Mapeo de ataques con detecciones

MITRE ATT&CK es una base de conocimiento seleccionada de tácticas, técnicas y procedimientos de adversarios observados en el mundo real. Proporciona a los equipos rojo y azul un vocabulario común.

Mapear cada prueba y cada detección a un ID de ATT&CK permite responder con precisión a una pregunta: ¿qué comportamientos del adversario podemos ver realmente?

• Tácticas = el objetivo del adversario (el «por qué»)
• Técnicas = cómo lo consigue (el «cómo»)
• Procedimientos = la implementación específica (el «qué»)

Cada técnica tiene un identificador estable que utilizará en todo el purple teaming.

• T1059 — Intérprete de comandos y scripts (técnica)
• T1059.001 — PowerShell (subtécnica)
• TA0002 — Ejecución (la táctica a la que pertenece)

Una misma técnica puede corresponder a varias tácticas. Por ejemplo, las cuentas válidas (T1078) permiten simultáneamente el Acceso inicial, la Persistencia, la Escalada de privilegios y la Evasión de defensas.

Para detectar una técnica, debe saber qué fuente de datos la revela. ATT&CK enumera las fuentes de datos y sus componentes para cada técnica.

En la ejecución de PowerShell (T1059.001), la telemetría relevante incluye:

• Registro de bloques de script (ID de evento 4104)
• Registro de módulos (ID de evento 4103)
• Creación de procesos con línea de comandos (ID de evento 4688 / Sysmon 1)

Si no se recopila ninguno de estos datos, la técnica será un punto ciego garantizado, por muy buenas que sean sus reglas.

Una técnica es abstracta; lo que se detecta son procedimientos concretos. Elija una implementación realista que un adversario utilizaría en la práctica.

Para T1059.001, un procedimiento habitual con un comando codificado tiene el siguiente aspecto:

Una vez que conoce el artefacto, expresa la lógica de detección. El ejemplo anterior del comando codificado produce un evento de creación de procesos cuya línea de comandos contiene indicadores sospechosos.

Una pseudorregla sería:

Sigma es un formato de detección genérico y neutral respecto al proveedor que se puede compilar para Splunk, Elastic, Sentinel y otros sistemas. Mapear las reglas a ATT&CK permite hacer un seguimiento de la cobertura.

Un fragmento de Sigma para detectar PowerShell con comandos codificados sospechosos:

Para cada técnica incluida en el alcance, registre qué telemetría existe y si se activa una detección. Una fila de cobertura recoge el panorama completo:

• Técnica: T1059.001 PowerShell
• Fuente de datos disponible: Sí (Sysmon 1, 4104)
• Existe una detección: Sí (regla de Sigma)
• Última validación: fecha de la prueba purple
• Resultado: Detectada / Registrada / Punto ciego

Esta tabla, mantenida en una herramienta como VECTR, se convierte en el registro de referencia de su cobertura de detección.

Una trampa habitual consiste en mapear una detección a una técnica, pero basarla en un artefacto frágil y fácil de evadir. Detectar el nombre de una herramienta específica es frágil; detectar el comportamiento es robusto.

• Frágil: generar una alerta para un único nombre de archivo de malware codificado de forma fija
• Mejor: generar una alerta ante el comportamiento; por ejemplo, cuando un proceso se inicia desde winword.exe y lanza cmd.exe

La Pirámide del dolor lo resume: para un atacante es trivial cambiar los hashes y los nombres de archivo, mientras que las TTPs son costosas de modificar. Procure situar las detecciones en la parte alta de la pirámide.

Las intrusiones reales son cadenas, no eventos aislados. Una detección de la cadena completa es mucho más sólida que la de cualquiera de sus enlaces por separado.

Una cadena emulada podría ser:

• T1566.001 Adjunto de spearphishing (Acceso inicial)
• T1059.001 PowerShell (Ejecución)
• T1547.001 Clave de ejecución del Registro (Persistencia)
• T1003.001 Volcado de memoria de LSASS (Acceso a credenciales)

Mapear cada paso le permite ver exactamente en qué punto de la cadena de ataque comienza y termina su visibilidad.

Un mapeo no es más que una afirmación hasta que se prueba. Durante la sesión purple, el equipo rojo ejecuta el procedimiento y el equipo azul confirma que la detección mapeada realmente se activa con la fuente de datos correspondiente.

• Ejecute el procedimiento en una ventana controlada
• Confirme que el ID de evento esperado aparece en la telemetría
• Confirme que la regla genera una alerta (no solo un registro)
• Registre la fecha y el resultado de la validación

Solo después de este ciclo podrá marcar una técnica como realmente cubierta.

ATT&CK Navigator permite representar la cobertura como un mapa de calor coloreado sobre la matriz. Verde para las detecciones, amarillo para las que solo están registradas y rojo para los puntos ciegos.

• Exporte los resultados de su herramienta de seguimiento como una capa de Navigator
• Superponga varias capas (pruebas frente a prioridades de inteligencia de amenazas)
• Comparta el mapa de calor con la dirección para justificar inversiones

Esta representación visual hace que un concepto abstracto como la «cobertura de detección» resulte comprensible de inmediato para las partes interesadas no técnicas.

Compruebe su comprensión del mapeo de ataques con detecciones.

Ahora puede alinear sistemáticamente los ataques con las detecciones:

• Utilice los ID de ATT&CK (táctica, técnica y subtécnica) como lenguaje común
• Identifique la fuente de datos que expone cada técnica
• Elija un procedimiento realista y escriba una lógica basada en el comportamiento
• Exprese reglas portables en Sigma etiquetadas con la técnica
• Apunte a la parte alta de la Pirámide del dolor para evitar detecciones frágiles
• Valide cada mapeo en directo y visualice después la cobertura en Navigator

A continuación, planificará y ejecutará un ejercicio de purple team completo, de principio a fin.