Implementando Mapeamento de Cobertura MITRE ATT&CK

Visão Geral

O mapeamento de cobertura MITRE ATT&CK oferece às equipes de SOC uma perspectiva estruturada e centrada no adversário para avaliar as capacidades de detecção. Em média, os SIEMs corporativos possuem cobertura de detecção para apenas 21% das técnicas ATT&CK (relatório CardinalOps de 2025), com 13% das regras existentes sendo não funcionais devido a fontes de dados mal configuradas. O mapeamento sistemático de cobertura identifica lacunas, prioriza o desenvolvimento de regras e rastreia a maturidade da detecção ao longo do tempo. ATT&CK v18.1 (dezembro de 2025) é a versão mais recente.

Quando Usar

• Ao implantar ou configurar capacidades de mapeamento de cobertura MITRE ATT&CK em seu ambiente.
• Ao estabelecer controles de segurança alinhados a requisitos de conformidade.
• Ao construir ou melhorar a arquitetura de segurança para este domínio.
• Ao realizar avaliações de segurança que exigem esta implementação.

Pré-requisitos

• Acesso ao MITRE ATT&CK Navigator (https://mitre-attack.github.io/attack-navigator/)
• Inventário de todas as regras de detecção SIEM ativas.
• Mapeamento de técnicas MITRE ATT&CK para cada regra de detecção.
• Inventário de fontes de dados (quais fontes de log estão sendo ingeridas).
• Compreensão dos perfis de ameaças de adversários relevantes para sua indústria.

Processo de Mapeamento de Cobertura

Etapa 1: Exportar Regras de Detecção Atuais

# Splunk ES - Export all active correlation searches with MITRE mappings
| rest /services/saved/searches
| search disabled=0 action.correlationsearch.enabled=1
| table title, search, action.notable.param.security_domain,
    action.notable.param.severity, action.correlationsearch.annotations
| eval mitre_techniques=mvfilter(match('action.correlationsearch.annotations', "mitre_attack"))

// Microsoft Sentinel - Export analytics rules with MITRE mapping
SecurityAlert
| summarize count() by AlertName, ProductName
| join kind=inner (
    resources
    | where type == "microsoft.securityinsights/alertrules"
    | extend tactics = properties.tactics
) on $left.AlertName == $right.name

Etapa 2: Construir a Matriz de Cobertura

Formato de Camada do ATT&CK Navigator

{
    "name": "SOC Detection Coverage - 2025",
    "versions": {
        "attack": "16",
        "navigator": "5.1",
        "layer": "4.5"
    },
    "domain": "enterprise-attack",
    "description": "Current detection coverage mapping",
    "techniques": [
        {
            "techniqueID": "T1110",
            "tactic": "credential-access",
            "color": "#00ff00",
            "comment": "2 active rules - Brute Force detection via EventCode 4625",
            "score": 75,
            "metadata": [
                {"name": "rule_count", "value": "2"},
                {"name": "data_sources", "value": "Windows Security Log, Linux Auth"},
                {"name": "last_validated", "value": "2025-01-15"}
            ]
        },
        {
            "techniqueID": "T1059.001",
            "tactic": "execution",
            "color": "#00ff00",
            "comment": "3 rules - PowerShell Script Block Logging",
            "score": 85
        },
        {
            "techniqueID": "T1055",
            "tactic": "defense-evasion",
            "color": "#ff0000",
            "comment": "NO DETECTION - Requires Sysmon EventCode 8/10",
            "score": 0
        }
    ],
    "gradient": {
        "colors": ["#ff0000", "#ffff00", "#00ff00"],
        "minValue": 0,
        "maxValue": 100
    }
}

Etapa 3: Pontuar Cada Técnica

Detalhe dos Critérios de Pontuação

Pontuação = Pontuação_Fonte_Dados (0-25) + Pontuação_Qualidade_Regra (0-25) +
            Pontuação_Validação (0-25) + Pontuação_Enriquecimento (0-25)

Pontuação_Fonte_Dados:
  25: Todas as fontes de dados necessárias ingeridas e analisadas
  15: Fonte de dados principal disponível
  5:  Cobertura parcial de fontes de dados
  0:  Fontes de dados necessárias indisponíveis

Pontuação_Qualidade_Regra:
  25: Regra usa consultas compatíveis com CIM com limites adequados
  15: Regra funciona, mas pode gerar falsos positivos
  5:  Regra básica sem ajuste
  0:  Sem regra de detecção

Pontuação_Validação:
  25: Validada com emulação de adversário (Atomic Red Team)
  15: Testada com dados sintéticos

…