¿Cómo usas realmente MITRE ATT&CK en tu día a día?

Usa ATT&CK como lenguaje común y mapa de cobertura, no como lista de tareas. Etiqueta detecciones e incidentes con IDs de técnica para ver qué tácticas puedes observar de verdad y luego cierra las brechas que importan para tu modelo de amenazas. También estructura las investigaciones: una vez confirmas una técnica, las tácticas vecinas te dicen dónde mirar después para acceso inicial, robo de credenciales o persistencia.

De tres formas. Primero, cobertura: cada detección que teníamos estaba etiquetada con IDs de técnica, así que la dirección podía ver que teníamos cobertura sólida en ejecución y acceso a credenciales y casi nada en evasión de defensas. Esa brecha se llevó un trimestre entero de trabajo de detección. Segundo, investigaciones: cuando confirmo una técnica uso la matriz para decidir dónde mirar después. Si he confirmado persistencia por tarea programada, vuelvo atrás a buscar el vector de acceso inicial y cualquier volcado de credenciales entre esos dos puntos. Tercero, purple team: ejecutábamos pruebas atómicas para IDs de técnica concretos y marcábamos la cobertura con honestidad como detectada, solo registrada o ciega. Lo que sí discuto son los porcentajes de cobertura. Teníamos una técnica marcada como cubierta por una regla que solo disparaba con el nombre por defecto de la herramienta, algo que cualquier atacante competente renombra en unos cuatro segundos. Así que califico la cobertura según si la detección se apoya en comportamiento y no en una cadena de texto, y prefiero reportar un sesenta por ciento honesto que un noventa que nadie ha probado.