Límites del mapeo: lo que no demuestra

Las técnicas de ATT&CK son comportamientos compartidos: muchos adversarios distintos usan el mismo correo con adjunto, la misma cuenta válida o el mismo programador de tareas. Que las técnicas de un caso coincidan con las que se atribuyen a un grupo conocido es compatible con ese grupo, pero también con muchos otros y con quien haya leído los mismos informes públicos.

Para atribuir se necesita mucho más que una lista de técnicas: infraestructura, herramientas propias, objetivos, ventanas de tiempo y una evaluación hecha por quien tiene acceso a esa inteligencia. Un mapeo de respuesta a incidentes no es esa evaluación. Además, la autorización del caso suele excluir la atribución.

En la estación, abre /cierre/conclusiones-borrador.txt.

Piensa en el correo con un adjunto y en la cuenta válida: son técnicas tan comunes que aparecen en casos de grupos muy distintos y de aficionados. Un listado de técnicas es como describir a una persona solo por «lleva abrigo»: cuadra con muchas.

«No hay técnicas de Discovery en el mapeo» es un hecho sobre el mapeo, no sobre el atacante. Para decir que no hubo exploración de la red tendrías que haber mirado las fuentes donde se vería y no haber encontrado nada. Abre /cierre/fuentes.csv: dice qué fuentes se recolectaron y cuáles no. Si la fuente donde se vería no se recolectó, la ausencia no demuestra nada.

En /cierre/mapeo-final.csv, la columna evidencia distingue lo observado de lo inferido. El número de técnicas inferidas es una cifra que debe estar en el informe, porque dice cuánto del mapeo es sólido y cuánto es hipótesis pendiente de confirmar. Cuenta solo las filas cuya evidencia es inferida.

La ausencia no se prohíbe: se redacta con sus condiciones. Una frase sostenible dice qué fuentes se revisaron, qué no apareció en ellas y qué fuente faltó. La conclusión del borrador sobre la cantidad de técnicas («ocho técnicas, ataque sofisticado») tiene otro problema: contar técnicas no mide sofisticación, porque la cuenta depende de cuántos registros hubo y de cómo se decidió partir cada comportamiento.