Evidencia · Fuentes y sondas

Mapa de telemetría

Catálogo de 37 fuentes y sondas en 10 categorías, alineado a MITRE ATT&CK Data Sources, y la matriz de qué sensor permite observar cada incidente. Las asociaciones proceden del catálogo de detecciones y sus fuentes de registro. Estos indicadores describen el catálogo; no miden la protección ni los sensores instalados en tu organización.

45/65categorías con asociaciones

69%del catálogo con asociaciones

37sensores

20categorías sin asociaciones

Fuentes y sondas · por categoría

Catálogo de sensores

Abre los detalles de cada sonda para consultar su descripción y las familias de soluciones que la proveen.

Identidad y acceso 4

IDP1/65

Inicios de sesión federados, MFA y riesgo de identidad

Microsoft Entra IDOkta +3

Ver detalles

IdP / SSO (Entra ID, Okta) — Inicios de sesión federados, MFA y riesgo de identidad

Microsoft Entra ID
Okta
Ping Identity
Google Workspace
ForgeRock

PAM0/65

Gestión y grabación de sesiones privilegiadas

CyberArkBeyondTrust +2

Ver detalles

Acceso privilegiado (PAM) — Gestión y grabación de sesiones privilegiadas

CyberArk
BeyondTrust
Delinea
HashiCorp Vault

AD7/65

Autenticación, cuentas y cambios de grupos en el directorio

Active DirectoryEntra ID +2

Ver detalles

Directorio / Active Directory — Autenticación, cuentas y cambios de grupos en el directorio

Active Directory
Entra ID
OpenLDAP
FreeIPA

JUMP0/65

Punto único de acceso administrativo a segmentos críticos

TeleportApache Guacamole +2

Ver detalles

Servidor de salto (bastion) — Punto único de acceso administrativo a segmentos críticos

Teleport
Apache Guacamole
AWS Systems Manager
Azure Bastion

Endpoint 4

EDR33/65

Procesos, memoria, archivos y red en el host

CrowdStrike FalconMicrosoft Defender for Endpoint +2

Ver detalles

EDR — Endpoint Detection & Response — Procesos, memoria, archivos y red en el host

CrowdStrike Falcon
Microsoft Defender for Endpoint
SentinelOne
Palo Alto Cortex XDR

ANTIMW7/65

Detección de malware por firma y heurística

Microsoft Defender AVESET +2

Ver detalles

Antimalware / Antivirus — Detección de malware por firma y heurística

Microsoft Defender AV
ESET
Trend Micro
Kaspersky

FIM10/65

Cambios en archivos, binarios y configuraciones críticas

TripwireWazuh +2

Ver detalles

Integridad de archivos (FIM) — Cambios en archivos, binarios y configuraciones críticas

Tripwire
Wazuh
OSSEC
Qualys FIM

OSQUERY0/65

Estado e inventario del endpoint vía SQL

osqueryFleet +1

Ver detalles

Consulta de endpoint (osquery) — Estado e inventario del endpoint vía SQL

osquery
Fleet
Kolide

Red 8

NGFW0/65

Control y visibilidad de tráfico perimetral y este-oeste

Palo AltoFortinet FortiGate +2

Ver detalles

Firewall de nueva generación — Control y visibilidad de tráfico perimetral y este-oeste

