D3FEND: contramedidas por artefacto

D3FEND organiza las contramedidas en siete tácticas defensivas: Model (conocer lo que hay), Harden (endurecer), Detect (detectar), Isolate (aislar), Deceive (engañar), Evict (expulsar) y Restore (restaurar). Cada técnica se asocia a los artefactos digitales sobre los que actúa, como un proceso, un archivo ejecutable, una cuenta o una conexión de red.

Por eso el camino de lectura es: parto del artefacto que dejó el caso, veo qué contramedidas actúan sobre él, y de ellas elijo las que mi entorno puede sostener. El camino inverso, empezar por la contramedida que más suena, termina en recomendaciones que nadie puede aplicar.

Abre /contramedidas/contramedidas.csv. Cada fila dice sobre qué artefacto actúa la contramedida, qué requisito pide y si Lamparilla ya lo cumple. El caso dejó una tarea programada que ejecuta un programa cada hora. Busca la contramedida que actúa sobre ese artefacto y cuyo requisito ya está cumplido.

La táctica Evict reúne las acciones que sacan al adversario: cerrar una sesión, bloquear una cuenta, terminar un proceso, revocar una credencial. En el caso, svc-bordados tiene una sesión remota abierta en lam-fin-01. Busca en la tabla la contramedida de la táctica Evict que actúa sobre una sesión remota activa.

Las acciones de Evict son eficaces, pero alteran la evidencia: terminar un proceso borra su memoria, cerrar una sesión corta lo que se podía observar, bloquear una cuenta cambia los registros. En una respuesta a un incidente, la secuencia es: primero se preserva lo volátil y se anota la hora y quién lo decidió; después se expulsa. Si se hace al revés, la contramedida llega, pero el caso ya no se puede reconstruir.

Una recomendación sin requisito cumplido es un deseo. La tabla trae una columna requisito_cumplido. Las contramedidas con no no se descartan, pero pasan a otra lista: la de lo que habría que construir antes (un inventario de ejecutables, un firewall de salida con denegación por defecto, una pasarela de segundo factor). El comité necesita ver las dos listas por separado.