta, no una lista de MITRE; por eso se lee con la tabla delante.

Siete técnicas no significan siete objetos distintos: varias conductas pueden tocar el mismo artefacto. Contar artefactos distintos dice cuántos tipos de objeto tiene que vigilar la defensa, que es la medida del trabajo de observación.

Un artefacto que reúne varias técnicas rinde más: una sola observación sirve a varias hipótesis. También concentra riesgo, porque si el rastro de ese objeto no llega, quedan ciegas todas las técnicas que lo tocan.

Que exista una técnica defensiva que mire el artefacto no basta: el rastro tiene que llegar al SIEM. La última columna dice si lo que deja cada técnica se recibe hoy. Las filas con «no» son técnicas con artefacto y con candidata, pero sin ojos.