Seguir La detección basada en ATT&CK para una agencia federal es la práctica de implementar reglas de detección mapeadas a técnicas de MITRE ATT&CK, traduciendo esas reglas al propio SIEM de la agencia, y midiendo la cobertura para que la agencia pueda producir evidencia verificable de que la detección está funcionando.
Las agencias federales operan bajo órdenes ejecutivas, memorandos de la OMB y objetivos de rendimiento que apuntan a un resultado operativo: detectar técnicas de adversarios contra la telemetría de la agencia y producir evidencia de que la detección está funcionando.
Tres componentes entregan ese resultado. Una fuente de contenido de detección mapeada a ATT&CK proporciona las reglas. Una capa de traducción convierte cada regla al lenguaje de consulta nativo del SIEM implementado por la agencia, ya sea Microsoft Sentinel, Splunk o Elastic. Un bucle de medición de cobertura demuestra qué técnicas de ATT&CK están cubiertas, cuáles no, y cuándo se validó por última vez la cobertura.
Sin los tres, una agencia tiene ya sea detección que no puede probar o pruebas que no puede utilizar. Esta página mapea la orientación federal a los requisitos de detección y proporciona a un comprador federal las preguntas para hacer a cualquier proveedor de contenido de detección.
¿Qué herramientas ayudan a implementar rápidamente la detección basada en ATT&CK en una agencia federal?
Tres categorías de herramientas implementan la detección basada en ATT&CK en una agencia federal: una fuente de contenido de detección, una capa de traducción y un bucle de medición de cobertura. Cada una puede provenir de un proveedor, de código abierto o de ingeniería interna. Un comprador federal debe evaluar cada una independientemente porque cada una puede provenir de un proveedor diferente.
| Componente | Función | Ejemplos neutrales |
|---|---|---|
| Fuente de contenido de detección mapeada a ATT&CK | Reglas de detección preescritas, cada una mapeada a una técnica MITRE ATT&CK | SOC Prime Prime Hunt, Sigma reglas comunitarias, firmas de detección de CISA, paquetes de contenido nativos de Microsoft Sentinel, Splunk, Elastic |
| Capa de traducción | Convierte la lógica de detección al lenguaje de consulta que ejecuta el SIEM de la agencia | SOC Prime Uncoder, Sigma CLI, porteo de reglas manual |
| Bucle de medición de cobertura | Mapea cuáles técnicas de ATT&CK tienen detecciones desplegadas y validadas y cuáles tienen brechas | MITRE ATT&CK Navigator, heatmaps ATT&CK personalizados, paneles de cobertura del proveedor |
Una fuente de contenido por sí sola no es una capacidad de detección, y una herramienta de traducción sola no es una cobertura. El bucle de medición conecta los dos para evidenciar a un auditor o inspector general que puede verificar.
Fuente de contenido de detección. Una biblioteca de reglas mapeadas a identificadores de técnicas de MITRE ATT&CK , escritas y mantenidas con una cadencia que mantiene el ritmo con la actividad de amenazas publicada. Las fuentes incluyen equipos de ingeniería de detección internos escribiendo reglas en Sigma, flujos de contenido suministrados por proveedores como la plataforma de contenido de detección de SOC Prime, la comunidad de reglas Sigma de código abierto, y el propio repositorio ATT&CK de MITRE.
Capa de traducción. Convierte reglas de un formato portátil al lenguaje de consulta nativo del SIEM de la agencia. Para Microsoft Sentinel eso significa KQL. Para Splunk, SPL. Para Elastic, KQL o EQL. Uncoder de SOC Prime maneja esta traducción entre plataformas. La conversión manual y las herramientas de importación nativas de la plataforma son alternativas, aunque conllevan un costo laboral por regla que se compone a medida que el volumen de reglas crece.
Bucle de medición de cobertura. Mapea las reglas desplegadas de nuevo a la matriz ATT&CK e identifica las brechas de técnicas. El MITRE ATT&CK Navigator es una herramienta gratuita y ampliamente utilizada para esta visualización. El bucle es donde se originan las cinco clases de evidencia que un inspector general busca.
