TRAM: Mapeo Automático de Inteligencia a ATT&CK

TRAM acelera el proceso de mapear informes de threat intelligence a técnicas ATT&CK

Cada semana se publican decenas de informes de threat intelligence (Mandiant, CrowdStrike, ESET, Kaspersky, CISA). Mapear manualmente cada informe a técnicas ATT&CK requiere horas. TRAM (Threat Report ATT&CK Mapper) automatiza este proceso usando NLP para identificar menciones de técnicas en texto natural.

Cómo funciona

Input: Informe de threat intelligence (PDF, texto, URL)
  │
  ├── 1. Extracción de texto
  ├── 2. Tokenización y análisis NLP
  ├── 3. Matching de frases con descripciones de técnicas ATT&CK
  ├── 4. Scoring de confianza por cada match
  └── 5. Output: lista de técnicas ATT&CK con confianza y fragmento fuente

Ejemplo

Input (fragmento de informe):

"The threat actor used spearphishing emails with malicious Word attachments containing macros. Upon execution, the macro launched PowerShell to download a second-stage payload from a compromised WordPress site."

Output TRAM:

Técnica sugerida	ID	Confianza	Fragmento
Phishing: Spearphishing Attachment	T1566.001	0.92	"spearphishing emails with malicious Word attachments"
User Execution: Malicious File	T1204.002	0.87	"Upon execution, the macro launched"
Command and Scripting: PowerShell	T1059.001	0.95	"launched PowerShell to download"
Ingress Tool Transfer	T1105	0.88	"download a second-stage payload"
Compromise Infrastructure	T1584	0.72	"compromised WordPress site"

Instalación y uso

# TRAM v2 (versión actual)
git clone https://github.com/center-for-threat-informed-defense/tram.git
cd tram
pip install -r requirements.txt
python tram.py

# Web UI en http://localhost:8000
# Subir informe → analizar → revisar sugerencias → exportar

Flujo de trabajo recomendado

1. Upload: subir informe a TRAM
2. Análisis automático: TRAM sugiere técnicas con confianza
3. Revisión humana: analista verifica cada sugerencia
   • Aceptar matches correctos
   • Rechazar falsos positivos
   • Añadir técnicas que TRAM no detectó
4. Export: exportar mapping a JSON o Navigator layer

Limitaciones

Limitación	Impacto	Mitigación
Depende de la calidad del texto	Informes vagos generan matches vagos	Usar informes técnicos detallados
Falsos positivos en técnicas amplias	T1059 (scripting) match en casi todo	Revisar siempre manualmente
No entiende contexto complejo	Puede confundir defensa con ataque	Analista revisa contexto
Idioma: funciona mejor en inglés	Informes en español menos precisos	Traducir o usar informes EN
No mapea sub-técnicas siempre	Puede dar T1059 en vez de T1059.001	Refinar manualmente

Integración con otros tools

Herramienta	Integración
ATT&CK Navigator	Exportar mapping como layer JSON
ATT&CK Workbench	Importar mappings a instancia local
OpenCTI	Connectors para importar mappings TRAM
MISP	Eventos con tags ATT&CK desde TRAM output

Alternativas a TRAM

Herramienta	Enfoque	Diferencia con TRAM
CAPA (Mandiant)	Análisis de binarios, no texto	Complementario: CAPA para samples, TRAM para informes
AttackCTI (community)	Scripts de extraction	Más simple, menos preciso
LLMs (GPT/Claude)	Prompting para extraer técnicas	Más flexible pero sin scoring formal
Decider (MITRE)	Asistente interactivo de mapping	Humano guiado, no automático

Conclusión

TRAM es un acelerador para analistas CTI que procesan múltiples informes semanalmente. No reemplaza al analista pero reduce el tiempo de mapping de horas a minutos (más revisión). La combinación TRAM (informes de texto) + CAPA (binarios) + revisión humana cubre el pipeline completo de mapping a ATT&CK.

Fuentes y referencias

• Center for Threat-Informed Defense: TRAM
• MITRE: "Automating ATT&CK Mapping" (2023)