Palo Alto
Fortinet FortiGate
Cisco Firepower
Check Point

FW-OT9/65

Segmentación y filtrado en la red industrial

Fortinet RuggedPalo Alto OT +3

Ver detalles

Firewall industrial (OT) — Segmentación y filtrado en la red industrial

Fortinet Rugged
Palo Alto OT
Cisco ISA 3000
Tofino
Hirschmann

IDS8/65

Firmas y anomalías de red

SuricataSnort +2

Ver detalles

IDS — Detección de intrusos — Firmas y anomalías de red

Suricata
Snort
Zeek
Cisco Firepower

IPS4/65

Bloqueo en línea de tráfico malicioso

Palo Alto Threat PreventionTrend TippingPoint +1

Ver detalles

IPS — Prevención de intrusos — Bloqueo en línea de tráfico malicioso

Palo Alto Threat Prevention
Trend TippingPoint
Cisco Firepower IPS

NETFLOW8/65

Metadatos de flujo y detección de red

Cisco NetFlowDarktrace +3

Ver detalles

NetFlow / NDR (flujos de red) — Metadatos de flujo y detección de red

Cisco NetFlow
Darktrace
ExtraHop
Corelight
Vectra AI

WAF5/65

Protección de aplicaciones y APIs expuestas

Cloudflare WAFAWS WAF +3

Ver detalles

Firewall de aplicación web (WAF) — Protección de aplicaciones y APIs expuestas

Cloudflare WAF
AWS WAF
F5
Akamai
Imperva

PROXY4/65

Navegación, filtrado y salida a Internet

ZscalerCisco Umbrella +2

Ver detalles

Proxy web / SWG — Navegación, filtrado y salida a Internet

Zscaler
Cisco Umbrella
Palo Alto Prisma Access
Squid

DNS2/65

Consultas de resolución de nombres

Cisco UmbrellaInfoblox +2

Ver detalles

Registros DNS — Consultas de resolución de nombres

Cisco Umbrella
Infoblox
Cloudflare Gateway
BIND logs

Nube y contenedores 4

CLOUD2/65

Eventos de plano de control en AWS/Azure/GCP

AWS CloudTrailAzure Monitor/Activity +1

Ver detalles

Auditoría de nube (CloudTrail/Activity) — Eventos de plano de control en AWS/Azure/GCP

AWS CloudTrail
Azure Monitor/Activity
GCP Cloud Audit Logs

CSPM0/65

Configuraciones erróneas y exposición en la nube

WizPalo Alto Prisma Cloud +2

Ver detalles

Postura de nube (CSPM) — Configuraciones erróneas y exposición en la nube

Wiz
Palo Alto Prisma Cloud
Microsoft Defender for Cloud
Orca Security

CASB0/65

Visibilidad y control sobre aplicaciones SaaS

Microsoft Defender for Cloud AppsNetskope +1

Ver detalles

CASB — seguridad SaaS — Visibilidad y control sobre aplicaciones SaaS

Microsoft Defender for Cloud Apps
Netskope
Zscaler

K8S1/65

Auditoría de orquestador y runtime de contenedores

FalcoKubernetes Audit +2

Ver detalles

Contenedores / Kubernetes — Auditoría de orquestador y runtime de contenedores

Falco
Kubernetes Audit
Aqua Security
Sysdig

Aplicación y datos 4

APPLOG11/65

Eventos de negocio y errores de las aplicaciones

OpenTelemetryDatadog +2

Ver detalles

Logs de aplicación — Eventos de negocio y errores de las aplicaciones

OpenTelemetry
Datadog
Elastic APM
logs de aplicación

DAM1/65

Consultas, accesos y cambios en bases de datos

ImpervaIBM Guardium +1

Ver detalles

Monitoreo de base de datos (DAM) — Consultas, accesos y cambios en bases de datos

Imperva
IBM Guardium
auditoría nativa de BD

DLP0/65

Movimiento de datos sensibles dentro y fuera

Microsoft Purview DLPSymantec DLP +1

Ver detalles

Prevención de fuga de datos (DLP) — Movimiento de datos sensibles dentro y fuera

Microsoft Purview DLP
Symantec DLP
Forcepoint

LLM1/65

Prompts, respuestas y abuso de modelos de lenguaje

Cloudflare AI GatewayPortkey +2

Ver detalles

Gateway de IA / LLM — Prompts, respuestas y abuso de modelos de lenguaje

Cloudflare AI Gateway
Portkey
LiteLLM
Lakera Guard

Correo 1

EMAIL1/65

Phishing, malware y suplantación en el correo

Microsoft Defender for Office 365Proofpoint +2

Ver detalles

Seguridad de correo (Email Gateway) — Phishing, malware y suplantación en el correo

