Conceito e funcionamento
ATT&CK organiza táticas, técnicas e sub-técnicas e oferece referências defensivas que evoluem por versão. Associar uma regra a uma técnica não comprova que todas as variantes estão cobertas. Evidência de cobertura inclui fonte ativa, regra coerente, teste positivo e negativo e procedimento de triagem operacional.
Como investigar e correlacionar
Selecione comportamento, versão de ATT&CK, plataformas aplicáveis, eventos esperados e limitações. Documente estado como proposta, implementado, testado ou lacuna de telemetria. Relacione analíticos e estratégias atuais em vez de depender exclusivamente de antigos rótulos de fontes.
ESTUDO DE CASO · CENÁRIO SINTÉTICO
Aplicação em uma investigação
Situação
Um painel afirma cobrir uma técnica ATT&CK porque uma regra possui a tag, mas não existe fonte ativa no SIEM.
Procedimento orientado
Valide comportamento específico, versão do ATT&CK, campos e evento necessário, faça teste e procure runbook.
Resultado esperado
A matriz classifica como sem telemetria ou proposta até evidência de detecção real, em vez de cobertura completa.
Cuidados adicionais
Um mesmo ID pode comportar variantes não cobertas por uma regra muito específica.
Limitações e interpretações incorretas
Pontuação de cobertura por quantidade de IDs pode induzir erro; o denominador depende do ambiente e modelo de ameaça. Mudanças de versão exigem revisão de relações e testes.
Checklist de validação
- Registrar versão de ATT&CK
- Definir hipótese e variante
- Vincular telemetria ativa
- Exigir teste e runbook
Referências técnicas
Guias para aprofundar
- mitre attck engenharia deteccao — aguardando publicação editorial