Las fuentes de datos de cada técnica

Los datos que exige una técnica son más que un nombre de registro. Hay cuatro preguntas: qué fuente muestra el rastro, qué campos lleva (sin la cuenta o el origen no hay forma de agrupar), en cuántos equipos llega (una fuente que entrega una cuarta parte de la flota deja tres cuartas partes ciegas) y cuántos días hacia atrás se guardan, porque hay detecciones que comparan lo de hoy con lo de las últimas semanas.

ATT&CK, en su versión vigente, publica para cada técnica una estrategia de detección con identificador DET: describe qué observar y con qué fuentes. Sirve de punto de partida y para hablar el mismo idioma con otros equipos, pero no dice qué recibe la organización: eso lo contesta tu inventario.

La tabla requisitos trae una fila por cada pareja técnica y fuente que la Naviera necesita. Una técnica puede necesitar varias fuentes, y una fuente puede sostener varias técnicas. La que sostiene más técnicas es la que más duele perder: cuando se cae, se apagan varias a la vez.

La tabla fuentes_ingeridas trae, por fuente, los equipos que la entregan sobre el total. Una fuente que «llega» puede ser el 98 % de la flota o la cuarta parte. La fuente de creación de procesos pide una configuración en cada equipo, y no en todos se ha hecho.

La última columna de requisitos dice cuántos días hacia atrás debe mirar la detección; la de fuentes_ingeridas, cuántos guarda el SIEM. Si la retención es menor que el requisito, la fuente llega y aun así la regla no puede hacer su comparación. Es un hueco que no se ve en el recuento de reglas ni en el inventario de fuentes.

La tabla estrategias_attack trae la estrategia de detección que ATT&CK v19.2 publica para cinco de las técnicas. Cada identificador DET agrupa uno o varios análisis de qué observar. Es una referencia para escribir la hipótesis y para saber qué fuentes pedir; no sustituye a tu inventario.