Estrategias de detección

Una estrategia de detección tiene un nombre, un identificador DET####, la técnica que contempla y las analíticas que la desarrollan. Sirve para ponerse de acuerdo sobre qué se observa: por ejemplo, una secuencia de acceso a un proceso seguida de un volcado, o un patrón de peticiones de tickets fuera de lo normal.

No dice cuántos falsos positivos dará en tu entorno, ni cuánto cuesta ejecutarla, ni si los registros que necesita llegan a tu SIEM. Esas son decisiones y mediciones de la organización. Citar una estrategia en una ficha es declarar el enfoque que se siguió; no es declarar que la detección funciona.

La tabla estrategias trae tres estrategias reales con su técnica. La tabla fichas_del_astillero trae las seis fichas del catálogo, cada una con la técnica que declara y la estrategia que cita. Una cita copiada de otra ficha, o escrita de memoria, puede apuntar a una estrategia que pertenece a una técnica distinta, y la ficha se ve completa aunque su cita no lo sea.

Para medir la calidad de las citas, cuenta las fichas cuya estrategia citada es exactamente la que corresponde a su técnica. Las que no citan ninguna y la que cita la equivocada no suman. Es una cifra de higiene del catálogo: no mide cobertura, mide si cada ficha puede volver a encontrar su fuente.

Cada estrategia agrupa un número distinto de analíticas, y ese número dice cuántas plataformas contempla. Una estrategia con una sola analítica se limita a una plataforma; una con varias exige que la organización decida qué plataformas le importan antes de dar la técnica por cubierta.