Microsoft Defender for Office 365
Proofpoint
Mimecast
Cisco Secure Email

Registro y correlación 3

SIEM18/65

Correlación central de eventos y alertas

Microsoft SentinelSplunk +3

Ver detalles

SIEM / correlación — Correlación central de eventos y alertas

Microsoft Sentinel
Splunk
Elastic Security
IBM QRadar
Google Chronicle

LOGMGR17/65

Centralización y retención de registros

GraylogElastic +2

Ver detalles

Gestor de logs — Centralización y retención de registros

Graylog
Elastic
Grafana Loki
Splunk

SYSLOG15/65

Registros de sistemas y dispositivos de red

rsyslogsyslog-ng +2

Ver detalles

Syslog — Registros de sistemas y dispositivos de red

rsyslog
syslog-ng
Fluentd
Fluent Bit

OT / ICS 3

OT-IDS3/65

Inspección profunda de protocolos ICS

Nozomi NetworksClaroty +3

Ver detalles

IDS industrial (Modbus/DNP3/OPC) — Inspección profunda de protocolos ICS

Nozomi Networks
Claroty
Dragos
Tenable OT
Microsoft Defender for IoT

HIST0/65

Series de tiempo y eventos del proceso industrial

AVEVA PI (OSIsoft)GE Proficy +2

Ver detalles

Historiador SCADA — Series de tiempo y eventos del proceso industrial

AVEVA PI (OSIsoft)
GE Proficy
Canary
Wonderware

SIS0/65

Funciones de seguridad e interlocks del proceso

Triconex (Schneider)HIMA +2

Ver detalles

Sistema instrumentado de seguridad — Funciones de seguridad e interlocks del proceso

Triconex (Schneider)
HIMA
Siemens SIS
Honeywell Safety Manager

DevSecOps / cadena de suministro 4

SCA0/65

Dependencias, licencias y vulnerabilidades de terceros

SnykGitHub Dependabot +3

Ver detalles

Análisis de composición / SBOM — Dependencias, licencias y vulnerabilidades de terceros

Snyk
GitHub Dependabot
Mend
Sonatype
Trivy

CICD0/65

Actividad del pipeline de construcción y despliegue

GitHub ActionsGitLab CI +2

Ver detalles

Auditoría CI/CD — Actividad del pipeline de construcción y despliegue

GitHub Actions
GitLab CI
Jenkins
Azure DevOps

SCM1/65

Cambios y accesos en el control de versiones

GitHubGitLab +1

Ver detalles

Auditoría de repositorios (SCM) — Cambios y accesos en el control de versiones

GitHub
GitLab
Bitbucket (audit logs)

SECRETS0/65

Credenciales y llaves expuestas en código y config

GitGuardianTruffleHog +2

Ver detalles

Escaneo de secretos — Credenciales y llaves expuestas en código y config

GitGuardian
TruffleHog
GitHub Secret Scanning
Gitleaks

Engaño y físico 2

HONEYPOT5/65

Trampas para detectar movimiento del atacante

Thinkst CanaryOpenCanary +2

Ver detalles

Honeypot / señuelo — Trampas para detectar movimiento del atacante

Thinkst Canary
OpenCanary
T-Pot
honeyd

PHYS0/65

Accesos, badges y CCTV en instalaciones

HID / Lenel (control de acceso)CCTV / VMS +1

Ver detalles

Control de acceso físico — Accesos, badges y CCTV en instalaciones

HID / Lenel (control de acceso)
CCTV / VMS
sistemas de alarma

Matriz incidente × sensor

¿Con qué sensor se observa cada ataque?

Desplaza la tabla horizontalmente para ver todas las fuentes. Los niveles 0–3 también se identifican con números.

