Mapear un informe de incidente a ATT&CK

Un buen mapeo tiene una fila por cada línea del informe con tres cosas: la técnica (con su identificador y su nombre, tal como figuran en la versión de referencia), la evidencia que la respalda (qué registro, qué evento) y la confianza (observada, inferida o sin evidencia). Con eso, otra persona puede abrir el mismo registro y comprobar tu fila.

La línea del informe va primero. Si primero eliges la técnica que querías ver y después buscas una línea que la encaje, el mapeo cuenta lo que esperabas, no lo que pasó.

Abre /informe/informe.txt y /informe/mapeo-borrador.csv. La columna evidencia del borrador dice si cada fila se apoya en algo observado, solo en una inferencia o en nada. Lee la línea del informe a la que apunta cada fila y comprueba si de verdad hay un registro: una nota de «creemos que» no lo es.

/informe/referencia.csv recoge las técnicas de la matriz de referencia del equipo (v19.2) que se usan en este caso. Cada identificador del borrador debe figurar ahí con ese mismo nombre. El analista nuevo copió un identificador de un informe viejo: el nombre que cita existe en la referencia, pero con otro número.

El mapeo se resume con una frase al comité: «de seis líneas, N tienen evidencia observada». Ese N debe salir de contar la columna evidencia, no de lo que el borrador parezca. Cuenta solo las filas cuya evidencia es exactamente observada; las inferidas y las que no tienen ninguna no suman.

La nota de TI dice que los 880 MB salieron «probablemente por el canal de control del atacante», pero el informe aclara que no se observó ningún canal de control. La fila del borrador cita una técnica de exfiltración por canal de control con evidencia inferida. Se puede dejar en el mapeo, pero con su etiqueta, y con lo que habría que encontrar para confirmarla.