Mapear amenazas a técnicas de ATT&CK para la nube

MITRE ATT&CK es una base de conocimiento de tácticas (el objetivo de un paso: acceso inicial, persistencia, exfiltración…) y técnicas (la forma de lograrlo), construida con observaciones del mundo real. Para la nube, el marco empresarial incluye técnicas aplicables a plataformas como IaaS, SaaS y suites de oficina. Cada técnica tiene un identificador como T1530 o T1078.004 (el punto indica una subtécnica), una descripción, fuentes de datos y notas de detección y de mitigación.

Mapear una amenaza a una técnica no la hace más grave ni más probable. Lo que aporta es un lenguaje común con el equipo de detección y la capacidad de preguntar: para esta técnica, ¿qué registros la dejarían ver y quién los mira?

El registro de amenazas de Higuerón asigna una técnica a cada amenaza, y detecciones.txt lista las reglas de detección que existen con la técnica que cada una cubre. Una amenaza mapeada a una técnica sin ninguna regla activa es un hueco de visibilidad: si ocurre, nadie lo notará.

Abre el laboratorio, compara los dos archivos y busca la técnica del registro que no figura en ninguna regla.

Una regla puede estar activa o no. Para medir la cobertura se cuentan las amenazas cuya técnica tiene al menos una regla activa. Contar no dice si la regla es buena, pero sí dice dónde hay cero.

La táctica dice para qué se usa la técnica: obtener acceso, mantenerse, recopilar datos, sacarlos de la organización, causar un impacto. Leerla ayuda a ordenar las amenazas en una historia: cuántas se refieren al comienzo, cuántas al daño. En el registro de Higuerón cada fila trae su táctica.

Busca la amenaza cuya técnica pertenece a la táctica de exfiltración, el paso en que los datos salen de la organización.