Cobertura no es número de reglas

La cobertura responde a una pregunta sobre una técnica de MITRE ATT&CK: si alguien la usara hoy en la organización, ¿qué probabilidad hay de que salte una alerta que alguien lea? No se responde contando reglas, porque una regla solo ve una forma de usar la técnica, en los equipos cuya fuente llega, mientras esté activa y funcione.

Por eso la cobertura se mide por técnica y por grado, con una escala escrita por la propia organización. La Naviera usa cuatro grados, del 0 al 3, y cada uno exige algo más que el anterior. El grado de una técnica es el de su mejor regla: tres reglas flojas no suman un grado más.

Abre la escala y el catálogo. La tabla grado_por_tecnica trae, para cada técnica, cuántas reglas activas tiene (las de borrador y las apagadas no vigilan) y su grado. Primero mira dónde se concentra el trabajo.

Ahora la pregunta de la dirección. Con la escala, una técnica está cubierta solo en el grado 3: regla activa, fuente que llega y una prueba aprobada. Los grados 1 y 2 son cobertura de papel con matices distintos: en el 1 la regla no puede ver nada; en el 2 puede ver, pero nadie sabe si salta.

El grado 1 se encuentra cruzando cada regla con la fuente que lee. Un cambio de configuración o una auditoría sin activar dejan una regla perfectamente escrita vigilando una fuente vacía, y su silencio se lee como «no pasó nada». Cuenta solo las reglas activas: las demás no estorban.

Con los números a la vista, la directora pide una sola cifra de cobertura para el informe del trimestre. Tienes tres maneras de dársela: la cifra más fácil de calcular, la más alta que se puede defender y la que cuenta lo que de verdad vigila.