Tácticas que dejan huella en la red

Las tácticas de ATT&CK describen objetivos del adversario; algunas se cumplen casi siempre con tráfico (acceso inicial por un servicio expuesto, mando y control, exfiltración) y otras suelen resolverse dentro de un equipo (ejecución local, ciertas formas de persistencia). Para un mapa de perímetro, la pregunta útil es qué parte de la técnica cruza un punto donde hay un sensor.

Una técnica sin huella de red no sale del mapa: se pasa a otro mapa, el de los equipos, donde la telemetría es distinta. Lo que no se debe hacer es marcarla como cubierta por el perímetro.

Cada fuente de red guarda sus registros un número de días. Una huella que dejó rastro hace tres semanas puede ya no existir. La retención condiciona qué técnicas se pueden investigar hacia atrás.

Consulta fuentes_de_red.

La tabla huella_esperada dice, por técnica, qué fuente de red la vería y qué rastro dejaría, y si en Marea Alta esa fuente existe: si, parcial o no. Una fuente que no existe deja la técnica sin ojos aunque el rastro sea claro.

«Parcial» quiere decir que la fuente existe pero no cubre todo el trayecto: un segmento sin sensor, una retención corta o un enlace sin registro. Para el informe interesa cuántas técnicas no tienen visibilidad completa.

Gran parte del tráfico de hoy viaja cifrado. Eso no deja a la defensa ciega: el cifrado oculta el contenido, pero las conexiones siguen teniendo origen, destino, duración, volumen y ritmo, y el registro de nombres sigue viendo qué se preguntó.