Analisando TTPs de Atores de Ameaça com MITRE ATT&CK

Visão Geral

MITRE ATT&CK é uma base de conhecimento globalmente acessível de táticas, técnicas e procedimentos (TTPs) de adversários, baseada em observações do mundo real. Esta habilidade abrange o mapeamento sistemático do comportamento de atores de ameaça para o framework ATT&CK, a construção de mapas de calor de cobertura de técnicas usando o ATT&CK Navigator, a identificação de lacunas de detecção e a produção de relatórios de inteligência acionáveis que vinculam IOCs observados a técnicas específicas de adversários nas matrizes Enterprise, Mobile e ICS.

Quando Usar

• Ao investigar incidentes de segurança que exigem a análise de TTPs de atores de ameaça com o MITRE ATT&CK.
• Ao construir regras de detecção ou consultas de threat hunting para este domínio.
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise.
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas.

Pré-requisitos

• Python 3.9+ com mitreattack-python, attackcti, stix2 bibliotecas.
• MITRE ATT&CK Navigator (baseado na web ou implantação local).
• Compreensão da estrutura da matriz ATT&CK: Táticas, Técnicas, Sub-técnicas.
• Acesso a relatórios de inteligência de ameaças ou MISP/OpenCTI para dados de atores de ameaça.
• Familiaridade com objetos STIX 2.1 Attack Pattern.

Conceitos Chave

Estrutura da Matriz ATT&CK

A matriz ATT&CK Enterprise organiza o comportamento do adversário em 14 Táticas (o "porquê"), contendo Técnicas (o "como") e Sub-técnicas (implementações específicas). Cada técnica possui fontes de dados associadas, detecções, mitigações e exemplos de procedimentos do mundo real de grupos de ameaças observados.

Perfis de Grupos de Ameaça

O ATT&CK cataloga mais de 140 grupos de ameaça (por exemplo, APT28, APT29, Lazarus Group, FIN7) com uso documentado de técnicas. Cada perfil de grupo inclui aliases, setores visados, campanhas associadas, software utilizado e mapeamentos de técnicas com detalhes em nível de procedimento.

ATT&CK Navigator

O ATT&CK Navigator é uma ferramenta baseada na web para criar visualizações personalizadas da matriz ATT&CK. Analistas criam camadas (arquivos JSON) que anexam técnicas com pontuações, cores, comentários e metadados para visualizar a cobertura de atores de ameaça, capacidades de detecção ou avaliações de risco.

Fluxo de Trabalho

Etapa 1: Consultar Dados ATT&CK Programaticamente

from attackcti import attack_client
import json

# Initialize ATT&CK client (queries MITRE TAXII server)
lift = attack_client()

# Get all Enterprise techniques
enterprise_techniques = lift.get_enterprise_techniques()
print(f"Total Enterprise techniques: {len(enterprise_techniques)}")

# Get all threat groups
groups = lift.get_groups()
print(f"Total threat groups: {len(groups)}")

# Get specific group by name
apt29 = [g for g in groups if 'APT29' in g.get('name', '')]
if apt29:
    group = apt29[0]
    print(f"Group: {group['name']}")
    print(f"Aliases: {group.get('aliases', [])}")
    print(f"Description: {group.get('description', '')[:200]}")

Etapa 2: Mapear Ator de Ameaça para Técnicas ATT&CK

from attackcti import attack_client

lift = attack_client()

# Get techniques used by APT29
apt29_techniques = lift.get_techniques_used_by_group("G0016")  # APT29 group ID

technique_map = {}
for entry in apt29_techniques:
    tech_id = entry.get("external_references", [{}])[0].get("external_id", "")
    tech_name = entry.get("name", "")
    description = entry.get("description", "")
    tactic_refs = [
        phase.get("phase_name", "")
        for phase in entry.get("kill_chain_phases", [])
    ]

    technique_map[tech_id] = {
        "name": tech_name,
        "tactics": tactic_refs,
        "description": description[:300],
    }

print(f"\nAPT29 uses {len(technique_map)} techniques:")
for tid, info in sorted(technique_map.items()):
    print(f"  {tid}: {info['name']} [{', '.join(info['tactics'])}]")

Etapa 3: Gerar Camada do ATT&CK Navigator

import json

def create_navigator_layer(group_name, technique_map, description=""):
    """Gera JSON da camada do ATT&CK Navigator para um grupo de ameaça."""
    techniques_list = []
    for tech_id, info in technique_map.items():
        techniques_list.append({
            "techniqueID": tech_id,
            "tactic": info["tactics"][0] if info["tactics"] else "",
            "color": "#ff6666",  # Vermelho para técnicas observadas
            "comment": info["description"][:200],
            "enabled": True,
            "score": 100,
            "metadata": [
                {"name": "group", "value": group_name},
            ],
        })

    layer = {

…