Comment utilisez-vous concrètement MITRE ATT&CK dans votre travail quotidien ?

Utilisez ATT&CK comme un langage commun et une carte de couverture, pas comme une liste à cocher. Étiquetez les détections et les incidents avec des identifiants de technique pour voir quelles tactiques vous pouvez réellement observer, puis comblez les trous qui comptent pour votre modèle de menace. Cela structure aussi les investigations : une fois une technique confirmée, les tactiques voisines vous disent où chercher ensuite l'accès initial, le vol d'identifiants ou la persistance.

De trois façons. D'abord la couverture : chaque détection dont nous étions propriétaires était étiquetée avec des identifiants de technique, donc la direction pouvait voir qu'on avait une bonne couverture sur l'exécution et l'accès aux identifiants et presque rien sur le contournement des défenses. Ce trou est devenu un trimestre de travail de détection. Ensuite les investigations : quand je confirme une technique, j'utilise la matrice pour décider où regarder ensuite. Si j'ai confirmé une persistance par tâche planifiée, je remonte au vecteur d'accès initial et à tout vol d'identifiants entre ces deux points. Enfin le purple team : on lançait des tests atomiques pour des identifiants de technique précis et on notait la couverture honnêtement en détecté, journalisé seulement, ou aveugle. Ce sur quoi je pousse, c'est contre les pourcentages de couverture. On avait une technique marquée couverte par une règle qui ne se déclenchait que sur le nom d'outil par défaut, que n'importe quel attaquant compétent renomme en quatre secondes. Donc je note la couverture selon que la détection s'appuie sur un comportement plutôt que sur une chaîne de caractères, et je préfère rapporter soixante pour cent honnêtes que quatre-vingt-dix pour cent que personne n'a testés.