Visualización de la cobertura de tácticas y técnicas de MITRE en el entorno

Visualizar la cobertura de las tácticas y técnicas de MITRE ATT&CK que las reglas proporcionan en IBM® QRadar®. Cuando haya organizado el informe de reglas, podrá visualizar los datos mediante diagramas y mapas de calor, así como exportar los datos para compartirlos con otros usuarios. Se admiten los marcos Enterprise e Industry Control Systems (ICS), y se puede alternar entre ambos. Por defecto se utiliza Enterprise, y se puede cambiar a ICS desde Preferencias de usuario, o en la sección MITRE ATT&CK del panel de filtros.

1. Pulse Acciones de ATT & CK > Mapa de cobertura e informe en la parte superior derecha de la visualización del informe.
2. Seleccione en los filtros de la sección MITRE ATT&CK. Las opciones siguientes están disponibles para filtrar:

   Táticas

   Seleccione las tácticas de la lista. Por ejemplo, adversarios que están intentando introducirse en la red utilizan una táctica de Acceso inicial.

   Técnica

   Busque técnicas y sus subtécnicas o selecciónelas de la lista. Las técnicas están prefiltradas para coincidir con la táctica seleccionada. Por ejemplo, una técnica de Descubrimiento de cuenta tiene lugar cuando los adversarios intentan obtener una lista de las cuentas del sistema local o del dominio.

   Las subtécnicas se identifican mediante un punto en el ID, por ejemplo "T1003.002 Security Account Manager". Las subtécnicas proporcionan una descripción más específica del comportamiento que utiliza un adversario para lograr su objetivo. Por ejemplo, un adversario podría volcar credenciales accediendo a los secretos de LSA (Local Security Authority).

   Confianza de correlación

   Indica las correlaciones a las que se ha asignado un nivel de confianza específico para la cobertura de reglas.

   Correlación habilitada

   Indica si la correlación entre la táctica o la táctica y las reglas está activada para cada regla. Las correlaciones que no están habilitadas no se añaden al mapa de calor de cobertura técnica.

3. Para actualizar el informe de reglas con los filtros, pulse Aplicar filtros.
4. Desplácese por la visualización del mapa de calor para ver las distintas técnicas cubiertas por QRadar Use Case Manager. El número de la cabecera del gráfico indica el número de reglas que se correlacionan por táctica. (Este número podría ser mayor que la suma del número de correlaciones de sus técnicas puesto que las correlaciones se realizan directamente a la táctica, no a la técnica.)
   Desplace el cursor sobre el número de cada una de las celdas de la técnica para ver la cantidad de reglas que están correlacionadas con la técnica. A continuación, pulse el número de la celda para ver el cálculo del mapa de calor de la técnica. Para obtener más información, consulte Cálculos del mapa de calor MITRE.
5. Pulse la flecha de la celda para expandir las columnas para visualizar las subtécnicas de la técnica. Desplace el cursor sobre la celda de la técnica secundaria para ver la cantidad de reglas que están correlacionadas con la técnica secundaria y, a continuación, pulse el número para ver el cálculo del mapa de calor de dicha técnica secundaria. Para obtener más información, consulte Cálculos de mapa de uso crítico MITRE.
6. Para cambiar el etiquetado en el gráfico, pulse la opción Mostrar en la barra de menús del informe y seleccione entre nombres, ID de técnica o nombres e ID de técnica. De forma predeterminada, se muestran los nombres de las técnicas.
7. Para ver sólo las correlaciones para las reglas que están actualmente en el mapa de cobertura y el informe, seleccione la opción Cobertura basada en reglas en el informe en la barra de menús del informe. Pulse cualquier sección del mapa de calor y, a continuación, pulse Aplicar filtros para actualizar la lista filtrada en el informe de tabla.
8. Para ver qué técnicas de MITRE están siendo utilizadas por grupos y software adversarios, seleccione los filtros adecuados de las listas Resaltar grupos y Resaltar software. En el mapa de calor, los grupos relevantes se resaltan mediante barras laterales rosas, mientras que el software relevante se resalta con barras laterales moradas.
9. ' Cambiar entre los marcos Enterprise e Industry Control Systems (ICS). Desde la Empresa, haga clic en Filtrar por plataforma o cambie a ICS. En el marco de los sistemas de control industrial (ICS ), haga clic en Cambiar a empresa.
10. Para ver solo las técnicas que se han seleccionado en el filtro, mantenga pulsada la tecla de control (en Windows) o la tecla de mandato (en Mac) de su teclado y seleccione las técnicas relevantes en el mapa de calor. A continuación, seleccione la opción Mostrar técnicas en filtro en la barra de menús del informe. Los filtros restantes se ocultarán en el mapa de calor.
    Sugerencia: si no ve ningún filtro de técnica en el mapa de calor, añada técnicas en la sección MITRE ATT&CK del panel de filtro o seleccione técnicas en el mapa.
11. Para ver sólo las subtécnicas para cada táctica y técnica, pulse el icono de pila ( ) en la barra de menús del informe.
12. Para cambiar las plataformas filtradas en el mapa de uso crítico, pulse Filtrar por plataforma y cambie la selección en las preferencias de usuario.
    Por defecto, el mapa de calor muestra tácticas, técnicas y subtécnicas de las siguientes plataformas: Linux®, macOS, PRE y Windows.

    La etiqueta de filtro Plataformas seleccionadas de la barra de filtros no se puede seleccionar, pero representa las plataformas MITRE ATT&CK seleccionadas, y se añade cada vez que el informe incluye filtros o columnas relacionados con ATT&CK. Para cambiar las plataformas seleccionadas, modifique las preferencias de usuario. Para más información, consulte Personalizar las preferencias del usuario.

13. Para trabajar con tácticas, técnicas y subtécnicas de otras plataformas, pulse Filtrar por plataforma y cambie la selección en las preferencias de usuario. El cambio de la plataforma también afecta al contenido de los filtros MITRE en la página Explorador de casos prácticos y en la página de edición Correlaciones de MITRE ATT & CK .
14. Para exportar la visualización actual del gráfico como imagen PNG, haga clic en el icono de exportación (code1' ). A continuación, puede compartir la imagen con colegas o ejecutivos que no tengan acceso a ' QRadar Use Case Manager' .
    Importante: La función de exportación como imagen no está soportada en Mozilla Firefox. En su lugar, utilice los navegadores Google Chrome o Microsoft Edge .
15. Para expandir la visualización del informe a la anchura de la pantalla, pulse el icono de maximizar () en la barra de menús del informe. Acercar o alejar el zoom para ver la visualización en el tamaño que desee. Cualquier filtro que aplique en la ventana ampliada se conserva al volver al Explorador de casos prácticos.
    Importante: La función de zoom no está soportada en Mozilla Firefox. Utilice el control del navegador para acercarse o alejarse.
16. Cierre la visualización del informe para volver al panel de control.