Componentes de datos y fuentes

Cada componente de datos lleva un nombre, un identificador DC#### y, por plataforma, las fuentes de registro que lo entregan: un canal (por ejemplo, el registro de seguridad de Windows o el de Sysmon) y, cuando hay, el código de evento. El mismo componente puede tener varias fuentes en una plataforma; el nombre del componente es estable, los canales son una guía.

La tabla componentes_de_la_analitica trae los cinco componentes que exige una analítica de Windows, cada uno con el canal y el evento con que ATT&CK lo asocia a esa analítica. Leerla es lo que convierte «necesito datos de procesos» en una petición concreta al dueño de la fuente.

Un componente no está «cubierto» porque el canal exista: lo está cuando el evento llega desde los equipos que deberían entregarlo. La tabla fuentes_del_astillero dice cuántos de los 200 equipos Windows entregan cada canal y evento hoy. Una fuente que llega de una fracción del parque cubre solo esa fracción, y la regla escrita encima se comporta igual: ve lo que ve.

Compara los cinco componentes de la analítica con lo que entrega cada fuente. El que llega de menos equipos es el cuello de botella: la analítica entera ve tanto como él. Pedir a los dueños de la infraestructura que lo amplíen rinde más que afinar la lógica de la regla.

La lista de fuentes de un componente no es exhaustiva ni obligatoria: varios componentes enumeran varias fuentes por plataforma, y algunos añaden telemetría de un agente de endpoint como alternativa. La tabla fuentes_de_creacion_de_procesos recoge lo que ATT&CK sugiere para Windows en el componente de creación de procesos y, al final, la fila de los Astilleros: el registro de seguridad entrega el evento a los 200 equipos, pero su responsable anotó que no trae la línea de comandos.