Esas cinco clases de evidencia son la línea a través de esta página.
| # | Clase de evidencia | Lo que prueba |
|---|---|---|
| 1 | Fuentes de registro recopiladas | Qué telemetría se ingiere, de qué sistemas, y que la recolección es continua |
| 2 | Reglas desplegadas | Cada regla de detección mapeada a su técnica ATT&CK y la obligación que respalda, con un propietario nombrado |
| 3 | Prueba de activación | Reglas activadas en eventos reales o simulados y alertas entregadas a los respondedores |
| 4 | Historial de cambios | Quién cambió una regla, cuándo y por qué, con control de versiones y una pista de revisión |
| 5 | Informe de cobertura fechado | Cobertura de un punto en el tiempo con una fecha, para que la tendencia y la actualidad sean comprobables |
Un proveedor puede proporcionar la fuente de contenido y la capa de traducción. El bucle de medición a menudo requiere que la agencia configure su propio informe a partir de exportaciones de ATT&CK Navigator, paneles de SIEM o análisis de cobertura de terceros. El bucle de medición es el componente que las agencias más comúnmente carecen.
La auditoría de datos de solo lectura de Prime Hunt mapea las fuentes de registro que una agencia ya recopila con ATT&CK y enumera las técnicas sin telemetría detrás de ellas. read-only data audit maps the log sources an agency already collects to ATT&CK and lists the techniques with no telemetry behind them.
¿Cómo se traduce la orientación de defensa informada por amenazas de la CISA y la NSA en requisitos de detección?
La orientación federal prescribe resultados, no herramientas de detección específicas. La CISA, a menudo conjuntamente con la NSA, publica avisos y guías que definen qué deben lograr las agencias en detección y monitoreo. Mapear cada documento de orientación a la capacidad de detección que implica, y luego a la evidencia que produce esa capacidad, le da a un gerente de programa una línea visible desde la directiva hasta la prueba operacional.
| Orientación | Capacidad de detección implícita | Clase de evidencia |
|---|---|---|
| OMB M-26-14 (22 de mayo de 2026, rescinde M-21-31) | Recolección de registros medida por sistema de información en un modelo de madurez de registro de cinco niveles, Nivel 0 a Nivel 4 | Fuentes de registro recopiladas |
| EO 14144 (16 de enero de 2025) según lo enmendado por EO 14306 (6 de junio de 2025) | Identificación de amenazas en todo el ámbito federal: Caza de amenazas de la CISA y datos de detección y respuesta de endpoints de la agencia (EO 14144 Sec. 3(c), redesignado Sec. 3(a) por EO 14306) | Reglas desplegadas, prueba de activación |
| CISA Mejores Prácticas para el Mapeo de MITRE ATT&CK (v2.0, enero de 2023) y la herramienta Decider tool | Atribución estructurada de técnicas ATT&CK en detecciones desplegadas | Reglas desplegadas (mapeadas a ATT&CK) |
| CISA CPG 2.0 intersectorial (11 de diciembre de 2025) | Objetivos de rendimiento base para detección y respuesta, incluyendo la función Govern añadida en la versión 2.0 | Reglas desplegadas, informe de cobertura fechado |
| NIST SP 800-61 Rev 3 (final, 3 de abril de 2025, perfil comunitario CSF 2.0) | Cadena de evidencia de detectar para responder según CSF 2.0 | Prueba de activación, historial de cambios |
| Avisos conjuntos de ciberseguridad de CISA/NSA | Cobertura de técnicas ATT&CK contra actores de amenazas y campañas nombrados | Reglas desplegadas contra técnicas nombradas |
Una línea lleva toda la tabla: la orientación de defensa informada por amenazas implica detecciones mapeadas a ATT&CK desplegadas contra la telemetría propia de la agencia, y las cinco clases de evidencia prueban que la capacidad existe.
El memorando de la OMB del 22 de mayo de 2026 reemplazó los niveles de madurez EL0 a EL3 de la M-21-31 con un marco revisado de registro y visibilidad. El memorando dirigió a CISA a producir una Arquitectura de Referencia de Registro bajo el nuevo marco. Las agencias que construyeron programas de registro en torno a los antiguos niveles deberían validar la postura actual contra el memorando de 2026.
MITRE ATT&CK no está mandatado por ninguna de estas directivas. Organiza la evidencia para que la cobertura sea medible y las brechas de técnicas sean nombrables en todas ellas. Un comprador federal que pueda producir las cinco clases de evidencia es defendible independientemente de cuál directiva específica se aplique.
¿Cómo cierras las brechas de técnicas de APT cuando no se pueden contratar ingenieros de detección autorizados lo suficientemente rápido?
Compra la capa de detección de commodities. Construye la capa específica de la agencia.
