Las matrices: empresa, móvil e ICS

ATT&CK separa el conocimiento en dominios: empresa (equipos, servidores, identidad, nube y red), móvil (Android e iOS) e ICS (sistemas de control industrial). La razón es práctica: lo que un adversario hace en un teléfono o en un controlador de planta no se parece a lo que hace en un servidor, y las plataformas, las técnicas y hasta las tácticas cambian. Una técnica con el mismo nombre en dos dominios es, en general, otra ficha, con su propio identificador y su propia detección.

Por eso, cuando alguien dice «mapeado a ATT&CK», la primera pregunta es: ¿en qué matriz?

En la consola, activos_de_curaco lista cuatro familias de activos con su plataforma y matrices dice qué plataformas cubre cada matriz (cifras de la versión 19.2, consultadas para este laboratorio). La matriz de empresa cubre muchas plataformas, entre ellas servicios en la nube; las otras dos tienen un dominio más acotado.

Las tácticas son el «para qué» de una técnica: acceso inicial, ejecución, persistencia y así hasta el impacto. Las tres matrices comparten buena parte, pero cada una añade o quita las suyas: la de empresa tiene tácticas de preparación previa al ataque; la de ICS tiene tácticas que hablan del proceso físico. Y los nombres cambian con las versiones.

La tabla tacticas_por_matriz pone una fila por nombre de táctica y dice con «si» o «no» si cada matriz lo lista con ese nombre exacto.

Entre la matriz móvil y la de empresa hay una diferencia de nombre que da problemas al comparar mapas: una táctica que la matriz móvil sigue listando y que la de empresa ya no usa con ese nombre. Un mapa de calor que ponga las dos matrices en una sola vista tiene que decidir qué hacer con ella.

Curaco quiere revisar su cobertura de ATT&CK. Tiene servidores y un portal de proveedor en la nube, una flota Android y la línea de tintura con controladores industriales. Alguien propone usar solo la matriz de empresa «porque es la más completa».