MITRE ATT&CK.

Uma linguagem comum para descrever como os atacantes se comportam

O MITRE ATT&CK reorienta a inteligência de ameaças em torno do comportamento em vez dos indicadores. Em vez de catalogar os endereços IP ou os hashes de arquivos vistos numa única campanha, que mudam constantemente, ele cataloga o que os adversários realmente fazem uma vez dentro de um ambiente: como obtêm o acesso inicial, escalam privilégios, movem-se lateralmente, evadem as defesas e exfiltram dados. Cada um desses comportamentos é capturado como uma técnica com um identificador estável, e as técnicas são agrupadas sob táticas que descrevem o objetivo do atacante em cada etapa. O resultado é um mapa estruturado e baseado em evidências do manual de jogadas adversário, extraído de intrusões reais observadas em vez da teoria.

O framework está organizado como uma matriz. As colunas são as táticas, o porquê por trás de uma etapa, e as células sob cada coluna são as técnicas e subtécnicas, o como. Matrizes separadas cobrem os ambientes Enterprise, móveis e os sistemas de controle industrial, porque o comportamento adversário difere conforme esses terrenos. Como os identificadores de técnicas são estáveis e públicos, tornam-se uma referência comum que um analista de inteligência de ameaças, um engenheiro de SOC que escreve detecções e um integrante de red team que planeja um exercício podem todos citar sem ambiguidade. Esse vocabulário compartilhado é o superpoder silencioso do ATT&CK: permite que equipes que nunca conversam descrevam o mesmo ataque da mesma maneira.

Táticas, técnicas e procedimentos

O modelo TTP está no coração do ATT&CK e vale a pena manter os três níveis distintos. As táticas são os objetivos do adversário, as metas amplas como conquistar um ponto de apoio ou manter a persistência. As técnicas são os métodos gerais usados para alcançar uma tática, e muitas técnicas se desdobram ainda em subtécnicas que descrevem uma variante mais específica. Os procedimentos são as implementações concretas, observadas no mundo real, que um grupo específico usou para executar uma técnica. Subir essa escada, do procedimento à técnica e à tática, é o que transforma uma pilha de artefatos de incidente num padrão contra o qual se pode defender.

A razão pela qual os profissionais valorizam essa estrutura é que as defesas construídas no nível da técnica sobrevivem mais tempo do que as defesas baseadas em indicadores. Um atacante pode trocar um domínio malicioso ou recompilar um payload em minutos, derrotando o bloqueio baseado em assinaturas, mas mudar a técnica subjacente exige mais esforço e muitas vezes mais habilidade. As detecções ancoradas em técnicas envelhecem, portanto, mais devagar e capturam variantes que a primeira assinatura nunca viu.

Como as equipes colocam o ATT&CK para trabalhar

A defesa informada por ameaças é a prática que o ATT&CK habilita, e ela aparece em toda a função de segurança. As equipes de SOC marcam as regras de detecção com identificadores de técnicas para ver, num relance, quais comportamentos adversários conseguem detectar e quais lhes escapam. Essa análise de lacunas, muitas vezes visualizada como um mapa de calor sobre a matriz, orienta para onde vai o próximo esforço de detecção.

Os red teams e os purple teams usam a matriz para projetar e pontuar exercícios, percorrendo técnicas deliberadamente para testar se o blue team percebe. As equipes de inteligência de ameaças descrevem os grupos adversários em termos de ATT&CK para que os relatórios sejam comparáveis em vez de prosa sob medida. E os programas de formação se apoiam nele porque oferece aos analistas um modelo único e bem documentado do comportamento dos atacantes para aprender, em vez de mil relatos de guerra desconexos.

O ATT&CK é publicado abertamente, gratuito para usar e atualizado continuamente à medida que novo comportamento adversário é observado, razão pela qual se tornou a referência de fato em vez de um framework de um fornecedor entre muitos. Ele combina naturalmente com catálogos de controles e sistemas de gestão: onde a ISO/IEC 27001, o NIST Cybersecurity Framework ou os CIS Controls dizem quais capacidades de proteção e detecção construir, o ATT&CK diz quais comportamentos adversários essas capacidades precisam abordar, e ele é cada vez mais usado para priorizar e validar esse trabalho.