Fuentes de datos y componentes de detección

Durante años cada técnica traía una lista de fuentes de datos (con identificador que empieza por DS) y un párrafo de detección. En la versión 18 de ATT&CK las detecciones de las técnicas pasaron a ser estrategias de detección, cada una con analíticas; los orígenes de datos se deprecaron y los componentes de datos (los tipos de evento concretos, como la creación de un proceso) siguieron, actualizados.

Quien tenga un mapa de cobertura hecho con fuentes de datos tiene que traducirlo: ya no hay una lista de fuentes por técnica, hay estrategias que piden componentes.

En la consola, estrategia_del_extracto resume una estrategia sobre tareas programadas de Windows. La tabla telemetria_de_curaco lista las fuentes locales de los servidores Windows de Curaco, con su estado y la retención en días. Una estrategia no sirve de nada si la fuente que la alimenta está apagada.

El equipo de Curaco leyó la estrategia y la tradujo a cuatro componentes de datos (esa lista es su lectura, no texto oficial). Cada componente se alimenta de una fuente local; la tabla cobertura_de_componentes dice cuál y en qué estado queda.

Medir cobertura es contar qué fracción de lo que pide la estrategia se registra hoy. Es un número sencillo y útil para hablar con quien prioriza: no dice que la detección funcione, dice que los datos mínimos existen.

La analítica de una estrategia describe, en lenguaje de analista, qué eventos relacionar y qué comportamiento buscar. No trae la consulta de ningún producto, ni los umbrales de tu entorno, ni las exclusiones de tus tareas legítimas. Para llegar a una regla activa hay que traducirla, probarla con tus datos y ajustar el ruido.