¿Cómo usarías el framework MITRE ATT&CK para mejorar tu cobertura de detección?
Respuesta breve
ATT&CK es una base de conocimiento de tácticas y técnicas adversarias del mundo real. En un SOC mapeas cada regla de detección a las técnicas que cubre, construyes un mapa de cobertura (a menudo con el ATT&CK Navigator) y luego priorizas cerrar las brechas según qué técnicas son más relevantes para tu modelo de amenazas y sobre cuáles no tienes visibilidad alguna.
MITRE ATT&CK se ha convertido en el lenguaje común para hablar del comportamiento de los atacantes, así que los entrevistadores esperan que un analista de SOC sepa más que solo el nombre. La buena respuesta conecta ATT&CK con un flujo de trabajo concreto para mejorar la detección.
Qué es realmente ATT&CK
ATT&CK es una base de conocimiento curada de cómo operan los adversarios reales, organizada en tácticas (el objetivo del atacante, como Persistencia o Lateral Movement) y técnicas (la forma específica de lograrlo, como tareas programadas o pass-the-hash). Cada técnica tiene documentación, ideas de detección y referencias a los grupos que la usan. Describe comportamientos, no firmas, lo que la hace duradera a medida que el malware cambia.
Mapear detecciones a técnicas
El uso central en el SOC es el mapeo. Para cada regla de detección que mantienes, etiqueta la o las técnicas que cubre. Una vez mapeadas tus reglas, puedes superponerlas sobre la matriz ATT&CK —el ATT&CK Navigator es la herramienta habitual— y ver al instante qué técnicas están bien cubiertas, débilmente cubiertas o son invisibles.
Priorizar las brechas
No puedes detectarlo todo a la vez, así que prioriza. Pondera las brechas según tu modelo de amenazas: qué técnicas usan realmente los grupos que atacan tu sector, cuáles se asignan a tus sistemas más valiosos y dónde no tienes telemetría alguna. Cerrar una brecha de alta probabilidad con una fuente de datos viable supera a perseguir una técnica exótica que nunca verás.
Impulsar también las investigaciones
ATT&CK también estructura las investigaciones: una vez que confirmas una técnica, puedes plantear la hipótesis de las tácticas adyacentes que un atacante intentaría a continuación y cazarlas.
Por qué importa
Usar ATT&CK transforma «tenemos muchas reglas» en «esta es nuestra cobertura medida y nuestro plan para mejorarla». Ese paso de la actividad a resultados medibles es exactamente lo que los entrevistadores buscan en alguien capaz de crecer hacia el detection engineering.
Posibles preguntas de seguimiento
- ¿Cuál es la diferencia entre una táctica y una técnica en ATT&CK?
- ¿Cómo priorizarías qué brechas de técnicas cerrar primero?
- ¿Qué es el ATT&CK Navigator y cómo lo usarías?