Bienvenida al curso · MITRE ATT&CK para defensores

Un boletín de amenazas (ficticio) llega al SOC de una cooperativa en San José: "El grupo obtuvo acceso con credenciales válidas de VPN, creó una tarea programada para mantenerse en el equipo y extrajo los archivos a un servicio de almacenamiento en la nube". La gerencia pregunta si están cubiertos.

Traducido a ATT&CK, la pregunta se vuelve concreta:

Frase del boletín                         Técnica ATT&CK
credenciales válidas de VPN               T1078      Valid Accounts
tarea programada para persistir           T1053.005  Scheduled Task
extracción a almacenamiento en la nube    T1567.002  Exfiltration to Cloud Storage

Ahora se puede revisar, técnica por técnica, si hay telemetría y una regla probada. Un resultado típico: la tarea programada se detecta, el inicio de sesión de VPN se registra pero nadie lo mira, y la exfiltración no se ve.

Bienvenido a MITRE ATT&CK para defensores. Va a usar el marco común de los equipos de defensa para traducir informes a técnicas, medir qué detecta su organización y mostrarlo a la dirección en un mapa de colores que no mienta.

Qué va a lograr

Distinguir tácticas, técnicas, sub-técnicas y procedimientos.
Mapear un informe a técnicas con evidencia y nivel de confianza, y guardarlo como capa en ATT&CK Navigator.
Medir la cobertura de sus detecciones y priorizar los huecos según su región y sector.
Combinar mitigaciones, D3FEND y reglas Sigma para cerrar esos huecos.
Probar detecciones con Atomic Red Team en su VM y comunicar los resultados en un resumen ejecutivo.

Para quién es y qué necesita

Es para analistas de SOC que empiezan o que apuntan a inteligencia de amenazas o detecciones. Conviene haber hecho Introducción al SOC: su primer turno como analista. No necesita programar.

Los tres primeros módulos solo piden un navegador. Para el módulo 4 necesita una VM Windows 10 u 11 de evaluación con Sysmon; la píldora Su primera máquina virtual en 40 minutos le guía.

Cómo está organizado

Módulo	Qué aprende	Laboratorio
1. Fundamentos de ATT&CK	Qué es ATT&CK, matrices, tácticas, técnicas, grupos, software, mitigaciones y datos	Navegar `attack.mitre.org` y armar la ficha de una técnica
2. Leer y mapear	Mapear informes a técnicas, ATT&CK Navigator y sus capas, casos ambiguos y control de calidad	Construir una capa a partir de un informe ficticio
3. Usar ATT&CK para defender	Cobertura de detecciones, priorización por región, mitigaciones, D3FEND y Sigma	Evaluar la cobertura y elegir tres huecos
4. Emulación y medición	Planes de emulación, Atomic Red Team, purple teaming y comunicación a dirección, más la conclusión	Mini purple team en su VM y resumen ejecutivo
Evaluación	6 preguntas sobre todo el curso	Aprueba con 70 %

Cómo aprovecharlo

Los laboratorios están encadenados: la capa del módulo 2 es la que evalúa en el 3, y los huecos que elige en el 3 son los que prueba en el 4. Guarde cada capa que exporte de Navigator.

El laboratorio de mapeo es el más difícil. Una frase puede encajar en dos técnicas, y la tentación es marcar las dos. El curso le pide elegir una y anotar evidencia y confianza: una capa llena de técnicas "por si acaso" se ve completa y no sirve para decidir nada.

Al aprobar la evaluación final recibe el certificado y la insignia.

Tiempo estimado

Unas 5 horas, hora y media en laboratorios. Haga los laboratorios 2, 3 y 4 en la misma semana.