Cobertura por incidente y sensor: 0 sin cobertura, 1 levantamiento, 2 regla de comunidad, 3 regla curada.
Incidente	IDP	PAM	AD	JUMP	EDR	ANTIMW	FIM	OSQUERY	NGFW	FW-OT	IDS	IPS	NETFLOW	WAF	PROXY	DNS	CLOUD	CSPM	CASB	K8S	APPLOG	DAM	DLP	LLM	EMAIL	SIEM	LOGMGR	SYSLOG	OT-IDS	HIST	SIS	SCA	CICD	SCM	SECRETS	HONEYPOT	PHYS
A · Uso no autorizado, phishing y ejecución de código
A.I.1 · Acceso no autorizado a almacenamiento	0	0	2	0	2	0	0	0	0	1	0	0	3	0	0	0	2	0	0	2	0	0	0	0	0	2	3	3	0	0	0	0	0	0	0	0	0
A.I.2 · Ataque de fuerza bruta exitoso	0	0	3	0	3	0	0	0	0	1	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	3	3	3	0	0	0	0	0	0	0	0	0
A.I.3 · Explotación de vulnerabilidades de autenticación	0	0	0	0	2	0	2	0	0	1	0	0	0	2	2	0	0	0	0	0	2	2	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
A.I.4 · Uso de credenciales comprometidas	0	0	2	0	2	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	2	0	0	0	0	0	0	0	0	0	0	0
A.II.1 · Envío de correo no deseado o phishing desde infraestructura propia	0	0	0	0	2	0	2	0	0	3	3	0	3	0	0	0	0	0	0	0	0	0	0	0	0	0	0	3	0	0	0	0	0	0	0	0	0
A.II.2 · Inclusión de sitio fraudulento en infraestructura propia	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
A.III.1 · Envío de correo no deseado o phishing sobre una organización	0	0	0	0	2	0	0	0	0	0	0	0	0	0	2	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
A.III.2 · Envío de correo no deseado o phishing usando remitentes de la institución	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
A.IV.1 · Ejecución remota de código a través de parámetros de aplicación	0	0	0	0	2	2	2	0	0	0	0	0	0	0	0	0	0	0	0	0	2	0	0	0	0	2	2	2	0	0	0	0	0	0	0	0	0
A.IV.2 · Inyección de requerimientos (prompts) en modelos grandes de lenguaje (LLM)	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	3	0	0	3	0	0	3	0	0	0	0	0	0	0	0	0	0
A.IV.3 · Inyección de consultas NoSQL	0	0	0	0	2	3	2	0	0	0	0	0	0	2	2	0	0	0	0	0	2	0	0	0	2	2	3	2	0	0	0	0	0	0	0	0	0
A.IV.4 · Inyección de consultas SQL	0	0	0	0	2	0	2	0	0	0	3	3	0	3	2	0	0	0	0	0	3	0	0	0	0	0	3	0	0	0	0	0	0	0	0	0	0
B · Exfiltración y/o exposición
B.I.1 · Adversario en el medio (MitM)	0	0	0	0	2	0	2	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
B.I.2 · Apropiación de credenciales mediante phishing	0	0	0	0	2	0	2	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
B.I.3 · Base de datos sin protección (S3 buckets, Elasticsearch, MongoDB expuestos)	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
B.I.4 · Documentos públicos con datos sensibles	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	2	0	0	0	0	0	0	0	0	0	0	0	0	0	0	2	0
B.I.5 · Filtración de datos personales	0	0	0	0	2	0	0	0	0	0	0	0	0	0	0	2	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
B.I.6 · Keylogger en uso	0	0	0	0	3	3	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	2	2	2	0	0	0	0	0	0	0	0	0
B.I.7 · Divulgación de enumeraciones de usuarios y/o credenciales en foros	0	0	2	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	2	0	0	0	0	0	0	0	0	0	0	0
B.II.1 · Filtración de configuraciones en rutas de aplicación	2	0	0	0	2	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
B.II.2 · Filtración de secretos en rutas de aplicación	0	0	0	0	2	0	0	0	0	0	3	0	0	3	0	0	0	0	0	0	3	0	0	0	0	0	3	0	0	0	0	0	0	0	0	0	0
B.III.1 · Archivo(s) de control de versión expuestos en aplicación	0	0	0	0	2	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
B.III.2 · Sistema de control de versión expuesto	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	2	0	0	0	0	0	0	0	0	0	0	0	0	0	0	2	0
C · Indisponibilidad y degradación de servicio
C.I.1 · Agotamiento de conexiones TCP	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	2	2	2	0	0	0	0	0	0	0	0	0
C.I.2 · Apagado no autorizado de sistemas informáticos	0	0	0	0	2	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	3	3	3	0	0	0	0	0	0	0	0	0
C.I.3 · Ataque de amplificación DNS/NTP	0	0	0	0	0	0	0	0	0	3	3	3	3	0	0	3	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
C.I.4 · Ataque físico contra infraestructura TI	0	0	2	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	2	0	0	0	0	0	0	0	0	0	0	0
C.I.5 · Denegación de servicio mediante explotación de vulnerabilidades	0	0	0	0	0	0	0	0	0	0	0	0	0	2	0	0	0	0	0	0	2	0	0	0	0	2	2	2	0	0	0	0	0	0	0	0	0
C.I.6 · Eliminación de configuraciones críticas	0	0	0	0	2	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
C.I.7 · Tráfico de red excesivo (volumétrico)	0	0	0	0	2	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	2	0	0	0	0	0	0	0	0	0	0	0	0	0	0	2	0
