Wie nutzt du MITRE ATT&CK tatsächlich in deiner täglichen Arbeit?

Nutz ATT&CK als gemeinsame Sprache und als Coverage Map, nicht als Checkliste. Tagg Detections und Incidents mit Technique IDs, damit du siehst, welche Taktiken du wirklich beobachten kannst, und schließ dann die Lücken, die für dein Threat Model zählen. Es strukturiert auch Untersuchungen: sobald du eine Technik bestätigt hast, sagen dir die benachbarten Taktiken, wo du als Nächstes nach Initial Access, Credential Theft oder Persistence suchst.

Auf drei Arten. Erstens Coverage: jede Detection, die uns gehörte, war mit Technique IDs getaggt, die Führung konnte also sehen, dass wir bei Execution und Credential Access solide abgedeckt waren und bei Defense Evasion fast nichts hatten. Diese Lücke wurde zu einem Quartal Detection-Arbeit. Zweitens Untersuchungen: wenn ich eine Technik bestätige, nutze ich die Matrix, um zu entscheiden, wo ich als Nächstes suche. Wenn ich Persistence über Scheduled Tasks bestätigt habe, gehe ich zurück zum Initial-Access-Vektor und zu jedem Credential Dumping zwischen diesen beiden Punkten. Drittens Purple Team: wir haben Atomic Tests für bestimmte Technique IDs gefahren und Coverage ehrlich als erkannt, nur geloggt oder blind markiert. Wogegen ich mich wehre, sind Coverage-Prozente. Wir hatten eine Technik als abgedeckt markiert, mit einer Regel, die nur auf den Standard-Toolnamen feuerte, den jeder halbwegs kompetente Angreifer in etwa vier Sekunden umbenennt. Ich bewerte Coverage also danach, ob die Detection auf Verhalten statt auf einen String keyt, und ich berichte lieber ehrliche sechzig Prozent als neunzig, die nie jemand getestet hat.