Mapa de cobertura ATT&CK para nube

ATT&CK es una base pública de conducta de adversarios, con técnicas identificadas como T1078 y subtécnicas como T1078.004 (cuentas válidas, en su variante de cuentas en la nube). Una regla Sigma se etiqueta con attack.t1078.004, en minúsculas. Con esas etiquetas se pinta un mapa de cobertura.

Pero una etiqueta solo dice qué pretende detectar la regla. Para que la técnica esté cubierta de verdad hace falta que la regla esté activa y que el registro que lee llegue al lago. Una regla perfecta sobre una fuente apagada nunca dispara, y su silencio se lee como «no pasó nada». Falta además una tercera cosa que verás en la sala de pruebas: que alguien haya comprobado que la regla dispara.

Abre tecnicas-objetivo.csv (lo que el informe pide vigilar) y reglas-activas.csv (lo que hay). El primer cruce es el más barato y el que más sorprende: ¿hay alguna técnica de la lista que no aparece en ninguna regla?

El segundo cruce es contra las fuentes. fuentes-ingeridas.csv dice cuáles llegan de verdad al lago de seguridad. Una técnica puede tener regla y, aun así, depender solo de fuentes que no llegan.

Se puede resumir el cruce en una cifra: de las reglas activas, qué proporción lee una fuente que sí llega. No es una medida perfecta, porque no dice si la regla está bien escrita, pero deja ver la distancia entre lo que el catálogo promete y lo que puede entregar.

ATT&CK describe lo que hace un adversario; D3FEND, del mismo MITRE, describe contramedidas defensivas, como analizar el patrón de inicio de sesión de una persona o su ubicación. Anotar para cada regla la técnica que vigila y la contramedida que ejerce ayuda a explicar por qué existe, no solo qué busca. Cada contramedida tiene su propio identificador, que empieza por D3-.

Abre notas-de-contramedidas.txt. El equipo solo anotó una regla por ahora.