Táctica MITRE ATT&CK
MITRE ATT&CK es una base de conocimiento abierta sobre cómo se comportan atacantes reales, organizada en tácticas (el POR QUÉ — el objetivo de un paso, p. ej. «Persistence») y técnicas (el CÓMO — la forma concreta, p. ej. «Scheduled Task»). El lenguaje común para describir, mapear y defenderse de comportamientos de ataque.
Estructura: la matriz tiene columnas de tácticas (Initial Access, Execution, Persistence, Privilege Escalation, Defense Evasion, Credential Access, Discovery, Lateral Movement, Collection, Command & Control, Exfiltration, Impact) y bajo cada una una lista de técnicas con un ID (T1059 = Command/Scripting Interpreter) y ejemplos reales de cómo las han usado grupos APT. Se diferencia de la kill chain (lineal, de alto nivel) por ser un catálogo detallado y no lineal, basado en comportamiento observado. Se usa para: mapear técnicas detectadas contra TTP conocidas, encontrar huecos en la defensa («¿qué técnicas no podemos detectar?»), threat hunting, y ejercicios red/purple team. El lenguaje estándar de facto en detección y análisis de amenazas modernos. Relacionado con la kill chain y la inteligencia de amenazas.