Integración con MITRE ATT&CK

Suricatavel se integra de forma nativa con el marco de trabajo MITRE ATT&CK®. Esta integración correlaciona las reglas activas de Suricata y las alertas de seguridad con las tácticas y técnicas utilizadas por los atacantes en el mundo real. Los equipos de seguridad pueden analizar la cobertura defensiva, identificar brechas de detección y visualizar la postura de seguridad directamente desde el panel principal.

Cómo funciona el mapeo

Suricatavel rastrea y correlaciona amenazas dinámicamente a través de dos capas automatizadas:

Escaneo de Metadatos de Reglas: Las reglas de Suricata a menudo contienen referencias de metadatos estructurados (por ejemplo, tag mitre_technique_id T1059). Suricatavel analiza estas etiquetas y enlaza las reglas con las técnicas específicas almacenadas en la base de datos local.
Correlación de Alertas: Cuando se dispara una alerta, esta hereda automáticamente el mapeo MITRE de su regla de origen. Esto decora el payload de la alerta con el ID de técnica, la táctica correspondiente y enlaces directos a la documentación oficial de MITRE.

Preparación de MITRE ATT&CK (Configuración por CLI)

Para activar la correlación MITRE, importe la matriz de ataques y compile los mapeos para sus reglas:

Importar la matriz MITRE: Descargue e ingiera el último paquete Enterprise STIX 2.1 oficial desde el repositorio de MITRE:
Ventana de terminal
```
php artisan mitre:import
```
(Opcional) Para usar un archivo local o un servidor STIX privado, proporcione la opción --source:
Ventana de terminal
```
php artisan mitre:import --source=/ruta/al/archivo/enterprise-attack.json
```
Mapear reglas existentes: Escanee todas las reglas activas de Suricata y enlácelas con sus técnicas correspondientes importadas:
Ventana de terminal
```
php artisan mitre:map-rules
```
(Opcional) Para mapear únicamente las reglas que pertenecen a un feed de amenazas específico:
Ventana de terminal
```
php artisan mitre:map-rules --feed="Emerging Threats"
```

Visualización de cobertura de amenazas

Una vez que la matriz y las reglas están enlazadas, Suricatavel proporciona herramientas visuales de análisis:

Ubicado en el panel principal de monitorización de eventos, este widget de mapa de calor proporciona:

Distribución de tácticas: Agrupación visual de las reglas activas en las tácticas clave (como Acceso Inicial, Ejecución, Persistencia, Exfiltración).
Puntos calientes de técnicas: Destaca qué técnicas tienen mayor cobertura de reglas activas.
Puntos calientes de alertas: Superpone las alertas en tiempo real sobre la matriz, identificando qué tácticas y técnicas se están registrando en su red.

Diagnóstico y validación

Para verificar el estado de su base de datos MITRE y las reglas:

Inspeccionar técnicas activas

Para confirmar que las técnicas se han cargado correctamente, puede ejecutar el comando de importación con su fuente oficial:

# Verifica el total de técnicas y las capacidades detectables en red
php artisan mitre:import --source=https://raw.githubusercontent.com/mitre/cti/master/enterprise-attack/enterprise-attack.json

Comprobación en la interfaz web

Puede inspeccionar reglas y alertas para confirmar que los campos MITRE están poblados:

Tabla de reglas: Abra los detalles de una regla para verificar que las etiquetas de MITRE Techniques muestran las técnicas asociadas (por ejemplo, T1043 - Puerto Utilizado Comúnmente).
Detalle de alerta: Seleccione una alerta para visualizar su categorización de amenazas, el enlace directo a la técnica de ataque y la táctica correspondiente.