Zu MITRE ATT&CK zuordnen

MITRE ATT&CK ist eine Wissensbasis für das Verhalten realer Angreifer, geordnet nach Taktiken (dem Warum) und Techniken (dem Wie). Die Zuordnung von Detektionen zu ATT&CK gibt jeder Regel ein gemeinsames, strukturiertes Label.

Der Nutzen:

• Abdeckung anhand bekannten Angreiferverhaltens messen
• Ergebnisse in einer gemeinsamen Terminologie kommunizieren
• Lücken nach ihrer Relevanz für Ihr Bedrohungsmodell priorisieren
• Warnungen entlang einer Angriffskette korrelieren

ATT&CK umfasst drei verschachtelte Ebenen:

• Taktik — das Ziel des Angreifers, z. B. Credential Access (TA0006)
• Technik — eine Methode, um dieses Ziel zu erreichen, z. B. OS Credential Dumping (T1003)
• Sub-Technik — eine spezifische Variante, z. B. LSASS Memory (T1003.001)

Ordnen Sie so spezifisch zu, wie es Ihre Detektionslogik unterstützt. Eine Regel, die LSASS-Zugriff erkennt, sollte mit T1003.001 und nicht nur mit T1003 getaggt werden.

Technik-IDs folgen einem festen Muster. Der Buchstabe T plus vier Ziffern bezeichnet eine Technik; ein Suffix mit Punkt bezeichnet eine Sub-Technik.

Sigma führt ATT&CK-Referenzen im Feld tags nach einer Konvention mit Kleinbuchstaben. Für Taktiken wird der Name der Taktik verwendet, für Techniken die ID mit Punkt.

Ordnen Sie eine Technik danach zu, was das Protokoll tatsächlich belegt, nicht danach, was Sie vermuten. Ein kodierter PowerShell-Befehl belegt T1059.001 (PowerShell) und häufig auch T1027 (Obfuscated Files or Information). Er belegt für sich genommen nicht das Ziel.

Vermeiden Sie übermäßiges Tagging. Jedes Tag muss sich allein aus der Detektionslogik begründen lassen, sonst wird ein Reviewer Ihren Abdeckungszahlen nicht vertrauen.

ATT&CK definiert Datenquellen und Datenkomponenten, über die jede Technik beobachtet werden kann. Damit lassen sich Detektionsideen mit der Telemetrie verknüpfen, die Sie erfassen müssen.

Für T1003.001 (LSASS Memory) gehören folgende Komponenten dazu:

• Process: OS API Execution
• Process: Process Access
• File: File Access

Wenn Ihnen die Telemetrie hinter einer Technik fehlt, kann keine Regel sie abdecken. Ordnen Sie Datenquellen zu, um Erfassungslücken und nicht nur Regellücken zu finden.

Das Zusammenfassen der Tags Ihrer Regeln erzeugt eine Abdeckungsansicht über die ATT&CK-Matrix hinweg. Der ATT&CK Navigator stellt diese als farbige Heatmap dar.

Sie können programmgesteuert einen Navigator-Layer aus Ihren Sigma-Tags erzeugen und ihn über die Matrix legen, um auf einen Blick abgedeckte, teilweise abgedeckte und nicht abgedeckte Techniken zu sehen.

Eine vollständige Abdeckung der Matrix ist weder erreichbar noch nützlich. Priorisieren Sie anhand von Threat Intelligence: Welche Techniken verwenden die Gruppen, die tatsächlich auf Ihre Branche zielen?

ATT&CK-Gruppenseiten (z. B. APT29, FIN7) listen zugeordnete Techniken auf. Legen Sie die von Ihren relevantesten Angreifern verwendeten Techniken darüber und schließen Sie dort zuerst Erkennungslücken. Das ist der Kern einer bedrohungsorientierten Verteidigung.

Eine oberflächliche Regel pro Technik schafft falsche Sicherheit. Angreifer variieren ihre Vorgehensweisen innerhalb einer Technik. Robuste Abdeckung bedeutet daher mehrere, vielfältige Detektionen für Techniken mit hoher Priorität.

Verfolgen Sie beides:

• Breite — wie viele Techniken Sie abdecken
• Tiefe — wie viele unterschiedliche, umgehungsresistente Detektionen Sie pro Technik haben

Eine Technik mit einer leicht zu umgehenden Regel sollte nicht genauso gewertet werden wie eine mit mehreren, aufeinander aufbauenden verhaltensbasierten Detektionen.

ATT&CK ist versioniert und entwickelt sich weiter: Techniken werden in neuen Versionen hinzugefügt, umbenannt, als veraltet markiert oder in Sub-Techniken umstrukturiert. Veraltete Tags beeinträchtigen Ihre Abdeckungsansicht unbemerkt.

• Legen Sie die ATT&CK-Version fest, auf die Ihre Tags abzielen
• Prüfen Sie die Zuordnungen, wenn eine neue ATT&CK-Version veröffentlicht wird
• Migrieren Sie veraltete IDs (z. B. wenn eine Technik in Sub-Techniken aufgeteilt wird)
• Validieren Sie Tags in CI anhand des aktuellen ATT&CK-Datensatzes

Wenn Sie Zuordnungen als lebende Metadaten behandeln, bleiben Ihre Abdeckungsmetriken langfristig aussagekräftig.

Da Warnungen Taktik-Tags enthalten, können Sie sie zu einer Geschichte verknüpfen. Eine Abfolge von Initial Access, dann Execution, dann Credential Access und anschließend Lateral Movement auf demselben Host ergibt ein deutlich aussagekräftigeres Bild als jede einzelne Warnung.

Die Zuordnung ermöglicht diese Verknüpfung: Eine SOAR- oder Korrelationsregel kann den Schweregrad erhöhen, wenn innerhalb eines Zeitfensters mehrere Taktiken gegen dieselbe Entität ausgelöst werden.

Die Zuordnung von Detektionen zu MITRE ATT&CK macht aus Regeln messbare Abdeckung:

• ATT&CK umfasst Taktiken, Techniken und Sub-Techniken
• Taggen Sie Sigma-Regeln über tags (attack.tactic, attack.tXXXX.YYY)
• Ordnen Sie auf der spezifischsten vertretbaren Ebene zu
• Datenquellen und Datenkomponenten zeigen Erfassungslücken und nicht nur Regellücken auf
• Navigator-Heatmaps visualisieren die Abdeckung
• Priorisieren Sie anhand von Threat Intelligence zu relevanten Gruppen
• Verfolgen Sie Tiefe (vielfältige Detektionen) bei priorisierten Techniken, nicht nur Breite
• Taktik-Tags ermöglichen die Kill-Chain-Korrelation

Als Nächstes: Testen und Tuning, damit diese Detektionen vertrauenswürdig bleiben.