Los tipos de tácticas defensivas

D3FEND es un grafo de conocimiento que MITRE publica con las contramedidas de ciberseguridad agrupadas por táctica defensiva. Una táctica es el para qué de un control, igual que en ATT&CK la táctica es el para qué de una técnica. Los controles de una planta se pueden ordenar por ese para qué: unos modelan el sistema, otros lo endurecen, otros detectan, otros aíslan, otros sacan al intruso y otros restauran.

La táctica Isolate crea barreras lógicas o físicas dentro de un sistema para reducir las oportunidades de que un adversario consiga accesos adicionales. No avisa de nada: limita hasta dónde puede llegar un acceso. La segmentación de una red o el filtrado de contenido son ejemplos de ese tipo de control.

La tabla tacticas trae las siete tácticas de D3FEND con una descripción corta. La tabla controles lista los quince controles que la Procesadora tiene hoy y la táctica en la que los clasificó. Harden se ocupa de lo que se hace antes de que el sistema opere, para que atacarlo cueste más: contraseñas largas, cifrado, líneas base de configuración.

Una defensa equilibrada no necesita todas las tácticas por igual, pero conviene saber cuáles faltan por completo. Si una táctica no tiene ningún control, o la organización decidió no usarla, o nunca se lo planteó. Esa diferencia se anota en el mapa.

Un error frecuente en los informes es contar un control de detección como si resolviera el incidente. Detect identifica el acceso o la actividad no autorizada; Evict es la táctica que retira al adversario de la red, por ejemplo invalidando credenciales. La alerta abre el caso; sacar al intruso es otro control, con otro dueño y otra prueba.