Marco MITRE ATT&CK para detección y respuesta

MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) es una base de conocimientos de acceso global sobre tácticas y técnicas de adversarios del mundo real, basada en inteligencia sobre amenazas observadas. Mantenida por la organización sin ánimo de lucro MITRE Corporation, está organizada como una matriz con las tácticas (los objetivos del atacante) en la parte superior y las técnicas (los métodos utilizados para lograr esos objetivos) en las filas. ATT&CK no es una lista de comprobación ni un marco de cumplimiento: es un modelo descriptivo de cómo actúan realmente los atacantes, derivado de informes de incidentes, inteligencia sobre amenazas y ejercicios de red team. Se ha convertido en la lingua franca del sector de la seguridad para describir el comportamiento de los atacantes.

La Enterprise Matrix de ATT&CK contiene 14 tácticas que representan los objetivos de alto nivel del atacante: Reconnaissance, Resource Development, Initial Access, Execution, Persistence, Privilege Escalation, Defense Evasion, Credential Access, Discovery, Lateral Movement, Collection, Command and Control, Exfiltration e Impact. Cada táctica contiene varias técnicas (métodos específicos), y muchas técnicas tienen subtécnicas para descripciones más detalladas. Por ejemplo, la táctica Persistence contiene la técnica T1053 (Scheduled Task/Job), con subtécnicas para Windows Task Scheduler, cron y los programadores de tareas en la nube.

ATT&CK incluye una base de datos de Groups que cataloga grupos de actores de amenazas conocidos (por ejemplo, APT28, APT41, Lazarus Group y Sandworm), junto con las técnicas específicas que se ha observado que utiliza cada grupo. Esto permite a los defensores preguntarse: «Operamos en un sector al que APT41 dirige sus ataques; ¿cuáles de sus técnicas conocidas todavía no detectamos?». ATT&CK también cataloga Software (herramientas de malware específicas, como Cobalt Strike, Mimikatz y Empire) y las vincula con las técnicas que implementan. Esto ayuda a los analistas a comprender rápidamente las capacidades del malware identificado en un incidente al consultarlo en la base de datos de software de ATT&CK.

ATT&CK Navigator es una herramienta web que muestra la matriz ATT&CK y permite a los equipos asignar colores a las técnicas en función de la cobertura de detección, el uso por parte de actores de amenazas o los resultados de las pruebas. Casos de uso habituales: cobertura de red team: marcar las técnicas que se probaron correctamente en un ejercicio de red team; cobertura de detección: marcar las técnicas para las que se han implementado reglas de SIEM o detecciones de EDR; superposición de actores de amenazas: importar el perfil de un actor de amenazas para resaltar todas las técnicas asociadas a un grupo APT específico y comprobar de inmediato cuáles no se detectan. Navigator genera un análisis de brechas que muestra dónde tienen puntos ciegos sus defensas.

ATT&CK impulsa la búsqueda de amenazas estructurada al proporcionar hipótesis concretas: en lugar de buscar «actividad sospechosa», los analistas preguntan: «¿Hay indicios de T1003.001 (OS Credential Dumping: LSASS Memory) en nuestro entorno?». Cada técnica de ATT&CK incluye orientaciones para la detección que enumeran fuentes de datos específicas (eventos de procesos, registros de eventos de Windows, tráfico de red y modificaciones del registro), así como los indicadores que se deben buscar. Esto convierte la intuición imprecisa de la búsqueda en consultas de datos específicas que pueden escribirse en Splunk, KQL (Microsoft Sentinel) o Elastic. Los equipos de búsqueda documentan sus resultados y cierran las brechas creando reglas de detección para las técnicas descubiertas que no contaban con cobertura previa.

Durante un incidente y después de este, asignar las acciones del atacante a técnicas de ATT&CK ofrece varias ventajas: claridad en la comunicación: en lugar de describir las acciones del atacante con términos improvisados, los analistas utilizan identificadores de técnicas estandarizados que cualquier profesional de la seguridad comprende; reconstrucción de la cronología: el orden de las tácticas de ATT&CK refleja el de la cadena de ataque, lo que ayuda a organizar las pruebas cronológicamente; intercambio de inteligencia sobre amenazas: los IoC y TTP etiquetados con ATT&CK pueden compartirse con otras organizaciones y centros ISAC mediante formatos STIX/TAXII legibles por máquinas; y mejora de la detección: cada técnica asignada que no contaba con detección previa se convierte en candidata para una nueva regla de SIEM o para ampliar la cobertura de EDR.

