Mapeamento de Técnicas MITRE ATT&CK

Quando Usar

Use esta habilidade quando:

• Gerar um mapa de calor de cobertura ATT&CK para mostrar quais técnicas sua pilha de detecção aborda
• Marcar casos de uso de SIEM existentes ou regras Sigma com IDs de técnica ATT&CK para relatórios estruturados
• Alinhar o roteiro do seu programa de segurança a grupos de adversários específicos conhecidos por atingir seu setor

Não use esta habilidade para triagem de incidentes em tempo real — o mapeamento ATT&CK é uma atividade analítica que é melhor realizada após a detecção ou durante o planejamento de caça a ameaças.

Pré-requisitos

• Acesso à base de conhecimento MITRE ATT&CK (https://attack.mitre.org) ou pacote de dados STIX ATT&CK local
• Aplicativo web ATT&CK Navigator ou instalação local (https://mitre-attack.github.io/attack-navigator/)
• Inventário de regras de detecção existentes (Sigma, Splunk, Sentinel KQL) para avaliar a cobertura atual
• Biblioteca Python ATT&CK: pip install mitreattack-python

Fluxo de Trabalho

Etapa 1: Obter Dados ATT&CK Atuais

Baixe o pacote STIX ATT&CK mais recente para a matriz relevante (Enterprise, Mobile, ICS):

curl -o enterprise-attack.json \
  https://raw.githubusercontent.com/mitre/cti/master/enterprise-attack/enterprise-attack.json

Use a biblioteca mitreattack-python para consultar técnicas programaticamente:

from mitreattack.stix20 import MitreAttackData

mitre = MitreAttackData("enterprise-attack.json")
techniques = mitre.get_techniques(remove_revoked_deprecated=True)
for t in techniques[:5]:
    print(t["external_references"][0]["external_id"], t["name"])

Etapa 2: Mapear Detecções Existentes para Técnicas

Para cada regra de SIEM ou arquivo Sigma, atribua IDs de técnica ATT&CK. As regras Sigma suportam marcação ATT&CK nativa:

tags:
  - attack.execution
  - attack.t1059.001  # PowerShell
  - attack.t1059.003  # Windows Command Shell

Crie uma matriz de cobertura: liste cada ID de técnica e marque como: Detectado (alerta dispara), Registrado (dados presentes, mas sem alerta), Cego (sem fonte de dados).

Etapa 3: Priorizar Lacunas de Cobertura Usando Inteligência de Ameaças

Cruze lacunas de cobertura com grupos de adversários que visam seu setor. Use dados de Grupos ATT&CK:

groups = mitre.get_groups()
apt29 = mitre.get_object_by_attack_id("G0016", "groups")
apt29_techniques = mitre.get_techniques_used_by_group(apt29)
for t in apt29_techniques:
    print(t["object"]["external_references"][0]["external_id"])

Priorize a adição de detecção para técnicas usadas por grupos de ameaças de alta prioridade onde sua cobertura é cega.

Etapa 4: Construir Mapa de Calor do Navigator

Exporte pontuações de cobertura como camada JSON do ATT&CK Navigator:

import json

layer = {
    "name": "SOC Detection Coverage Q1 2025",
    "versions": {"attack": "14", "navigator": "4.9", "layer": "4.5"},
    "domain": "enterprise-attack",
    "techniques": [
        {"techniqueID": "T1059.001", "score": 100, "comment": "Splunk rule: PS_Encoded_Command"},
        {"techniqueID": "T1071.001", "score": 50, "comment": "Logged only, no alert"},
        {"techniqueID": "T1055", "score": 0, "comment": "No coverage — blind spot"}
    ],
    "gradient": {"colors": ["#ff6666", "#ffe766", "#8ec843"], "minValue": 0, "maxValue": 100}
}
with open("coverage_layer.json", "w") as f:
    json.dump(layer, f)

Importe a camada no ATT&CK Navigator (https://mitre-attack.github.io/attack-navigator/) para visualização.

Etapa 5: Gerar Relatório Executivo de Cobertura

Resuma a cobertura por categoria de tática (Acesso Inicial, Execução, Persistência, etc.) com contagens e porcentagens. Forneça uma lista classificada por risco das 10 principais técnicas de ponto cego com base na frequência de uso por grupos de adversários. Recomende adições de fontes de dados (por exemplo, "Habilitar o Registro de Blocos de Script do PowerShell para abordar 12 lacunas de sub-técnicas de Execução").

Conceitos Chave

…