C.II.1 · Secuestro de recursos (cryptojacking)	0	0	0	0	3	3	0	0	0	0	0	0	3	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
C.II.2 · Sobrecarga de bases de datos (SQL)	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
C.II.3 · Uso excesivo de ancho de banda	0	0	0	0	2	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	2	0	0	0	0	0	0	0	0	0	0	0	0	0	0	2	0
D · Modificación y manipulación no autorizada
D.I.1 · Alteración de bases de datos	0	0	0	0	2	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	2	2	2	0	0	0	0	0	0	0	0	0
D.I.2 · Alteración de sitio web (defacement)	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
D.I.3 · Manipulación de datos no autentificados	0	0	0	0	2	0	0	0	0	0	0	0	0	0	0	0	2	0	0	0	0	0	0	0	0	2	2	2	0	0	0	0	0	0	0	0	0
D.I.4 · Modificación de logs de auditoría	0	0	3	0	2	0	2	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	3	3	3	0	0	0	0	0	0	0	0	0
D.II.1 · Alteración de reglas de firewall	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
D.II.2 · Desactivación de registros de seguridad	0	0	0	0	3	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	3	3	3	0	0	0	0	0	0	0	0	0
D.II.3 · Modificación de políticas de acceso	0	0	0	0	2	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
OT · Entornos industriales ICS/SCADA (propuesta TTPSEC) (OT)
OT.1 · Acceso remoto a SCADA/DCS con credenciales válidas	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
OT.10 · Modificación de valores de operación sin control	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
OT.11 · Inyección de datos falsos en registros históricos	0	0	0	0	2	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	2	2	2	0	0	0	0	0	0	0	0	0
OT.12 · Sobrecarga de red industrial mediante tormenta de paquetes	0	0	0	0	0	0	0	0	0	3	3	3	3	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	3	0	0	0	0	0	0	0	0
OT.13 · Malware de minería en estaciones de control OT	0	0	0	0	2	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
OT.14 · Envío de malware dirigido a personal OT	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
OT.15 · Obtención de credenciales vía llamada telefónica	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
OT.16 · Dispositivos ICS con backdoors de fábrica	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
OT.17 · Rogue Access Points en red ICS	0	0	0	0	0	0	0	0	0	3	3	0	3	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	3	0
OT.18 · Explotación de vulnerabilidad sin parches en RTU	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
OT.19 · Explotación de debilidades en OPC UA	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
OT.2 · Instalación de firmware malicioso en PLC	0	0	0	0	3	3	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
OT.20 · Manipulación deliberada de controladores por empleado	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
OT.21 · Rootkit en firmware de PLC	0	0	0	0	3	3	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
OT.22 · Bypass de interlocks de seguridad	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
OT.3 · Ejecución de código malicioso en EWS	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
OT.4 · Intercepción y modificación de comandos Modbus/TCP	0	0	0	0	0	0	0	0	0	3	3	3	3	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	3	0	0	0	0	0	0	0	0
OT.5 · Reenvío de comandos válidos para manipular procesos	0	0	0	0	0	0	0	0	0	3	3	0	3	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	3	0	0	0	0	0	0	0	0
OT.6 · Uso de consola HMI sin autenticación para alterar procesos	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
OT.7 · Manipulación de lectura de sensores en tiempo real	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
OT.8 · Extracción de recetas y parámetros de PLC	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
OT.9 · Captura de credenciales desde estaciones SCADA	0	0	2	0	2	2	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	2	0	0	0	0	0	0	0	0	0	0	0
SC · Cadena de suministro (propuesta TTPSEC) (SUPPLY_CHAIN)
SC.1 · Inyección de código malicioso en librerías NPM, PyPI, Maven u otras	0	0	0	0	2	0	2	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	2	2	2	0	0	0	0	0	2	0	0	0
SC.2 · Subversión del código fuente o sistema de actualizaciones	0	0	0	0	2	0	2	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0
SC.3 · Inclusión de componentes alterados con firmware malicioso	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0	0

3regla curada 2regla comunidad 1levantamiento 0sin cobertura (punto ciego)