[Segurança] MITRE ATT&CK

O MITRE ATT&CK (Adversarial Tactics Techniques and Common Knowledge) é um framework disponibilizado pelo MITRE que consiste em uma base de conhecimento de ciber ataques, aonde eles são classificados em 12 táticas. Assim, ele categoriza e descreve centenas de técnicas que os cyber atacantes podem utilizar para comprometer as empresas.

No framework ATT&CK, as técnicas de ciber ataque estão categorizadas e divididas nas seguintes categorias, chamadas de "táticas", e que tem a ver com o passo-a-passo da realização de um cyber ataque:

1. Initial Access
2. Execution
3. Persistence
4. Privilege Escalation
5. Defense Evasion
6. Credential Access
7. Discovery
8. Lateral Movement
9. Collection
10. Command and Control
11. Exfiltration
12. Impact

Me permitam fazer um exercício rápido.. me arrisco a mapear as 12 táticas acima com o "Cyber Kill Chain", da Lockheed Martin:

Cyber Kill Chain	MITRE ATT&CK
Reconnaissance	N/A
Weaponization	N/A
Delivery	Initial Access
Exploitation	Execution
Installation	Persistence Privilege Escalation Defense Evasion Credential Access Discovery Lateral Movement Collection
Command and Control	Command and Control
Actions on Objective	Exfiltration Impact

A matriz que lista todas as táticas e técnicas do MITRE ATT&CK é bem gigante, fica muito difícil criar uma imagem que caiba aqui no blog ilustrando ela na sua totalidade. Veja um screenshot tirado do site:

O framework ATT&CK também é muito legal pois descreve, para cada técnica de ataque conhecida, as principais recomendações de mitigação e detecção que podem ser utilizadas, quando for aplicável. Veja abaixo, por exemplo, a página que descreve a técnica de "Exploit Public-Facing Application" (ID T1190):

Veja uma rápida explicação do MITRE ATT&CK nesse vídeo de 2 minutos do pessoal da Tripwire:

Para saber mais:

• Site do MITRE ATT&CK
• PRE-ATT&CK Matrix
• The MITRE ATT&CK Framework: What You Need to Know
• Cyber Kill Chain
• Frameworks and Why We Use Them

PS (adicionado em 19/05/2020): A Microsoft, por exemplo, começou a urilizar o framework do Mitre Att&ck nas notificações dela: "MITRE ATT&CK technique info in Microsoft Defender ATP alerts".

PS/2 (adicionado em 03/07/2023): Vale a pena ler esse artigo: The Holy Bible of Threat Intelligence: Learn the art of Actionable Intelligence.