Técnicas de detección de D3FEND

D3FEND agrupa sus técnicas de detección en familias de primer nivel, y debajo de cada una cuelgan técnicas más específicas. El criterio de la agrupación es qué se analiza: no es lo mismo mirar un correo que mirar un proceso. Por eso el catálogo sirve de menú: dice qué objetos pueden vigilarse y con qué nombre se llama cada manera de hacerlo.

La familia Message Analysis analiza el contenido de correos o mensajes instantáneos buscando actividad no autorizada. Debajo de ella cuelgan técnicas que miran la reputación del remitente o del servidor de correo.

Cada técnica de D3FEND tiene un identificador con el prefijo D3-. Es el que se escribe en la ficha de una regla para que otro equipo ubique la técnica sin ambigüedad. La tabla familias_detect lista las ocho familias de primer nivel de la táctica con su identificador y lo que analizan.

La tabla alimentacion pone al lado de cada familia la fuente que la planta tiene para alimentarla y si llega al SIEM. Una familia con fuente que llega «sí» puede sostener una detección hoy; «parcial» es que llega desde una parte de los equipos, y «no» es que no llega.

Una familia con fuente que no llega es una promesa vacía: el catálogo de D3FEND la nombra y el mapa de la planta podría citarla, pero ninguna detección puede apoyarse en ella. Conviene saber cuál es antes de que alguien la cite como cubierta.

Dos de las familias de la planta tienen fuente «parcial»: una cubre dos de cinco servidores, la otra treinta de ciento cuarenta equipos. Una familia a medias no está cubierta a medias de forma uniforme: lo que queda fuera es un hueco exacto, con nombre de equipo.