Implementando Modelagem de Ameaças com MITRE ATT&CK

Quando Usar

Use esta habilidade quando:

• Equipes de SOC precisarem avaliar a cobertura de detecção contra atores de ameaças relevantes e seus TTPs
• Liderança de segurança exigir priorização de defesa informada por ameaças
• Novos ambientes (migração para nuvem, integração de OT) precisarem de planejamento de estratégia de detecção
• Exercícios de equipe roxa exigirem emulação estruturada de adversários com base em modelos de ameaças
• Avaliações anuais de risco precisarem de análise do cenário de ameaças com base no ATT&CK

Não use como um exercício único — modelos de ameaças devem ser continuamente atualizados à medida que os TTPs dos adversários evoluem e a superfície de ataque organizacional muda.

Pré-requisitos

• Conhecimento do framework MITRE ATT&CK (matrizes Enterprise, ICS, Mobile ou Cloud)
• Ferramenta ATT&CK Navigator (web ou local) para visualização de camadas
• Inventário atual de regras de detecção mapeadas para IDs de técnica ATT&CK
• Inteligência de ameaças sobre grupos de adversários que visam seu setor
• Inventário de ativos organizacionais com classificações de criticidade

Fluxo de Trabalho

Passo 1: Identificar Atores de Ameaças Relevantes

Pesquise grupos de adversários que visam seu setor usando Grupos do MITRE ATT&CK:

import requests
import json

# Download ATT&CK STIX data
response = requests.get(
    "https://raw.githubusercontent.com/mitre/cti/master/enterprise-attack/enterprise-attack.json"
)
attack_data = response.json()

# Extract groups and their techniques
groups = {}
for obj in attack_data["objects"]:
    if obj["type"] == "intrusion-set":
        group_name = obj["name"]
        aliases = obj.get("aliases", [])
        description = obj.get("description", "")
        groups[group_name] = {
            "aliases": aliases,
            "description": description[:200],
            "techniques": []
        }

# Map techniques to groups via relationships
relationships = [obj for obj in attack_data["objects"] if obj["type"] == "relationship"]
techniques = {obj["id"]: obj for obj in attack_data["objects"]
              if obj["type"] == "attack-pattern"}

for rel in relationships:
    if rel["relationship_type"] == "uses":
        source = rel["source_ref"]
        target = rel["target_ref"]
        for group_name, group_data in groups.items():
            if source == group_data.get("id") and target in techniques:
                tech = techniques[target]
                ext_refs = tech.get("external_references", [])
                for ref in ext_refs:
                    if ref.get("source_name") == "mitre-attack":
                        group_data["techniques"].append(ref["external_id"])

# Example: Financial sector threat actors
financial_actors = ["FIN7", "FIN8", "Carbanak", "APT38", "Lazarus Group"]
for actor in financial_actors:
    if actor in groups:
        print(f"{actor}: {len(groups[actor]['techniques'])} techniques")
        print(f"  Top techniques: {groups[actor]['techniques'][:10]}")

Passo 2: Construir Perfil de TTPs de Atores de Ameaças

Crie camadas do ATT&CK Navigator para atores de ameaças prioritários:

import json

def create_attack_layer(actor_name, techniques, color="#ff6666"):
    """Generate ATT&CK Navigator JSON layer for a threat actor"""
    layer = {
        "name": f"{actor_name} TTP Profile",
        "versions": {
            "attack": "15",
            "navigator": "5.0",
            "layer": "4.5"
        },
        "domain": "enterprise-attack",
        "description": f"Techniques associated with {actor_name}",
        "techniques": [
            {
                "techniqueID": tech_id,
                "tactic": "",
                "color": color,
                "comment": f"Used by {actor_name}",
                "enabled": True,
                "score": 1
            }
            for tech_id in techniques
        ],
        "gradient": {
            "colors": ["#ffffff", color],
            "minValue": 0,
            "maxValue": 1
        }
    }
    return layer

# Create layers for top threat actors
fin7_techniques = ["T1566.001", "T1059.001", "T1053.005", "T1547.001",
                    "T1078", "T1021.001", "T1003", "T1071.001", "T1041"]
layer = create_attack_layer("FIN7", fin7_techniques, "#ff6666")

with open("fin7_layer.json", "w") as f:
    json.dump(layer, f, indent=2)

Passo 3: Mapear Cobertura de Detecção Atual

Exporte regras de detecção atuais mapeadas para ATT&CK:

--- Extrai mapeamentos de técnicas ATT&CK de buscas de correlação do Splunk ES
| rest /services/saved/searches
  splunk_server=local
| where match(title, "^(COR|ESCU|RBA):")

…