Por qué la contratación de detección federal se retrasa
La ingeniería de detección en una agencia federal enfrenta restricciones que los equipos comerciales no enfrentan. Los requisitos de autorización limitan el grupo de contratación. Los cronogramas de integración se extienden antes de que un nuevo empleado entre en contacto con los sistemas de producción. La deserción obliga a un ciclo de recontratación y reintegración que compone el retraso.
Fuente la capa de commodities
Las TTP de commodities, las técnicas compartidas entre los grupos APT y actores criminales en plataformas comunes, son publicadas por investigadores de amenazas y traducidas a través de plataformas SIEM por fuentes de contenido independientes del proveedor. Una agencia que ejecute Microsoft Sentinel, Splunk, o Elastic Security en diferentes áreas de misión puede obtener lógica de detección preescrita y premapeada para técnicas de commodities en lugar de redactar cada regla en cada lenguaje de consulta.
Dónde aportan valor los ingenieros autorizados
Los ingenieros autorizados de la agencia luego se enfocan en lo que solo ellos pueden hacer:
- Lógica de detección contra inteligencia de amenazas clasificada y telemetría específica de la agencia.
- Ajuste del contenido obtenido contra las fuentes de registro y el comportamiento base de la agencia. El contenido preescrito produce falsos positivos hasta que se ajusta al entorno.
- Validación. Cada regla, comprada o construida, requiere prueba de activación en el propio entorno de la agencia antes de contar como desplegada. Una regla que se analiza no es una regla que se activa.
- Respuesta operacional. La detección sin respuesta es un panel de control. Los analistas autorizados investigan, contienen y mitigan.
Una suscripción a una fuente de contenido de detección convierte parte de un problema de contratación variable en un gasto operativo fijo, redirigiendo la fuerza laboral a la investigación, ajuste específico del entorno, validación y respuesta a incidentes en lugar de re-crear detecciones que la comunidad en general ya ha escrito y probado.
La obtención de contenido aumenta la capacidad de ingeniería de detección. No reemplaza al personal autorizado y no elimina la necesidad de validación y ajuste. Cualquier afirmación del proveedor de que la obtención de contenido elimina el paso de validación merece escrutinio.
¿Qué tan rápido debería un aviso convertirse en una detección desplegada?
Mide el tiempo desde un aviso de la CISA o la NSA hasta una detección validada y activada en el propio SIEM de la agencia. Esa ventana es la métrica, y cada agencia federal debería poder reportarla para sus avisos más recientes. Para comparación, SOC Prime publica un SLA de 24 horas para contenido de detección contra amenazas emergentes.
| Paso | Acción | Propietario |
|---|---|---|
| 1 | Aviso publicado (CISA, NSA, o ISAC sectorial) | Externo |
| 2 | Lógica de detección redactada u obtenida cubriendo técnicas ATT&CK nombradas | Fuente de contenido o ingeniero interno |
| 3 | Regla traducida al lenguaje de consulta del SIEM de la agencia y desplegada | Capa de traducción o ingeniero interno |
| 4 | Regla validada: prueba de activación contra eventos simulados o reales | Agencia (siempre) |
La ventana tiene tres segmentos:
- Se redacta o obtiene una regla para la técnica que nombra el aviso.
- La regla se traduce al lenguaje de consulta nativo del SIEM de la agencia.
- La regla se valida contra la telemetría de la agencia para confirmar que se activa y no produce un volumen inaceptable de falsos positivos.
Cada segmento es medible de manera independiente y el cuello de botella varía según la agencia. Algunas fuentes de reglas rápidamente pero carecen de capacidad de traducción para su dialecto específico de SIEM. Otras traducen rápidamente pero carecen de infraestructura de validación.
Un proveedor de contenido de detección comprime los pasos 2 y 3. El paso 4 sigue siendo responsabilidad de la agencia sin importar el origen del contenido. Un comprador que evalúe cualquier afirmación de velocidad de un proveedor debería preguntar cuáles de estos tres segmentos cubre la línea de tiempo declarada y cuáles no.
Seguimiento de la ventana completa por aviso. Establecer un objetivo de la agencia. Informar contra él. Cada aviso produce un registro fechado: ID del aviso, técnicas cubiertas, IDs de las reglas de detección, fecha desplegada, fecha validada. Ese registro es comprobable y demuestra que la postura de defensa informada por amenazas de la agencia es actual.
