La función de RAZE
El Red-team Adversary eXecution Engine ayuda a analizar cómo podría desarrollarse un ataque. Parte de una pregunta de seguridad y describe una posible secuencia de técnicas conocidas y la actividad que podrían producir. El equipo puede usar el escenario para revisar su cobertura de detección.
A pesar de su nombre, RAZE modela el movimiento adversario. No explota activos, invoca acciones cloud, genera tráfico de ataque ni cambia el entorno protegido. Su resultado es una hipótesis respaldada, no un incidente observado.
Qué contiene un escenario de RAZE
- Escenario orientado a objetivos
- Una pregunta concreta sobre un activo, una identidad, un riesgo cloud o un control que el equipo quiere evaluar.
- Ruta alineada con MITRE
- Una secuencia plausible organizada en torno a técnicas adversarias reconocibles para un lenguaje común de revisión.
- Observables esperados
- La evidencia que debería dejar cada etapa modelada sin generar esa actividad en el entorno.
- Perspectiva de cobertura
- Una comparación entre evidencia esperada y detecciones o fuentes conservadas que muestra preguntas para validación.
- Supuestos que comprobar
- El contexto, las limitaciones y las inferencias que un revisor puede cuestionar antes de usar el escenario.
El ciclo de hipótesis de RAZE
-
01
Definir
Indica el objetivo de seguridad, el alcance protegido y la pregunta que el equipo necesita probar.
-
02
Mapear
Describe una posible secuencia de técnicas de ataque pertinentes.
-
03
Anticipar
Describe la evidencia que debería ser observable en cada etapa.
-
04
Comparar
Relaciona la evidencia esperada con las fuentes, detecciones y brechas conocidas disponibles.
-
05
Revisar
Cuestiona los supuestos y convierte brechas respaldadas en preguntas de investigación o cobertura.
Preguntas que RAZE ayuda a examinar
- ¿Qué podría intentar un adversario después de acceder a la identidad o carga seleccionada?
- ¿Qué evidencia observable debería producir cada etapa modelada?
- ¿Qué fuentes de datos y detecciones existentes podrían identificar esa evidencia?
- ¿Dónde depende el escenario de un supuesto no verificado o una fuente faltante?
- ¿Qué pregunta de cobertura debería pasar a búsqueda, revisión de detección o un ejercicio de validación controlado?
El límite no destructivo
- Una ruta de RAZE es una hipótesis y nunca se presenta como ruta de ataque confirmada.
- Los observables esperados siguen siendo expectativas hasta que evidencia independiente los confirma.
- El motor no realiza ninguna acción en proveedores ni cambia el entorno protegido.
- Cualquier recomendación de respuesta sigue siendo orientativa y pasa por la ruta independiente de gobierno de DRX.