Tácticas, técnicas y procedimientos, el vocabulario común

5 tareas · 40 min · Principiante

Tácticas, técnicas y procedimientos son tres niveles de detalle para decir lo mismo: para qué hizo algo el adversario, cómo lo hizo en general y cómo lo hizo este actor en concreto. El catálogo ATT&CK de MITRE pone nombre e identificador a las dos primeras, y el tercero se lee del informe. Jueves 22 de octubre: en Tejidos Rumbaluna se trasladó el informe «Hilo suelto» a ese vocabulario y se comparó con el de otra empresa. Todo es lectura de tablas de ejemplo: no se ejecuta ni se conecta nada.

0 de 5 · 0%

Objetivo de la sala

Una táctica es el objetivo inmediato del adversario en ese paso, como entrar, quedarse, comunicarse o sacar datos. Una técnica es la manera general de conseguirlo y lleva un identificador que no cambia. Un procedimiento es la forma concreta en que lo hizo este actor: el nombre que puso, el ritmo, la herramienta. Los tres son verdad a la vez y se usan según para qué se necesiten.

La tabla ttp_niveles los pone en fila con un ejemplo del caso. Ahí se ve que cuanto más se baja, más específico es del actor y menos sirve para compararlo con otros.

Responde para continuar

Quieres comparar dos informes de actores distintos que persisten en una estación. ¿En qué nivel los comparas?

En la técnica, porque es la manera general que ambos comparten En la táctica, porque ninguna técnica sirve para comparar En el procedimiento, porque cada informe lo describe con sus datos

Ver pista de ayuda

Compara en el nivel que sea general, pero no tanto como para que todos los informes coincidan.

Cada técnica del catálogo tiene un identificador estable, formado por una T y cuatro cifras, y cuando hay variantes, un punto y tres cifras más. Es lo que permite que dos analistas que nunca hablaron hablen de lo mismo: el identificador no depende del idioma, del proveedor ni de cómo lo cuente cada informe.

Consulta parrafos_a_ttp, que traslada los párrafos del informe a su táctica, técnica e identificador. Busca la fila de la táctica de persistencia.

Responde para continuar

Escribe el identificador de la técnica que corresponde a la persistencia en el informe.

Ver pista de ayuda

Usa la consulta filtrada con `WHERE tactica = 'Persistence'` y lee la columna «id_tecnica».

El procedimiento es lo que el informe dice y el catálogo no: el nombre de una tarea, la frecuencia con que se repite, el recurso que se usa, la hora del día. Es donde se distinguen dos actores que usan la misma técnica, y también donde un actor es más fácil de cambiar: renombrar una tarea es gratis.

Lee el procedimiento de la fila de persistencia en parrafos_a_ttp y fíjate en cada cuánto se repite la tarea.

Responde para continuar

Escribe cada cuántos minutos se repite la tarea programada de Rumbaluna.

Ver pista de ayuda

La columna «procedimiento_del_actor» de la fila de persistencia dice el ritmo.

Dos informes de empresas distintas pueden decir que el adversario persistió con la misma técnica. Si los procedimientos coinciden en nombre, ritmo y hora, hay un argumento para pensar que es el mismo actor; si no coinciden, el identificador solo prueba que usan una técnica popular. La técnica agrupa; el procedimiento distingue.

La tabla misma_tecnica_otro_informe compara «Hilo suelto» con otro informe, «Trama gris».

Responde para continuar

Escribe el nombre de la tarea programada del informe «Trama gris».

Ver pista de ayuda

Ejecuta `SELECT * FROM misma_tecnica_otro_informe` y lee la columna «nombre_de_la_tarea».

Los dos informes de la tabla usan la misma técnica y tienen procedimientos distintos: otro nombre, otro ritmo y otra hora de creación. Con eso no se puede atribuir nada, pero tampoco descartarlo: la técnica es muy común, y quien la usa suele cambiar de procedimiento de un trabajo a otro.

Responde para continuar

Dos informes usan la misma técnica de persistencia, con nombre, ritmo y hora distintos. ¿Qué se puede afirmar?

Que el identificador prueba una técnica común, pero no atribuye Que son el mismo actor, porque el identificador de la técnica es idéntico Que son actores distintos porque difieren en el nombre

Ver pista de ayuda

Distingue lo que prueba una técnica popular de lo que probaría un procedimiento idéntico.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Para qué, cómo y cómo exactamente Lab

2 La técnica de la persistencia Lab

3 El procedimiento del actor Lab

4 La misma técnica, otro procedimiento Lab

5 Qué prueba coincidir en la técnica Lab

Whoami-Labs Pro utiliza cookies