Qué describe cada marco y qué no

Un modelo de intrusión no es la verdad sobre un ataque: es una forma de ordenar lo que se sabe para contestar una pregunta. Unos ordenan en el tiempo, otros catalogan comportamientos y otros siguen el camino por una red. Ninguno cuenta todo, y por eso conviene saber qué calla cada uno antes de usarlo.

Abre la consola y mira la tabla modelos: la columna que_describe dice qué ordena cada modelo y que_no_describe qué deja fuera. Esa segunda columna es la que evita pedirle a un marco lo que no puede dar.

La cadena de ataque clásica describe una intrusión como una secuencia de fases, desde la preparación hasta la acción sobre el objetivo. Su valor está en que es corta y se recuerda: cabe en una frase y se explica a cualquiera. Su límite está en lo mismo, porque una secuencia corta no tiene sitio para todo lo que pasa dentro de una red.

En la tabla modelos aparece con su origen y su número de piezas.

Un informe sin marco es un relato: dice qué pasó, a qué hora y en qué equipo, pero no dice qué fase ni qué técnica. Antes de ponerle un marco hay que saber qué datos trae, porque cada marco se apoya en uno distinto: la cadena en el orden, la cadena larga en los saltos entre equipos y el catálogo de comportamientos en el procedimiento concreto.

Consulta parrafos, que reúne el informe de «Hilo suelto». Busca el párrafo P5, el de la tarea programada, y mira en qué equipo apareció.

Los modelos de fases ordenan en el tiempo, y para ordenar hace falta cuidar las horas: el ritmo de una campaña (cuánto pasa entre un paso y el siguiente) es dato propio, aunque ningún modelo lo pida. Lo que el informe trae en horas es lo que permite, más tarde, decir cuánto tiempo tuvo la defensa para reaccionar.

Con parrafos, toma la hora del correo (P3) y la de la apertura del adjunto (P4) y calcula la diferencia.

El mismo informe lo leen tres personas y cada una busca una cosa. A quien dirige le importa hasta dónde llegó y qué decidir; a quien opera la red, dónde se pudo cortar; a quien escribe reglas, qué comportamiento vigilar. Un marco que contesta bien a uno puede ser inútil para otro, y ese es el criterio con el que se elige.

La tabla preguntas_de_audiencia lista las tres preguntas.