Mapeamento para MITRE ATT&CK

O MITRE ATT&CK é uma base de conhecimento sobre o comportamento de adversários no mundo real, organizada em táticas (o motivo) e técnicas (o método). Mapear as detecções para o ATT&CK dá a cada regra um rótulo compartilhado e estruturado.

As vantagens:

• Medir a cobertura em relação ao comportamento conhecido de adversários
• Comunicar descobertas usando um vocabulário comum
• Priorizar lacunas de acordo com a relevância para seu modelo de ameaças

O ATT&CK tem três níveis aninhados:

• Tática — o objetivo do adversário, por exemplo, Acesso a Credenciais (TA0006)
• Técnica — um método para alcançá-lo, por exemplo, Despejo de Credenciais do OS (T1003)
• Subtécnica — uma variante específica, por exemplo, Memória do LSASS (T1003.001)

Faça o mapeamento com o máximo de especificidade que sua lógica de detecção permitir. Uma regra que detecta acesso ao LSASS deve ser marcada com T1003.001, e não apenas com T1003.

Os identificadores de técnicas seguem um padrão fixo. A letra T seguida de quatro dígitos representa uma técnica; um sufixo separado por ponto representa uma subtécnica.

O Sigma inclui referências ao ATT&CK no campo tags, usando uma convenção em letras minúsculas. As táticas usam o nome da tática; as técnicas usam o identificador separado por pontos.

Faça o mapeamento com base no que o registro realmente comprova, não no que você suspeita. Um comando PowerShell codificado evidencia T1059.001 (PowerShell) e, frequentemente, T1027 (Arquivos ou Informações Ofuscados). Por si só, ele não comprova o objetivo.

Evite adicionar tags em excesso. Cada tag deve poder ser justificada apenas pela lógica de detecção; caso contrário, um revisor não confiará nos seus números de cobertura.

O ATT&CK define fontes de dados e componentes de dados pelos quais cada técnica pode ser observada. Isso conecta as ideias de detecção à telemetria que você precisa coletar.

Para T1003.001 (Memória do LSASS), os componentes relevantes incluem:

• Processo: execução da API do OS
• Processo: acesso a processos
• Arquivo: acesso a arquivos

Se você não tiver a telemetria por trás de uma técnica, nenhuma regra poderá cobri-la. Mapeie as fontes de dados para encontrar lacunas de coleta, não apenas lacunas de regras.

A agregação das tags das suas regras produz uma visão da cobertura em toda a matriz do ATT&CK. O ATT&CK Navigator a apresenta como um mapa de calor colorido.

Você pode gerar programaticamente uma camada do Navigator a partir das suas tags Sigma e sobrepô-la à matriz para ver, de relance, as técnicas cobertas, parcialmente cobertas e não cobertas.

A cobertura da matriz completa não é possível nem útil. Priorize com base na inteligência sobre ameaças: quais técnicas os grupos que têm como alvo o seu setor realmente usam?

As páginas de grupos do ATT&CK (por exemplo, APT29 e FIN7) listam as técnicas associadas. Sobreponha as técnicas usadas pelos adversários mais relevantes para você e feche primeiro as lacunas de detecção nessas áreas. Essa é a essência de uma defesa orientada por ameaças.

Uma regra superficial por técnica cria uma falsa sensação de segurança. Os adversários variam os procedimentos dentro de uma técnica; portanto, uma cobertura robusta significa ter múltiplas detecções diversificadas para as técnicas prioritárias.

Acompanhe ambos:

• Amplitude — quantas técnicas você aborda
• Profundidade — quantas detecções distintas e resistentes à evasão existem por técnica

Uma técnica com uma única regra facilmente contornável não deve ser contabilizada da mesma forma que uma técnica com detecções comportamentais em camadas.

O ATT&CK é versionado e evolui: técnicas são adicionadas, renomeadas, descontinuadas ou reorganizadas em subtécnicas ao longo das versões. Tags desatualizadas prejudicam silenciosamente sua visão da cobertura.

• Fixe a versão do ATT&CK visada pelas suas tags
• Revise os mapeamentos quando uma nova versão do ATT&CK for lançada
• Migre identificadores descontinuados (por exemplo, quando uma técnica é dividida em subtécnicas)
• Valide as tags na integração contínua em relação ao conjunto de dados atual do ATT&CK

Tratar os mapeamentos como metadados vivos mantém as métricas de cobertura honestas ao longo do tempo.

Como os alertas carregam tags de tática, você pode correlacioná-los em uma narrativa. Uma sequência de Acesso Inicial, depois Execução, Acesso a Credenciais e Movimento Lateral no mesmo host conta uma história muito mais forte do que qualquer alerta isolado.

O mapeamento permite essa costura: uma regra de SOAR ou de correlação pode elevar a gravidade quando várias táticas são acionadas contra a mesma entidade dentro de uma janela.

Teste seu julgamento ao fazer mapeamentos para o ATT&CK.

Mapear detecções para o MITRE ATT&CK transforma regras em cobertura mensurável:

• O ATT&CK organiza táticas, técnicas e subtécnicas em níveis
• Marque as regras Sigma por meio de tags (attack.tactic, attack.tXXXX.YYY)
• Faça o mapeamento para o nível mais específico que possa ser justificado
• Fontes e componentes de dados revelam lacunas de coleta, não apenas lacunas de regras
• Os mapas de calor do Navigator visualizam a cobertura
• Priorize usando inteligência sobre ameaças relacionada aos grupos relevantes
• Busque profundidade (detecções diversificadas) nas técnicas prioritárias, não apenas amplitude
• Tags de tática permitem a correlação na cadeia de ataque

Em seguida: testes e ajustes para manter essas detecções confiáveis.