De un hallazgo a una técnica

El método tiene tres pasos. Primero, describir lo observado con verbos y sin marcas: «un proceso de hoja de cálculo creó un intérprete de comandos». Segundo, buscar en el catálogo la técnica cuya definición encaja con ese comportamiento. Tercero, anotar la evidencia que lo respalda y cuánto se sabe: observado o inferido.

Lo que no se hace es mapear por el nombre del archivo, de la herramienta o del programa. Un nombre cambia en un segundo y no demuestra nada; el comportamiento queda en los registros.

Abre /caso/hallazgos.csv y /caso/catalogo.csv. El hallazgo H3 describe un valor nuevo en el registro que apunta a un programa y que se activa solo, sin que nadie lo lance. Busca en el catálogo la subtécnica cuya descripción encaja con ese comportamiento: no la que suena parecida, la que se inscribe para arrancar con el inicio de sesión.

El hallazgo H5 es el evento 1102: se borró el registro de auditoría de Seguridad, y lo hizo una cuenta de servicio. Los eventos de borrado de registros son de las evidencias más valiosas porque cuentan que alguien quiso quitar el rastro. En el catálogo hay una subtécnica cuya descripción habla de borrar el contenido de los registros de eventos de Windows.

El hallazgo H6 es un inicio de sesión por escritorio remoto en lam-fin-01, desde 198.51.100.194, con la cuenta de servicio svc-bordados. Hay dos técnicas que encajan: el acceso remoto en sí y el uso de una cuenta válida. La primera la sostiene el registro de inicios de sesión. La segunda solo se sostiene si se demuestra que nadie autorizado usó esa cuenta; el registro dice que la cuenta se usó, no quién la manejaba.

La técnica de tarea programada aparece en tres tácticas del catálogo. El hallazgo H4 muestra una tarea que se creó y que ejecuta el mismo programa cada hora. Cuando citas la técnica, también puedes citar la táctica, pero solo la que la evidencia respalda. Que una técnica pueda servir a tres objetivos no significa que en tu caso sirvió a los tres.