ATT&CK ha incorporado una decimoquinta táctica: guía práctica sobre la distinción entre «Stealth» y «Defense Impairment»

Este artículo forma parte de una serie en curso de los especialistas en operaciones de seguridad de primera línea de Sophos, en la que comparten los conocimientos que utilizan para reforzar nuestro servicio de detección y respuesta gestionadas (MDR), líder en el sector, y defender a los clientes frente a las amenazas en constante evolución de la era de la IA.

Si has abierto la matriz Enterprise ATT&CK recientemente, puede que te hayas quedado un poco sorprendido. La conocida columna «Evasión de la defensa» ha desaparecido. En su lugar hay dos tácticas: Stealth (TA0005) y Defense Impairment (TA0112). El modelo Enterprise ahora abarca 15 tácticas en lugar de 14.

Es un cambio en la taxonomía que tiene sentido, pero podría alterar la ingeniería de detección, los guiones de respuesta y la forma en que se describe una intrusión en un informe. Ahora, cualquier contenido asociado a la antigua táctica «Defense Evasion» pertenece a una de estas dos fases, con una intención diferente y, lo que es crucial para los responsables de la respuesta, con huellas forenses distintas.

El cambio tiene sentido a la luz de las tendencias actuales. Los adversarios han recurrido cada vez más a ambas tácticas en los últimos ciclos: «living-off-the-land» para pasar desapercibidos y, a continuación, desactivar agresivamente la telemetría en cuanto necesitan margen para operar. Un marco que trate ambas como una sola táctica hace que sea fácil invertir poco en una mientras se informa en exceso sobre la otra. La división obliga a realizar una auditoría honesta de ambas.

A continuación, te mostraré cómo las nuevas categorías mejoran la claridad y te ofreceré una guía práctica fase por fase, con artefactos y herramientas que puedes usar para adaptarte a las nuevas tácticas esta misma semana.

Por qué separar la táctica «Defense Evasion» del ATT&CK realmente ayuda

La táctica «Defense Evasion» (Evasión de la defensa) agrupaba dos objetivos muy diferentes de los adversarios: permanecer ocultos y desactivar activamente los elementos que, de otro modo, los descubrirían. Separarlos mejora tanto la detección como la respuesta:

• «Stealth» (TA0005) consiste en pasar desapercibido.
  Algunos ejemplos son: manipulación de fechas y horas (discrepancias entre $SI y $FN), flujos de datos alternativos, empaquetado y codificación, y hacerse pasar por binarios legítimos. Las pruebas son sutiles y se encuentran en el sistema de archivos y en el disco.
• «Defense Impairment» (TA0112) consiste en debilitar al defensor.
  Algunos ejemplos son: borrar los registros de eventos de Windows (1102), desactivar Defender manipulando el registro, modificar el firewall o detener los servicios de seguridad. Las pruebas son más evidentes, y los atacantes intentarán destruirlas.

Cuando te atacan a las 2 de la madrugada, la distinción entre «se han escondido» y «nos han cegado» es clave, ya que determina diferentes prioridades de recopilación, plazos distintos y conversaciones diferentes con el cliente.

«Stealth» y «Defense impairment» se manifiestan de forma diferente en el ámbito de la identidad y la nube

El host es solo la mitad del panorama. Las intrusiones modernas se ocultan cada vez más en el ámbito de la identidad y el SaaS utilizando tokens de sesión robados, autorizaciones de OAuth e inicios de sesión que parecen totalmente legítimos. En ese entorno, «Stealth» se manifiesta como un token válido con amplio acceso. «Defense impairment» se manifiesta como alguien que desactiva el acceso condicional o silencia una política de alertas. Normalmente no hay manipulación de fechas ni borrado de registros de eventos. Para el DFIR, las preguntas clave siempre serán: ¿qué han dejado atrás y cómo lo desentraño? Pero en los entornos actuales, los indicios se trasladan a los registros de inicio de sesión, las trazas de auditoría unificadas y la telemetría de los proveedores, y tus herramientas deben adaptarse en consecuencia.

La guía práctica de DFIR sobre las nuevas tácticas de ATT&CK: dos preguntas para cada fase

En lugar de pedirte que vuelvas a aprenderte la matriz Enterprise revisada, la he adaptado a cómo trabajan realmente los responsables de la respuesta. Para cada una de las 15 tácticas, la referencia que aparece a continuación responde a dos preguntas: ¿qué han dejado atrás y cómo lo analizo? La referencia ofrece una visión resumida de los artefactos y las herramientas (ordenadas alfabéticamente). La ficha técnica completa amplía esto a 43 técnicas con fuentes de datos y análisis de detección.

