CAPEC: patrones de ataque como catálogo de lectura

CAPEC (Common Attack Pattern Enumeration and Classification) es un catálogo público de patrones de ataque, nacido en 2007 dentro de una iniciativa de aseguramiento de software de Estados Unidos y mantenido hoy por MITRE. Un patrón de ataque describe los rasgos y el enfoque habituales con que se explota una debilidad; es una descripción para leer, no una receta.

Cada patrón tiene un identificador con la forma CAPEC-<número> y un nivel de abstracción: Meta (una caracterización muy abstracta de una técnica, casi independiente de la tecnología), Standard (una técnica concreta) y Detailed (una técnica sobre una tecnología concreta). Los patrones forman un árbol: los detallados cuelgan de los estándar y estos de los meta.

Abre la consola. catalogo_capec trae once patrones con su nombre, nivel y patrón padre (según capec.mitre.org). Para subir un registro hasta un nivel común hay que seguir la columna del padre.

Los tres patrones de suplantación por mensaje que el extracto muestra como detallados cuelgan del mismo patrón estándar. Uno de ellos es el que apunta a una persona concreta.

Siete incidentes de Cooperativa Eléctrica Loma Mansa están en incidentes_con_capec. No todos los analistas eligieron el mismo nivel: unos asignaron un patrón detallado y otro uno muy general. Un patrón general no se puede «bajar» a uno detallado sin inventar lo que no se sabe; solo se pueden subir los detallados.

Cruza la tabla de incidentes con el catálogo y localiza el incidente cuyo patrón es de nivel Meta.

Para dar una cifra comparable, el Observatorio cuenta cuántos de los siete incidentes están bajo el patrón estándar de suplantación por mensaje: los que lo tienen asignado directamente y los que llevan uno de sus descendientes.

El incidente de nivel Meta no se cuenta: de él no se sabe cuál de sus ramas es.

Un compañero quiere usar los identificadores CAPEC para el informe de actores del trimestre: «de las veces que el patrón de intento de acceso por contraseñas aparece, cuántas son de ese grupo concreto». CAPEC describe cómo se plantea un ataque. No registra quién lo hizo, ni qué se perdió, ni si tuvo éxito.

Para esas preguntas hace falta otro vocabulario (por ejemplo VERIS para el actor y el atributo afectado) y, para el actor, evidencia propia y cautela, no una columna de un catálogo de patrones.