Del campo «detección» al modelo nuevo

Antes de la versión 18 (octubre de 2025), la ayuda de ATT&CK para detectar una técnica era un párrafo escrito por personas, a veces de una sola frase, y una lista de «fuentes de datos» con sus componentes. Cada lector lo interpretaba a su manera, y dos equipos que citaban «lo que dice ATT&CK» podían estar hablando de cosas distintas.

El modelo nuevo reemplaza ese campo por objetos con identificador propio: la estrategia de detección (DET####), la analítica (AN####) y el componente de datos (DC####). Las fuentes de datos como categoría dejaron de usarse; la información de dónde se registra cada evento ahora vive en el propio componente de datos. La tabla ficha_heredada conserva lo que las fichas de los Astilleros copiaron del modelo anterior.

El modelo nuevo tiene cuatro piezas encadenadas. La técnica dice qué logra el adversario. La estrategia de detección es el enfoque general para verla; no es una regla ni una consulta, y reúne las analíticas de todas las plataformas. La analítica es la lógica concreta de esa estrategia para una plataforma. El componente de datos es un tipo de evento observable, con las fuentes de registro que lo entregan en cada sistema.

Esto explica por qué una misma técnica puede traer una sola analítica o varias: una por plataforma que la estrategia contempla. Y explica por qué la cita correcta en una ficha ya no es «la técnica T1003.001», sino la técnica más la estrategia y la analítica que de verdad se usó.

La tabla cadena_t1558_003 desciende de la técnica Kerberoasting hasta los eventos. Cada fila del nivel «componente» es un tipo de evento que la analítica necesita. Contarlos sirve de algo concreto: es la lista de requisitos de datos, y cada uno puede estar llegando o no al SIEM.

Una estrategia no mira igual en Windows que en Linux o que en un cortafuegos: los eventos, los nombres de campo y los canales cambian. Por eso la estrategia no lleva la lógica pegada, sino que la reparte en analíticas, una por plataforma. Es la analítica la que dice qué se correlaciona y con qué ventana, y es la analítica la que enumera los componentes de datos que necesita.