Los planes de emulación de adversarios utilizan ATT&CK para diseñar ejercicios de equipos rojos que replican las TTP específicas de un grupo de amenazas conocido. MITRE proporciona planes de emulación de adversarios gratuitos para grupos como APT3, APT29 y FIN6, con procedimientos paso a paso que corresponden a su comportamiento en el mundo real. Herramientas como CALDERA (la plataforma automatizada de emulación de adversarios de MITRE), Atomic Red Team (scripts de prueba portables para una sola técnica) y Cobalt Strike (C2 comercial para equipos rojos) permiten ejecutar técnicas de ATT&CK en un entorno controlado. Los resultados muestran directamente qué técnicas evaden las detecciones existentes.

La ingeniería de detección utiliza ATT&CK para crear reglas de detección de forma sistemática. Para cada técnica, ATT&CK enumera: las fuentes de datos necesarias para detectarla (registros de eventos de Windows, eventos de Sysmon, registros de red y telemetría de EDR), los indicadores de detección (nombres de procesos específicos, patrones de línea de comandos y rutas del registro) y los posibles falsos positivos. Una regla de detección debe asociarse a un identificador de técnica específico de ATT&CK para poder realizar un seguimiento de la cobertura. Proveedores como Splunk (ES Content Update), Elastic (reglas de detección de SIEM) y Sigma (formato de reglas independiente de la plataforma) publican reglas de detección asignadas a ATT&CK que pueden implementarse y personalizarse.

MITRE ha ampliado ATT&CK más allá de las tecnologías de la información empresariales para cubrir otros entornos: ATT&CK for ICS (sistemas de control industrial), que abarca SCADA, PLC y entornos OT dirigidos por amenazas como Industroyer y TRITON; y ATT&CK for Mobile, que abarca técnicas de ataque contra Android e iOS, incluidas técnicas relacionadas con aplicaciones maliciosas, phishing por SMS y explotación de dispositivos móviles. Cada matriz está adaptada a la arquitectura y las amenazas específicas de su entorno. Los candidatos a Security+ deben saber que estas matrices existen y comprender que ATT&CK es un marco en expansión y mantenimiento continuo, que se actualiza trimestralmente con nuevas técnicas descubiertas en entornos reales.

La matriz MITRE ATT&CK y la Cyber Kill Chain de Lockheed Martin tienen objetivos relacionados, pero diferentes. La Kill Chain cuenta con 7 fases de alto nivel (desde el reconocimiento hasta las acciones sobre los objetivos) y resulta útil para describir narrativamente una campaña de ataque a alto nivel. ATT&CK cuenta con 14 tácticas y cientos de técnicas y sub técnicas; es mucho más detallado y práctico para los defensores que escriben reglas de detección. En la práctica, muchas organizaciones utilizan ambos marcos: la Kill Chain para la comunicación con ejecutivos y las descripciones de campañas, y ATT&CK para la ingeniería técnica de detección y el análisis de brechas. Security+ espera que comprenda ambos marcos.

Durante la respuesta activa a un incidente, ATT&CK acelera la investigación al sugerir qué buscar a continuación. Si ha confirmado T1059.001 (ejecución de PowerShell), ATT&CK le indica técnicas posteriores habituales: T1105 (Ingress Tool Transfer: descarga de herramientas adicionales), T1003 (Credential Dumping: paso siguiente después de la ejecución) y T1071 (C2 mediante Application Layer Protocol: PowerShell se conecta a la infraestructura del atacante). Esto da lugar a una investigación basada en hipótesis: la técnica A confirmada sugiere la técnica B; busque B y, si la encuentra, confirmará el patrón de ataque y sugerirá la técnica C. Así, las investigaciones son más rápidas y sistemáticas que la exploración de datos sin una dirección definida.

En esta lección ha aprendido que MITRE ATT&CK organiza el comportamiento de los adversarios en 14 tácticas y cientos de técnicas y sub técnicas basadas en observaciones del mundo real, y sirve como estándar del sector para describir las TTP de los atacantes; que ATT&CK Navigator permite realizar análisis visuales de brechas superponiendo perfiles de actores de amenazas a la cobertura de detección para establecer prioridades sobre lo que se debe crear; y que ATT&CK impulsa la ingeniería de detección, la búsqueda de amenazas y la respuesta a incidentes al proporcionar fuentes de datos, indicadores y sugerencias específicas para encadenar técnicas. A continuación, revisaremos los dominios del examen SY0-701 y sus ponderaciones para preparar la certificación.