Planificación basada en amenazas

Antes de que MITRE publicara ATT&CK, los equipos ya intentaban representar cómo actuaba un adversario. El problema era compararlos: un informe describía malware, otro herramientas y un tercero fases de una intrusión, pero resultaba difícil relacionar los comportamientos o saber qué parte de una defensa se había probado. ATT&CK aportó un lenguaje común basado en observaciones del mundo real. Sus planes de emulación mostraron después cómo convertir ese lenguaje en secuencias ejecutables.

Ese avance también creó una simplificación tentadora: tratar la matriz como una lista de casillas. La planificación threat-informed utiliza inteligencia sobre amenazas para elegir comportamientos plausibles y conectarlos con un objetivo medible. Una técnica ATT&CK nombra el comportamiento. Todavía faltan sus condiciones iniciales, la implementación concreta, la señal esperada, la telemetría disponible, la alternativa y el estado que debe limpiarse.

La pregunta inicial, por tanto, no es «¿qué técnicas faltan?», sino «¿qué capacidad o control necesita medir la organización y qué adversario ofrece un modelo relevante para hacerlo?». Esa respuesta limita la cadena y evita emular comportamientos llamativos que no guardan relación con el riesgo.

Un objetivo debe poder observarse:

• obtener acceso a una identidad de función concreta
• alcanzar un segmento desde una posición inicial
• acceder a un conjunto de datos simulado
• mantener una sesión bajo determinados controles
• probar detección y escalado de una secuencia
• medir prevención, investigación y recuperación

«Usar C2» describe una capacidad de soporte. Un resultado observable sería demostrar que una identidad concreta puede alcanzar un conjunto de datos simulado a través de los controles previstos, o medir cuánto tarda la organización en investigar y contener esa secuencia.

Para cada paso registra:

La implementación condiciona lo que realmente se mide. PowerShell, WMI, un binario propio o un agente pueden producir comportamientos distintos y telemetría distinta aunque persigan la misma capacidad. Si una detección responde al nombre de una herramienta y la prueba utiliza otra implementación, el resultado habla tanto de la cobertura como de la fidelidad del escenario.

initial position
  -> delivery
  -> execution
  -> command and control
  -> credential or identity access
  -> discovery
  -> lateral movement
  -> objective
  -> cleanup

Cada transición tiene una condición de entrada y otra de salida. Si el delivery llega pero el callback no, el plan distingue filtrado de egress, resolución, TLS, perfil y ejecución. No se salta directamente a otro payload sin conservar el diagnóstico.

Deriva requisitos técnicos del plan:

• protocolos y puertos de egress
• dominios y reputación
• certificados y SNI
• latencia y ancho de banda
• número de agentes
• ventanas y sleep
• transferencia de archivos
• separación por objetivo o fase
• logging y retención
• nodos de reserva
• dependencia de servicios externos

Un team server único puede ser suficiente para un laboratorio. Una operación con varias campañas puede necesitar listeners y redirectors separados para que una exposición no colapse todo el ejercicio.

La planificación ofensiva incluye telemetría porque cambia cómo se interpreta el resultado. Ejemplos:

• proceso sin conexión saliente: fallo antes de C2
• DNS seguido de TLS sin HTTP: diferencia de handshake o certificado
• HTTP 404 en redirector: filtro o ruta no coincidente
• conexión al upstream sin tasking: listener o perfil
• agente activo sin eventos esperados: problema de colección o visibilidad

Define qué equipo puede ver cada señal y cómo se hará deconfliction.

No marques una técnica por haber ejecutado un comando. Registra:

• variante exacta
• plataforma y versión
• privilegio
• posición y usuario
• controles presentes
• resultado preventivo
• resultado de detección
• tiempo hasta triage
• evidencia
• limitación

Una técnica bloqueada puede ser un resultado válido. La alternativa se ejecuta solo si el objetivo necesita avanzar a otra fase.

• MITRE ATT&CK: Enterprise
• MITRE ATT&CK: Adversary Emulation Plans
• MITRE Center for Threat-Informed Defense
• Atomic Red Team