El mapa ATT&CK de cadena de suministro y su contraparte D3FEND

ATT&CK organiza el comportamiento del adversario en tácticas (el objetivo, como Initial Access) y técnicas (el cómo, con identificador como T1195). Las subtécnicas añaden un punto y un número. Las que importan a una cadena de desarrollo son la T1195, Supply Chain Compromise, con sus tres subtécnicas (dependencias y herramientas de desarrollo, la cadena de suministro de software y la de hardware), la T1199, Trusted Relationship, y la T1552.001, Credentials In Files.

D3FEND es el catálogo de contramedidas del mismo MITRE. Sus técnicas se agrupan en siete tácticas defensivas: Model, Harden, Detect, Isolate, Deceive, Evict y Restore. D3FEND enlaza una técnica de ATT&CK con técnicas defensivas a través de los artefactos digitales que ambas tocan, y esa inferencia es orientación, no una garantía.

Traducir un hecho a un identificador exige comparar su descripción con el catálogo, no con el nombre que le dio el equipo. Lee la cronología del caso de abril y el extracto de ATT&CK. El evento E1 describe qué se alteró y por dónde llegó al pipeline.

Para el evento E1 hay otra subtécnica cercana: la que describe la alteración del software de un proveedor que llega a sus clientes. D3FEND lista contramedidas para ambas en un mismo bloque. Busca en el extracto la que está bajo la táctica Harden.

El evento E2 es un token dentro de un archivo de configuración subido al repositorio. Identifica la técnica de ATT&CK y mira cuántas contramedidas de la táctica Isolate lista D3FEND para ella. Contar sirve para ver el abanico, no para implementarlas todas: se elige por lo que el pipeline aún no tiene.

El equipo propone cerrar el informe diciendo que, como D3FEND lista contramedidas, el caso de abril queda cubierto en las tres técnicas observadas. El extracto declara que la correspondencia es inferida y orientativa.