Plataformas y tácticas

La matriz de ATT&CK ordena las técnicas por táctica, el para qué. Una técnica puede servir a varios fines y figurar en más de una columna. Cuando el equipo resume el catálogo por táctica, esa técnica entra en cada columna donde aparece, y la suma de las columnas supera el número de técnicas distintas.

La tabla resumen_por_tactica es la que armó el equipo de los Astilleros. Está bien hecho; solo hay que leerlo con el catálogo al lado. Consúltala junto con tecnica.

Las analíticas se organizan por plataforma, y ATT&CK usa un nombre fijo para cada una. Además de los sistemas operativos hay una plataforma para los equipos de red que no son un servidor ni un puesto: cortafuegos, enrutadores, proxies. Citarla con otro nombre en la ficha impide cruzarla con el sitio oficial y con las herramientas que leen el modelo.

La tabla tecnica lista las plataformas de la técnica tal como ATT&CK las nombra.

Una analítica corre completa cuando cada componente que exige llega desde los equipos de su plataforma. Si le falta uno, se ve parte del comportamiento y la ficha debe decirlo. La tabla visibilidad compara, para las cuatro analíticas, los componentes que exigen con los que llegan completos hoy, y el número de equipos de la plataforma.

La técnica figura en el catálogo con regla y con estrategia citada, y en un informe de cobertura aparecería como «cubierta». Pero la estrategia son cuatro analíticas, cada una con sus datos. Decir que la técnica está cubierta oculta cuántas de esas analíticas funcionan de verdad y cuántas ni aplican porque la plataforma no existe.