ATT&CK como vocabulario del informe

ATT&CK ordena el comportamiento de un adversario en tres niveles. La táctica es el objetivo de un paso: obtener credenciales, moverse a otro equipo, descubrir qué hay en la red. La técnica es la manera de conseguirlo, y la subtécnica, una variante más concreta. Las técnicas se identifican con una T y cuatro cifras, y las subtécnicas añaden un punto y tres cifras más.

Una técnica puede servir a más de una táctica, y la base cambia de una versión a otra: se añaden técnicas, se renombran y hasta se reorganizan tácticas. Por eso un informe que use ATT&CK declara la versión, igual que con cualquier otro marco.

Lo que ATT&CK no hace es decir qué probar ni en qué orden. Es un vocabulario para describir lo que se hizo, no un plan.

En el anexo, cada acción del evaluador lleva una etiqueta. Una de ellas describe una variante distinta de la que se hizo: probar muchas contraseñas contra una cuenta no es lo mismo que probar una sola contraseña contra muchas cuentas, y el equipo de defensa lo busca de forma distinta en sus registros.

El resumen del anexo dice por cuántas tácticas pasó el encargo, para que el cliente vea de un vistazo hasta dónde se llegó. La cifra sale de unir cada acción con la táctica de su etiqueta, ya corregida; una técnica que aparece dos veces, o dos técnicas de la misma táctica, cuentan una sola vez.

Una etiqueta de ATT&CK dice qué hizo el evaluador, no cuánto importa. La gravedad de un hallazgo sale de su impacto y de su probabilidad en el contexto del cliente. Tampoco describe la debilidad que lo hizo posible: para eso existen catálogos de debilidades, como CWE, que nombran la causa (una contraseña débil, una autorización que no se comprueba) en lugar de la conducta.