O que é o MITRE ATT&CK Framework?

É uma base de conhecimento global, mantida pela MITRE Corporation, que documenta táticas, técnicas e procedimentos (TTPs) observados em ataques reais contra sistemas corporativos, mobile e industriais. Serve como linguagem comum entre equipes de segurança para descrever comportamentos de adversários.

Qual a diferença entre tática, técnica e sub-técnica no ATT&CK?

Tática representa o objetivo do adversário (ex.: Persistência). Técnica descreve como esse objetivo é alcançado (ex.: Scheduled Task/Job, T1053). Sub-técnica detalha uma variante específica (ex.: T1053.005 – Scheduled Task no Windows). Procedimento é a implementação concreta observada em um agente de ameaça real.

Quais são as matrizes do MITRE ATT&CK?

Existem três matrizes principais: ATT&CK for Enterprise (Windows, macOS, Linux, nuvem e redes), ATT&CK for Mobile (Android e iOS) e ATT&CK for ICS (sistemas de controle industrial, como SCADA e PLCs). Cada matriz contém táticas e técnicas adaptadas ao ambiente correspondente.

O que é o ATT&CK Navigator e como ele é usado?

O ATT&CK Navigator é uma ferramenta web open source que permite visualizar e anotar a matriz ATT&CK. Equipes de segurança o utilizam para mapear cobertura de detecção, comparar TTPs de grupos APT, planejar exercícios de red team e identificar lacunas de visibilidade em controles defensivos.

Como o MITRE ATT&CK se relaciona com D3FEND e CAR?

O MITRE D3FEND é o contraponto defensivo: mapeia técnicas de defesa (como isolamento de rede e análise de memória) diretamente às técnicas ATT&CK que mitigam. O CAR (Cyber Analytics Repository) fornece consultas analíticas prontas (pseudocódigo e Splunk/EQL) para detectar técnicas ATT&CK específicas em logs e eventos de endpoint.

Como integrar o MITRE ATT&CK com SIEM e EDR?

A maioria dos EDRs modernos (CrowdStrike, SentinelOne, Microsoft Defender) já rotula alertas com IDs ATT&CK (ex.: T1059.001). No SIEM, regras de detecção são criadas mapeando eventos de log a técnicas ATT&CK, permitindo dashboards de cobertura por tática. Plataformas como Elastic SIEM, Splunk ES e Microsoft Sentinel oferecem conteúdo nativo baseado em ATT&CK.

MITRE ATT&CK フレームワーク：実践ガイド

敵対者の TTP のマッピング、脅威検知、脅威ハンティング、セキュリティ態勢の改善のための MITRE ATT&CK フレームワーク。

MITRE ATT&CK Framework

MITRE ATT&CK は、実世界の観測に基づいてサイバー攻撃者の戦術、技術、手順（TTP）を体系的にまとめた、世界的に認知されたフレームワークです。

MITRE ATT&CK とは

MITRE Corporation が開発したナレッジベースで、数千件の実際のインシデントに基づき、14 の戦術と 193 以上の技術にわたって攻撃者の振る舞いを文書化しています。新たに観測された TTP により常に更新されています。

ATT&CK の 14 の戦術

Reconnaissance: ターゲットに関する情報の収集
Resource Development: インフラとツールの取得
Initial Access: 被害者のネットワークへの侵入口
Execution: 悪意のあるコードの実行
Persistence: 永続的なアクセスの維持
Privilege Escalation: 昇格した権限の取得
Defense Evasion: 検知と解析の回避
Credential Access: 認証情報の窃取
Discovery: 侵害された環境の探索
Lateral Movement: システム間の移動
Collection: 関心のあるデータの収集
Command and Control: C2 インフラとの通信
Exfiltration: ネットワークからのデータ窃取
Impact: システムの操作、妨害、または破壊

ATT&CK のマトリクス

Enterprise: Windows、Linux、macOS、Cloud、Network 環境
Mobile: Android と iOS
ICS: Industrial Control Systems と SCADA

実践的な活用

1. 検知のマッピング

SIEM ルール、IDS シグネチャ、EDR 検知を ATT&CK 技術に対してマッピングし、カバレッジのギャップを特定します。CALDERA や DeTT&CT などのツールが可視化を支援します。

2. Threat Hunting

特定の技術をハンティング仮説の基礎として使用します。例：疑わしい handle や memory allocation の分析を通じて T1055（Process Injection）を探索します。

3. Red Team Emulation

特定の APT グループ（例：APT29）の TTP をシミュレートして防御コントロールを検証します。 Atomic Red Team は技術ごとの自動テストのライブラリを提供します。

4. インシデント分析

ATT&CK ID を使用して攻撃者の振る舞いを文書化することで、インテリジェンスの共有や既知のキャンペーンとの相関が容易になります。

エコシステムのツール

ATT&CK Navigator: マトリクスのインタラクティブな可視化、カバレッジのヒートマップ
CALDERA: 自動化された adversary emulation プラットフォーム
Atomic Red Team: ATT&CK 技術テストのライブラリ
DeTT&CT: data source と検知のマッピングおよびスコアリング
ATT&CK Powered Suit: 迅速な分析のための Chrome 拡張機能
MITRE Cyber Analytics Repository: 検知のための疑似コード

APT グループとキャンペーン

ATT&CK は 140 以上の攻撃者グループとその特徴的な TTP を文書化しています。例：

APT29 (Cozy Bear): Spear phishing、WMI、PowerShell、Living off the Land
APT28 (Fancy Bear): Zero-days、credential dumping、C2 via HTTP
Lazarus Group: Custom malware、破壊的攻撃、暗号資産の窃取

コントロールのマッピング

各 ATT&CK 技術には文書化された緩和策があります。T1003（Credential Dumping）の例：

M1027: Password Policies（MFA、長いパスワード）
M1028: Operating System Configuration（LSA Protection）
M1043: Credential Access Protection（Credential Guard）
M1026: Privileged Account Management（domain admins の制限）

Data Sources

ATT&CK は各技術を検知するために必要な data source を指定しています：

Process monitoring
File monitoring
Network traffic
Authentication logs
Windows Event Logs
PowerShell logs

SIEM との統合

最新の SIEM（Splunk、Sentinel、Chronicle）は、ATT&CK マッピングを備えた構築済みのダッシュボードを提供します。これにより検知カバレッジを可視化し、最も重要な技術やギャップのある技術に基づいて use case 開発の優先順位を決定できます。

制限事項

記述的なフレームワークであり、規範的ではない - 何をすべきかは示さない
ポストエクスプロイトに焦点を当てており、network attack のカバレッジは少ない
技術間で粒度にばらつきがある
各技術のすべてのバリエーションを網羅しているわけではない

最終的な推奨事項

MITRE ATT&CK は、セキュリティプログラムのあらゆる側面に統合すべきです： threat intelligence、detection engineering、hunting、red teaming、incident response。まず現在の検知をマッピングし、重大なギャップを特定し、自社の業界で最も多く見られる技術のカバレッジ開発を優先してください。