Cómo se leen ATT&CK y D3FEND

MITRE ATT&CK es una base de conocimiento de tácticas y técnicas que los adversarios han usado, construida a partir de observaciones reales. La táctica es el porqué (el objetivo del adversario en ese momento: conseguir acceso, moverse, sacar datos) y la técnica es el cómo. Cada técnica tiene un identificador, por ejemplo T1071 y, si la hay, una subtécnica como T1071.004.

MITRE D3FEND es un catálogo de técnicas defensivas. Sus técnicas se agrupan en tácticas defensivas: Model, Harden, Detect, Isolate, Deceive, Evict y, en las versiones recientes, Restore. Los identificadores empiezan por D3-. D3FEND se relaciona con ATT&CK a través de los artefactos digitales que unas y otras tocan (un flujo de red, un nombre de dominio, un proceso).

Un detalle práctico: los dos catálogos cambian de versión y de contenido. Lo que se anota en un mapa es la versión consultada, porque un identificador o una táctica pueden moverse entre versiones.

Una ficha de ATT&CK dice el nombre, el identificador y la táctica a la que pertenece la técnica. Una misma técnica puede aparecer en más de una táctica; la hoja del equipo anota la que importa para su perímetro.

Consulta tecnicas_attack y busca la técnica de la que habla la pregunta.

Las fichas de D3FEND también llevan nombre, identificador y táctica. Muchos nombres se parecen entre sí (analizar tráfico, analizar tráfico de DNS), y el identificador es lo que evita confundirlos en un informe.

Consulta contramedidas_d3fend.

La hoja_de_trabajo enlaza cada técnica con una contramedida y dice si esta sirve para prevenir o para detectar. Una técnica puede aparecer varias veces, una por cada contramedida.

Cuenta técnicas distintas, no filas.

La correspondencia de la hoja dice que una contramedida aplica a una técnica. No dice que esa contramedida esté instalada, encendida ni que funcione. Esa distinción es el centro de todo el módulo.