Tácticas, técnicas y subtécnicas

MITRE ATT&CK es un catálogo de comportamientos de adversarios observados en la práctica. Tiene tres niveles. La táctica es el objetivo del adversario en un momento dado: el porqué (por ejemplo, entrar por primera vez, mantenerse o sacar datos). La técnica es el cómo en términos generales: la manera de conseguir ese objetivo. La subtécnica es una variante concreta de una técnica, con más detalle.

Para el respondedor, el catálogo sirve de vocabulario común: permite describir lo que dejó la evidencia con las mismas palabras que usa otro equipo. No es una lista de pasos que alguien siga, y no dice qué ocurrió en tu caso: eso lo dice tu evidencia.

Cada táctica tiene un identificador de la forma TA seguido de cuatro dígitos y un nombre en inglés. Leer la pregunta que contesta es más fiable que memorizar el nombre, sobre todo con tácticas que se parecen. En la estación, abre /matriz/tacticas.csv. Dos de ellas se confunden con facilidad: una trata de confundirse con la actividad normal y otra de romper las herramientas y los registros que deberían verla. No son lo mismo.

Los identificadores de técnica empiezan por T y cuatro dígitos (T1566). Una subtécnica añade un punto y tres dígitos (T1566.001) y siempre tiene una técnica padre; hereda sus tácticas. Si en un informe solo estás seguro del nivel general, cita la técnica; si la evidencia sostiene la variante, cita la subtécnica. En tecnicas.csv la columna padre dice a qué técnica pertenece cada subtécnica.

Una misma técnica puede aparecer bajo más de una táctica, porque el mismo cómo sirve para objetivos distintos. Por ejemplo, usar una cuenta que ya existe sirve tanto para entrar como para quedarse. Cuando una técnica tiene varias tácticas, el informe no las cita todas por reflejo: cita la que la evidencia respalda. Pero para leer la matriz hay que saber cuáles tienen más de una.

En tecnicas.csv, cuenta solo las filas de nivel tecnica (no las subtécnicas) cuya columna tacticas lista más de una táctica, separadas por una barra.

La matriz se actualiza: se agregan técnicas, se parten tácticas y algunos identificadores y nombres cambian. En la versión que usa el equipo, la antigua táctica única de evasión de defensas aparece ya repartida en dos (Stealth y Defense Impairment). Un informe de hace dos años puede citar un identificador que hoy designa otra cosa o que ya no existe con ese número.