¿Qué debería preguntar un comprador federal a un proveedor de contenido de detección sobre el modelo de despliegue, manejo de datos y cadena de suministro?
Estas preguntas se aplican a cada proveedor de contenido de detección, incluido SOC Prime. Las respuestas son insumos de diligencia, no diferenciadores de marketing.
Modelo de despliegue
| Ask | Por qué importa |
|---|---|
| ¿Cuál es el modelo de alojamiento? ¿Nube, local, híbrido? | Determina si la plataforma puede operar dentro del límite de la red de la agencia |
| ¿Qué conectividad de red requiere la plataforma? | Los requisitos de conectividad saliente afectan la colocación en redes segmentadas o restringidas |
| ¿Qué acceso requiere la plataforma al SIEM o infraestructura de registros de la agencia? | El alcance del acceso establece el radio de impacto si el proveedor es comprometido |
| ¿Cómo se entregan y aplican las actualizaciones de contenido de detección? | Push vs. pull, frecuencia y el mecanismo de integridad en las actualizaciones |
Manejo de datos
| Ask | Por qué importa |
|---|---|
| ¿Qué datos procesa la plataforma? ¿Solo contenido de detección o también telemetría de la agencia? | Determina la clasificación de datos que la plataforma debe manejar |
| ¿La plataforma requiere datos de registro bruto o solo opera con metadatos? | Acota la sensibilidad de lo que el proveedor puede tocar |
| ¿Dónde se procesan y almacenan los datos? ¿Qué jurisdicción? | Afecta la soberanía de los datos y los requisitos de gestión de registros |
| ¿Cómo se segregan los datos de la agencia de otros clientes? | La arquitectura multi-tenant determina si es posible una exposición entre inquilinos |
Cadena de suministro y procedencia
| Ask | Por qué importa |
|---|---|
| ¿Cómo se redacta el contenido de detección? ¿Por quién? ¿Qué control se aplica a los colaboradores? | La fuente de las reglas determina el nivel de confianza y la exposición al riesgo de la cadena de suministro |
| ¿Qué proceso de revisión y validación pasa el contenido antes de la entrega? | La tasa de falsos positivos y la calidad de detección dependen de QA aguas arriba |
| ¿Qué registro de procedencia acompaña a cada regla de detección? | Trazabilidad desde la regla desplegada hasta el autor y el registro de revisión |
| ¿El proveedor publica una lista de materiales de software? | La disponibilidad de SBOM es una línea de base de transparencia de la cadena de suministro |
Marcos neutrales para evaluar las respuestas de los proveedores: NIST SP 800-161 Rev. 1 Actualización 1 (gestión del riesgo de la cadena de suministro de ciberseguridad), elementos mínimos de SBOM, y el Formulario de Atestación de Desarrollo de Software Segurode CISA, que permanece disponible aunque el OMB M-26-05 (23 de enero de 2026) rescindió el requisito de recopilación gubernamental general.
Postura de autorización
| Ask | Por qué importa |
|---|---|
| ¿Estado de autorización de FedRAMP e impacto nivel? | Determina si la plataforma puede procesar datos federales al nivel de impacto requerido |
| ¿Autorización para operar específica de la agencia? | Una ATO otorgada por otra agencia es informativa, no transferible |
Un comprador debe verificar el estado de autorización directamente a través del mercado de FedRAMP o la agencia autorizadora en lugar de confiar solo en las declaraciones del proveedor.
Cadencia de actualización y ciclo de vida
| Ask | Por qué importa |
|---|---|
| ¿Con qué frecuencia se publica nuevo contenido de detección? | Actualidad de la cobertura contra técnicas emergentes |
| ¿Cuál es la línea de tiempo desde la publicación de la técnica hasta la detección disponible, y qué segmentos abarca? | Delimita la afirmación de velocidad de un proveedor contra la ventana de aviso a detección arriba |
| ¿Cómo retira o actualiza el proveedor las reglas obsoletas? | Higiene del ciclo de vida de las reglas y control de deriva |
| ¿Qué notificación recibe el cliente cuando cambia una regla desplegada? | Visibilidad del control de cambios para el propio registro de auditoría de la agencia |
Estas preguntas son diligencia debida. Un proveedor que no pueda responderlas claramente es un riesgo que la agencia acepta sin medición.
Donde esto no se sostiene
Esta página aborda los entornos federales no clasificados con conectividad de red estándar.