Descarga aquí la hoja de cálculo de la guía práctica.

Las plataformas transversales operan en todas las fases: KAPE y Velociraptor para la clasificación y recopilación, Plaso para las superlíneas de tiempo, y Sigma, YARA y ATT&CK Navigator para la detección y la cartografía de cobertura.

Una guía probada sobre el terreno, nada teórica

Hemos elaborado este mapa a partir de casos reales de Sophos Incident Response. En todos esos casos, se repite el mismo patrón: el rastro ya estaba ahí antes de que saltara la alerta.

• Abuso tras una sesión de MFA, caso de «manos en el teclado». Los indicios de inicio de sesión y la telemetría del host correlacionados en una línea temporal resolvieron el caso, mucho antes de que saltara ninguna alerta..
• Trabajo con ransomware. Los cambios masivos en las extensiones de los archivos, las notas de rescate y la eliminación de copias de sombra constituyeron las pruebas de «Impact», todo ello presente mucho antes de que se activara ninguna herramienta.
• Búsqueda de amenazas. El avance vino de saber qué indicio confirmaría o descartaría una hipótesis para una fase concreta.

Eso es lo que te aporta un enfoque centrado en los indicios. Una alerta te dice que ha pasado algo. Los indicios te dicen qué pasó, cuándo, hasta dónde se extendió y si lo has delimitado bien. Así que toma la división de tácticas como una señal para revisar tu recopilación: ¿puedes demostrar tanto los comportamientos de ocultación como los de enmascaramiento, dado que los atacantes hacen ambas cosas?

El equipo detrás del mapa

Una guía práctica es tan buena como el volumen de casos en los que se basa. El equipo de Respuesta a Incidentes de Sophos gestiona miles de intervenciones cada año, en todos los sectores y regiones. El equipo está formado por profesionales procedentes de CSIRT nacionales, militares y de organizaciones, así como de las fuerzas del orden y los servicios de inteligencia, y cuenta con el respaldo de la inteligencia sobre amenazas de Sophos X-Ops. Esa experiencia en el mundo real y ese volumen de casos son lo que nos permite saber que patrones como el de «primero los artefactos» se mantienen válidos. También es por eso que nuestra mediana del tiempo de permanencia del atacante en casos reales se sitúa ahora en solo tres días. La velocidad de respuesta y el reconocimiento de patrones se potencian mutuamente.

Cómo usar la guía de campo esta semana

1. Vuelve a etiquetar tus detecciones. Cualquier cosa asignada a «Defense Evasion» ahora debería clasificarse como «Stealth» o «Defense Impairment». Esta distinción cambia la forma en que informas sobre la cobertura.
2. Prueba tus recopilaciones actualizadas. Elige unas cuantas fases y confirma que consigues los artefactos de la lista antes de que un incidente ponga de manifiesto cualquier fallo.

3. Pon la lista en práctica. Añade la lista de artefactos a los manuales de triaje y a las plantillas de evaluación de compromisos para que los equipos de respuesta ya la tengan a la vista durante una intervención.

Adjuntamos la matriz completa de 15 tácticas y la hoja de técnicas filtrable. Los equipos que adapten su estrategia de pruebas, y no solo sus etiquetas, serán los que delimiten el alcance más rápido y erradiquen el problema de forma más limpia.

Comparemos notas

La matriz completa de 15 tácticas y la hoja de técnicas filtrables están disponibles aquí para su descarga. Los equipos que adapten su estrategia de recopilación de pruebas, y no solo sus etiquetas, serán los que determinen el alcance más rápido y eliminen la amenaza de forma más eficaz.
_____

¿Incidente activo? Pide ayuda ahora.

Sophos DFIR es un servicio disponible 24/7, tanto para clientes de Sophos como para otros. Solicita asistencia de emergencia en https://www.sophos.com/emergency-response. Iniciamos la incorporación en cuestión de horas y evaluamos a la mayoría de los clientes en un plazo de 48 horas.

¿No tienes un problema urgente? Anticípate.

El Sophos Security Services Retainer (SSR) combina pruebas proactivas, preparación y DFIR garantizado en un único modelo que incluye acuerdos de nivel de servicio (SLA) de respuesta definidos, tarifas negociadas previamente y unidades de servicio para pruebas de penetración, simulacros y mucho más. sophos.com/retainer