Línea de tiempo del pentester frente a las alertas del cliente

Para que el cruce valga, las dos partes tienen que anotar horas con el mismo reloj y con el mismo detalle. El evaluador anota cada acción al terminarla, con la hora, el objetivo y la técnica del catálogo público de MITRE ATT&CK que corresponde. El cliente exporta sus alertas del mismo día con la hora en que se crearon. La resta entre las dos es el dato que casi ningún informe trae y que a la dirección le interesa más que la lista de hallazgos: cuánto tiempo estuvo pasando algo antes de que alguien lo supiera.

Lee las tres tablas del laboratorio, empezando por cruce.

Las acciones que no aparecen en ninguna fila del cruce son las que el cliente no vio. No se cuentan por técnica ni por severidad: se cuentan como acciones conocidas que pasaron delante de su plataforma sin producir nada. Es el número que abre la conversación del ejercicio púrpura.

Hay un caso que no es un hueco de detección y se le parece mucho en la tabla: la regla funcionó, la alerta llegó a tiempo y el turno la cerró sin comprobarla. La plataforma hizo su trabajo; lo que falló está en el procedimiento del turno. Mezclar los dos casos en el informe hace que el cliente compre tecnología para arreglar algo que se arregla con un criterio de cierre.

En la exportación del día aparecen alertas que no corresponden a ninguna acción del encargo. El evaluador no las investiga ni las comenta en su informe: no son su alcance, y además puede estar mirando un incidente real del cliente con información parcial. Lo que sí hace es dejarlas identificadas en el cruce como ajenas, para que nadie más adelante le atribuya a la prueba algo que no hizo.