Anatomía de una ficha de técnica

Una ficha de ATT&CK se identifica con un código que empieza por la letra T y cuatro cifras. Cuando el código lleva además un punto y tres cifras más, la ficha ya no es de una técnica sino de una subtécnica: la parte antes del punto es la técnica padre, y la parte tras el punto distingue la variante. Por ejemplo, un código como T1566.001 es una subtécnica cuyo padre es T1566.

El identificador es la forma estable de citar: los nombres se traducen, se acortan y se confunden; el código no. Por eso un informe serio lo escribe siempre junto al nombre.

La cabecera de una ficha reúne datos que no son la descripción pero que se usan más que ella: el identificador, el nombre, la técnica de la que cuelga si es subtécnica, las tácticas a las que sirve, las plataformas donde aplica, la versión de la ficha y las fechas de creación y de última modificación. La versión de la ficha no es la versión de la matriz: una ficha puede estar en su versión 1.8 mientras la matriz va por otra numeración distinta.

Abre la consola. La tabla ficha es el extracto de una subtécnica de Windows; la tabla hermanas lista a su familia.

Hasta hace poco la detección de una técnica era un párrafo de texto libre. Desde la versión 18 de ATT&CK las fichas apuntan a una estrategia de detección, con un identificador propio que empieza por DET, y esa estrategia tiene una o más analíticas (identificador que empieza por AN) que dicen qué mirar y en qué datos. La estrategia es el contenedor; la analítica es la receta concreta.

Eso no convierte a la ficha en una regla lista para instalar: es una descripción de qué observar. Convertirla en detección propia es otro trabajo (el del módulo 5).

Muchas fichas traen una sección de ejemplos de procedimiento: cómo un grupo o un programa concreto usó la técnica, con su cita. Es la parte más útil para entender cómo se ve en la práctica y la más fácil de leer de más: un ejemplo cuenta lo que una fuente dijo de un caso, no cómo se presenta siempre la técnica.

En la tabla ejemplos_de_uso hay tres textos que el equipo de Curaco asoció a la ficha. Uno describe una tarea que el planificador normal no muestra.

Una ficha es conocimiento general sobre una técnica, reunido de fuentes públicas. No describe tu red, no dice si la técnica ocurre en ella ni si tu telemetría la vería. Para decidir algo en Curaco hace falta cruzar la ficha con lo propio: qué plataformas hay, qué se registra, qué se vio.