La cadena de ataque clásica y sus límites

Cada fase de la cadena clásica contesta una pregunta, y las siete van en orden: qué se averiguó, qué se preparó, cómo llegó, qué debilidad se aprovechó, qué se dejó instalado, cómo se comunicó el adversario y qué hizo al final. El orden sirve para contar una intrusión de principio a fin y para decir en qué fase se la frenó.

La tabla fases_clasicas tiene las siete con su pregunta. Léela antes de tocar el informe, porque son las preguntas contra las que se mide cada párrafo.

La cadena se pensó para intrusiones que entran, instalan algo y se comunican. Lo que pasa después, dentro de la red, no tiene fase propia: leer credenciales para avanzar, moverse a otros equipos, listar carpetas. Esas acciones se acaban metiendo en la última fase por descarte, o se dejan fuera.

Consulta encaje_en_la_cadena, filtrando por no encaja, y fíjate en cuántos párrafos se quedaron sin fase. Busca el párrafo que describe la entrada al servidor de archivos.

Cuando una fase es ancha, absorbe mucho: lo que pasa al final de una intrusión puede ser comprimir datos, sacarlos, cifrarlos o borrarlos, y todo eso queda en una sola línea del informe de fases. El modelo es fácil de comunicar porque sacrifica el detalle, y ese sacrificio es lo que lo hace débil para detectar.

En encaje_en_la_cadena mira la fase asignada al párrafo P10, el de la salida de datos.

Medir el límite de un modelo no es opinar: es contar. De los diez párrafos, unos cupieron sin problema, otros recibieron una fase que no les corresponde del todo (la columna encaje los marca como forzado) y otros se quedaron sin ninguna (no encaja). Un modelo que fuerza o deja fuera la mitad del informe no sirve para analizarlo, aunque sirva para contarlo.

Suma los párrafos marcados como forzado y los marcados como no encaja.

La crítica al modelo clásico se repite en la bibliografía: se centra en el perímetro y en el software malicioso, y asume un camino lineal que acaba al cumplir el objetivo. Por eso se queda corto con intrusiones que usan cuentas legítimas, se mueven dentro de la red o repiten pasos. No es que el modelo esté mal, sino que se usa fuera de su alcance.