MITRE ATT&CK Navigator

attack-navigator (web) # layer JSON

Visualiza la cobertura de detección del SOC sobre el framework MITRE ATT&CK con un layer JSON, identificando los huecos de telemetría.

Úsalo cuando quieras responder a '¿qué técnicas podemos detectar y cuáles no?': el Navigator pinta una matriz ATT&CK coloreada por técnica, y el layer JSON (el fichero de puntuación que se genera o se edita a mano) define qué técnicas tienen detección, cuáles tienen telemetría parcial y cuáles están ciegas. Es la herramienta de planificación del detection engineering: el mapa de cobertura se presenta a la dirección, se compara entre trimestres y guía qué reglas construir. También es el formato estándar para compartir cobertura entre equipos (los vendors publican sus layers como referencia).

No lo uses como medida de seguridad real: el layer refleja lo que el equipo dice que cubre, no lo que funciona — una técnica marcada como 'detectada' puede tener una regla que no dispara nunca. La cobertura del mapa hay que validarla (con Atomic Red Team o PurpleSharp) antes de confiarse. Tampoco lo uses para el análisis de un incidente concreto: el Navigator es planificación y reporting, no hunting. Y ojo con el formato: el layer JSON tiene una estructura concreta (version, techniques con score); editar a mano sin conocerla rompe la carga — usa el editor del Navigator o genera el JSON desde las herramientas de gestión.