CAPEC (Common Attack Pattern Enumeration and Classification) es un catálogo de patrones de ataque que se encarga de recolectar información sobre ellos, junto a un esquema de clasificación exhaustiva. Estos patrones de ataques no son más que las descripciones de los métodos comunes utilizados para la explotación de vulnerabilidades.

Las entradas de esta conocida lista intentan dar a conocer la perspectiva del atacante y los métodos utilizados para explotar los sistemas. Se generan después de un análisis de los ejemplos de exploits específicos. Estos exploits son presentados como ejemplo de explotación de una vulnerabilidad, o incluso pueden ser propuestos para añadirse en esta lista en caso de no estar registrado.

Al igual que los demás catálogos , CAPEC intenta ofrecer la información necesaria para ayudar a mejorar la seguridad en todo el ciclo de vida de desarrollo de software y también apoyar las necesidades de los desarrolladores. Muchas de las vulnerabilidades que se registran comparten patrones de ataques, por tanto, no suelen generarse entradas en esta lista tan comúnmente como en la de vulnerabilidades. CAPEC cuenta con unas 400 entradas (patrones) actualmente.

Cómo aprovechar la página del CAPEC

• En el campo “Search by ID” podemos realizar una búsqueda especifica de un patrón de ataque si conocemos valor sobre el cual fue registrado en esta lista.
• En el enlace “Methods of Attack View” el diccionario ofrece una clasificación de los patrones de ataque según los métodos que estos implementen. En la siguiente imagen se puede observar cómo CAPEC clasifica estos ataques y ofrece una vista de directorio en los que se puede ir desplegando cada uno de ellos y observar los distintos patrones. 

• En el enlace “Submit Content” se pueden proponer nuevos patrones de ataques para ser registrados en esta lista. Las instrucciones vienen detalladas en la página web. Sin embargo vale la pena mencionar que todo el proceso se basa en rellenar el formulario que nos suministran dentro del enlace con los detalles del ataque. Entre los más relevantes se encuentran:
• Precondiciones necesarias.
• Métodos del ataque (analysis, brute force, flooding, injection, spoofing, etc).
• Conocimientos o habilidades requeridas para poder llevar a cabo este ataque.
• Posibles soluciones o mitigaciones.
• Debilidades asociadas (CWE-IDs)
• Referencias, donde se suele hacer referencia a publicaciones que detallen o corroboren la propuesta del patrón de ataque propuesto.  
• En el enlace “Documents” se pueden encontrar todos los documentos públicos relacionados con CAPEC.
• En el enlace “Search the Site” pueden realizarse búsquedas específicas de patrones de ataques utilizando palabras clave. Esto es muy útil si no se conoce el CAPEC-ID del patrón pero se tiene una idea del nombre o las palabras que pueden estar relacionadas con él.
• Y por último, los enlaces “Vulnerabilities (CVE)” y ‘Software Weakness Types (CWE)’ que conectan esta lista con las dos antes explicadas para poder consultarlas en caso de ser necesario.

Las tres listas
del MITRE mencionadas están estrechamente vinculadas, es decir, una vulnerabilidad es
explotada gracias a una debilidad conseguida en un software, que a su vez ha
sido aprovechada a través de un patrón de ataque. Por tanto cada vez que
cualquiera de las tres listas recibe una nueva entrada, ésta es considerada,
comprobada y estudiada, por lo que muy probablemente se puedan generar o
complementar los registros en cualquiera de las otras.