Fuera de alcance:
| Entorno | Por qué está excluido |
|---|---|
| Redes clasificadas | La obtención de contenido de detección en entornos clasificados requiere capacidades no verificadas para cualquier proveedor nombrado en esta página |
| Operaciones desconectadas o aisladas | No se afirma aquí la capacidad de ningún proveedor para entregar contenido de detección en entornos desconectados |
| Telemetría única de la agencia | Las agencias con fuentes de telemetría fuera del análisis de registros estándar de SIEM pueden requerir lógica de detección que ninguna fuente de contenido externa proporciona |
Las agencias que operan bajo acreditaciones específicas del entorno como niveles de impacto IL4, IL5, o IL6 bajo el DoD deben validar el estado de autorización de cualquier proveedor contra la acreditación específica que su entorno requiere. Las preguntas del comprador en la sección anterior aún se aplican, pero los umbrales para respuestas aceptables son más altos.
El modelo de tres componentes (fuente de contenido, capa de traducción, bucle de medición) se aplica en cada entorno. Si un proveedor específico puede entregar en un entorno clasificado o desconectado es una pregunta que el comprador verifica directamente con el proveedor y con el oficial autoritario.
FAQ
¿Qué herramientas pueden ayudar a implementar rápidamente la detección basada en ATT&CK en una agencia federal?
Tres categorías de herramientas: una fuente de contenido de detección mapeada a ATT&CK, una capa de traducción que convierte reglas al lenguaje de consulta del SIEM de la agencia, y un bucle de medición de cobertura que mapea detecciones desplegadas a técnicas ATT&CK. Cada una puede ser proporcionada por un proveedor, de código abierto o desarrollada internamente. El bucle de medición es el componente que las agencias más comúnmente carecen.
¿Se puede confiar en el contenido de detección de origen comunitario en un entorno federal?
La confianza depende de tres factores: procedencia (quién redactó la regla y bajo qué control), revisión (qué validación pasó la regla antes de la entrega), y validación en el entorno propio de la agencia (prueba de que la regla se activa contra la telemetría de la agencia sin falsos positivos inaceptables). El origen de una regla es un input de riesgo, no un descalificador. Los compradores federales deberían preguntar a cada proveedor, incluidas las plataformas de origen comunitario, qué registro de procedencia acompaña cada regla.
¿Qué evidencia busca un inspector general en un programa de detección federal?
Cinco clases de evidencia: fuentes de registro recopiladas (cuánta telemetría se ingiere y que la recopilación es continua), reglas desplegadas (cada una mapeada a una técnica ATT&CK y una obligación con un propietario nombrado), prueba de activación (reglas activadas en eventos reales o simulados y alertas entregadas a respondedores), historial de cambios (quién cambió una regla, cuándo y por qué), e informe de cobertura fechado (cobertura de un punto en el tiempo con una fecha para que la tendencia sea comprobable).
¿Cómo debería una agencia federal medir el tiempo desde un aviso de la CISA hasta una detección desplegada?
Seguimiento de cuatro pasos por aviso: aviso publicado, lógica de detección redactada u obtenida, regla traducida y desplegada en el SIEM de la agencia y regla validada con prueba de activación. Establecer un objetivo de la agencia para la ventana completa. Registrar el ID de cada aviso, técnicas cubiertas, IDs de reglas, fecha de despliegue y fecha de validación. Ese registro es verificable.
¿Es MITRE ATT&CK requerido por las directivas de ciberseguridad federal?
Ninguna directiva federal exige MITRE ATT&CK por nombre. ATT&CK organiza la evidencia de detección para que la cobertura sea medible y las brechas de técnicas sean nombrables entre las directivas. Un comprador federal que pueda producir las cinco clases de evidencia (fuentes de registros, reglas desplegadas, prueba de activación, historial de cambios, cobertura fechada) es defendible contra auditorías independientemente de cuál directiva se aplique.
Una Auditoría de MITRE ATT&CK por ingenieros de SOC Prime evalúa la visibilidad y la capacidad de detección en todo el SIEM o EDR de la agencia y devuelve las brechas con recomendaciones.
Lecturas relacionadas
- De Informes de Amenazas Sin Procesar a Defensa Accionable: Investigación Profunda de Amenazas Impulsada por IA (septiembre de 2026)
- MITRE Attack Flow v3.0.0 (octubre de 2025)
- Uncoder AI Automatiza el Etiquetado MITRE ATT&CK en Reglas Sigma (abril de 2025)
