La inteligencia que define los escenarios

El informe de inteligencia dirigida junta dos miradas. La inteligencia de amenazas describe a los adversarios: qué grupos o perfiles atacan a entidades como esta, con qué motivación y con qué forma de trabajar, y cuánto amenazan a este banco en concreto. La inteligencia de objetivo describe al banco visto desde fuera: dominios parecidos registrados por terceros, credenciales de empleados que circulan, software expuesto, lo que los empleados publican sobre su trabajo.

Ninguna basta sola. Saber quién ataca sin saber qué ve del banco produce escenarios genéricos; saber qué está expuesto sin saber quién lo aprovecharía produce un pentest. El escenario nace de cruzar las dos: este adversario, con su motivación, usando lo que este banco deja ver, para llegar a esta función.

El marco pide que el informe incluya al menos tres escenarios de principio a fin, para los actores con mayor puntuación de amenaza, y que entre ellos haya uno por cada uno de los tres aspectos clásicos de la seguridad de la información: un escenario que comprometa ese aspecto en una función crítica. Un escenario puede tocar más de un aspecto, pero cada aspecto tiene que tener el suyo.

El motivo es práctico: un banco puede estar muy preparado para que no le roben datos y muy poco para que no le alteren pagos o lo paralicen. Si todos los escenarios persiguen lo mismo, la prueba mide una sola de sus defensas.

Los escenarios guiados por amenaza imitan a los actores que más amenazan al banco, no a los más llamativos ni a los más fáciles de simular. El proveedor de inteligencia puntúa la gravedad de la amenaza que cada actor supone para este banco en concreto, y los escenarios se construyen sobre los de puntuación más alta.

Un borrador que deja fuera al actor mejor puntuado y mete a uno de los últimos debilita la prueba aunque tenga el número correcto de escenarios.

El marco deja un margen para lo que la inteligencia todavía no ha visto: como mucho un escenario de los elegidos puede no estar guiado por una amenaza concreta, para explorar un camino nuevo o especialmente relevante para la entidad. TIBER-EU lo llama escenario X. Si no se fijó durante la inteligencia, uno de los escenarios puede convertirse en escenario X durante la fase activa, con el acuerdo del gestor de la prueba, el equipo de control y el equipo rojo.

La responsable del equipo de control quiere añadir otro escenario sin actor detrás, sobre el centro de datos de respaldo, «porque nos preocupa».