MITRE ATT&CK

ATT&CK está construida a partir de intrusiones observadas y no de teoría. Su estructura básica tiene dos niveles. Las tácticas responden a por qué un atacante hace algo: entrar, ejecutar código, quedarse, ganar derechos, evitar la detección, llevarse credenciales, orientarse, moverse de lado, recolectar, comunicarse hacia fuera, exfiltrar y causar impacto. Las técnicas responden al cómo, y la mayoría llevan subtécnicas para las variantes concretas.

Todo tiene un identificador, y los identificadores son de lo que va esto. Cuando un informe dice que un intruso usó una técnica concreta, todos los que lo leen entienden lo mismo, pueden buscarla y pueden comprobar si su propia detección la cubre. Eso es lo que le faltaba al sector antes de que existiera, y es la razón de que se haya convertido en el idioma común entre red teams, ingenieros de detección y analistas de inteligencia de amenazas, que si no describen el mismo suceso de tres formas distintas.

Alrededor de ese núcleo, el proyecto publica entradas de grupos conocidos y de herramientas, cada una mapeada contra las técnicas que se les atribuyen, y guía de detección y de mitigación por técnica. Hay matrices separadas para entornos de empresa, para móvil y para sistemas de control industrial, porque las técnicas son de verdad distintas.

Para un defensor, el uso práctico es el mapa de cobertura: coger las técnicas que son relevantes para tu parque y para tu panorama de amenaza y anotar, de cada una, si tienes telemetría, si tienes detección y si se ha probado. La salida es una foto con huecos, expresada en términos que todo el mundo reconoce.

El fallo es convertirla en un marcador. Una matriz coloreada de verde de izquierda a derecha parece progreso y normalmente no lo es, porque la cobertura se reclama a nivel de técnica mientras los ataques ocurren a nivel de subtécnica y de procedimiento. Tener detección para el volcado de credenciales no es tener detección para la forma concreta en que lo hacemos nosotros. En los encargos ejecutamos por rutina una técnica que el mapa de cobertura del cliente daba por cubierta, y no se detecta, porque la regla estaba escrita contra el comportamiento por defecto de una herramienta y nosotros no usamos esa herramienta.

El segundo fallo es el alcance. La base de conocimiento describe lo que se ha observado y atribuido. No es exhaustiva, no es predictiva y no te dice qué va a inventar alguien el mes que viene. Los equipos que la tratan como una lista completa de amenazas construyen una defensa contra el pasado.

El tercero es confundir para qué sirve. ATT&CK es un vocabulario y una referencia; no es un marco de controles y no te dice qué hacer primero. La priorización tiene que salir de tu propio contexto: qué querría un atacante en tu parque, qué tienes que sea alcanzable y qué no sobrevivirías. Un equipo que empiece por la izquierda de la matriz y avance a la derecha se gastará su primer trimestre en técnicas que no se le aplican.

Para lo que sí es excelente es para zanjar discusiones. Cuando un red team dice que se movió de lado y el blue team dice que no vio nada, mapear cada paso contra un identificador de técnica convierte un desacuerdo sobre impresiones en una lista concreta: esta técnica quedó registrada, esta no, esta alertó y nadie actuó. Esa conversación es la útil, y es la base de todos los ejercicios de purple team que hacemos.

Las dos describen una intrusión por etapas y se presentan muchas veces como alternativas. Trabajan a resoluciones distintas y responden preguntas distintas.

Conviven sin problema. La cyber kill chain es la mejor diapositiva para un consejo, porque siete etapas caben en una página y el relato es intuitivo. ATT&CK es la mejor herramienta para quien tenga que escribir una regla, porque un nombre de fase no es algo que se pueda detectar y un identificador de técnica sí.

Informar de la cobertura como un porcentaje de la matriz. El denominador incluye técnicas que no se te pueden aplicar, y el numerador cuenta reglas que no se han probado nunca. Dos números, los dos mal, divididos.

