Objetivo y estrategia

La sección de objetivo responde qué conducta quiere ver la alerta y para qué. Un objetivo que se pueda comprobar nombra tres cosas: la conducta (qué hace alguien), el rastro (qué evento deja) y el lugar (en qué fuente se ve). Si falta una de las tres, la ficha no se puede validar, porque no se sabe qué datos hay que mirar.

«Mejorar la seguridad de los servidores» es un deseo, no un objetivo. «Saber cuándo se crea una cuenta local nueva en un servidor, a través del evento de creación de cuentas del registro de seguridad» sí lo es.

Un equipo de Salinas del Norte propone cuatro objetivos para la hipótesis de las tareas programadas nuevas. En objetivos_propuestos cada redacción lleva tres columnas que dicen si nombra la conducta, el rastro y el lugar.

Solo una de las cuatro se puede convertir en una consulta y en un caso de prueba sin preguntarle nada a su autor.

La segunda sección de la ficha etiqueta la hipótesis con la técnica de MITRE ATT&CK que describe la conducta. La etiqueta sirve para medir la cobertura del catálogo y para hablar el mismo idioma con otros equipos; no decide si la regla es buena ni si cubre la técnica entera.

Una ficha lleva la técnica que su estrategia realmente observa, no todas las que se le parecen. Mira categorizacion_de_fichas: el identificador de la técnica y la táctica que el equipo eligió para cuatro fichas.

El resumen de la estrategia explica en pocas líneas cómo se detecta la conducta. Casi siempre hay varias formas, y cada una cuesta algo distinto: más alertas, menos cobertura o más complejidad. Elegir es comparar por escrito, con números, antes de programar nada.

En borradores_de_estrategia hay tres opciones para las tareas programadas nuevas, con los disparos diarios que se esperan y si cubren las tareas creadas sin ticket de cambio. En presupuesto está lo que el turno puede dedicar al día. Los minutos diarios de un borrador son sus disparos por día por los minutos de cada alerta.

Un resumen de estrategia honesto dice qué ve y qué no ve. EST-3 mira la cuenta que crea la tarea y la compara con el calendario de cambios: no ve una tarea maliciosa creada por una cuenta que sí figura en el calendario. No es un defecto escondido, es una característica de la estrategia, y por eso va escrita.