Mapear a posteriori para parecer riguroso. Colgarle identificadores a un informe que ya habías escrito no añade nada. El mapeo sirve cuando decide qué pruebas siguen.

Ignorar el nivel de subtécnica. La cobertura reclamada a nivel de técnica es donde se esconde el hueco. Si la regla solo caza un procedimiento, dilo.

Dar por hecho que una detección mapeada funciona. Una regla que existe y una regla que salta son estados distintos, y la única forma de saber cuál tienes es ejecutar la técnica.

Usarla como modelo de amenazas. Te dice lo que se ha hecho, no lo que te importa a ti. El modelado de amenazas parte de tus activos y de tu diseño; ATT&CK es una entrada suya, no un sustituto.

Empieza estrecho. Elige las técnicas que se corresponden con la forma en que empiezan de verdad las intrusiones en tu sector y en tu parque, que suele ser una lista corta alrededor de identidad, correo y acceso remoto, y ve a fondo en esas en vez de a lo ancho en todas.

De cada una, anota tres estados separados en vez de uno: si se está recogiendo la telemetría, si existe una detección, y si se ha ejecutado y confirmado. La mayoría de los equipos que creen tener cobertura tienen los dos primeros. El tercero es lo que establece un ejercicio, y de ahí sale el número honesto.

Devuelve los resultados a la ingeniería de detección como tareas con su identificador de técnica pegado, para que la lista pendiente sea legible para todos y el avance se pueda medir contra algo concreto. Vuelve a probar después de cambiar de plataforma, porque las actualizaciones rompen reglas en silencio.

Y escribe la inteligencia en el mismo vocabulario. Cuando un informe sobre un grupo relevante para tu sector enumera técnicas, lo puedes comparar directamente con tu cobertura probada, y eso convierte leer inteligencia de amenazas en un plan de trabajo en vez de en una actividad.

Todos los informes de red team y de emulación de adversarios que escribimos mapean cada paso ejecutado contra un identificador de técnica, y el entregable es ese mapeo puesto al lado del resultado de detección del propio cliente: registrado, alertado o actuado. Esa tabla suele ser la página más leída del informe, porque es el único sitio donde el ataque y la defensa se describen en los mismos términos.

Somos explícitos sobre lo que el mapeo no significa. Una técnica que no hemos ejecutado no es una técnica para la que estés cubierto. La cobertura solo se reclama de lo que se probó, y el resto sin probar se lista como no probado en vez de dejarlo en blanco, porque una celda en blanco se lee como verde para quien vea el informe después.

Mapear contra el marco es como estructuramos la emulación de adversarios contra una pila de detección real, y es lo que hace que el ejercicio siguiente sea comparable con el primero.

¿MITRE ATT&CK es un marco de cumplimiento? No. Es una base de conocimiento y un vocabulario. No tiene requisitos, ni niveles, ni nada contra lo que certificarse. Marcos como ISO 27001 o el ENS imponen obligaciones; ATT&CK describe técnica.

¿Cómo medimos nuestra cobertura de ATT&CK con honestidad? Ejecutando técnicas y anotando qué pasó, no contando reglas. De cada técnica, tres respuestas: si quedó registrada, si saltó algo y si alguien actuó. Todo lo que no se ejecute se informa como no probado.

¿Cuál es la diferencia entre una táctica y una técnica? Una táctica es el objetivo del atacante en ese momento, por ejemplo conseguir más privilegios. Una técnica es una forma concreta de lograrlo. Las tácticas son pocas y estables; las técnicas son muchas y crecen con cada actualización.

¿Nos hace falta si ya hacemos pentesting? Hace comparables los resultados. Mapear los pasos de un pentesting contra identificadores de técnica te permite comparar este año con el anterior, comparar la prueba con tus detecciones, y comparar las dos cosas con lo que dice la inteligencia de amenazas sobre tu sector.