अपने रोजमर्रा के काम में MITRE ATT&CK का इस्तेमाल आप असल में कैसे करते हैं?

ATT&CK को एक साझा भाषा और coverage का नक्शा मानें, checklist नहीं। detection और incident पर technique ID के tag लगाएं ताकि दिख सके कि आप किन tactic को सच में देख पाते हैं, फिर उन कमियों को भरें जो आपके threat model के लिए मायने रखती हैं। यह जांच को ढांचा भी देता है: एक technique की पुष्टि हो जाने पर पड़ोसी tactic बता देती हैं कि initial access, credential theft या persistence के लिए अगला कहां देखना है।

तीन तरीकों से। पहला, coverage: हमारी हर detection पर technique ID के tag थे, तो लीडरशिप देख सकती थी कि execution और credential access पर हमारी coverage ठोस है और defense evasion पर लगभग कुछ नहीं। वह कमी एक तिमाही का detection काम बन गई। दूसरा, जांच: जब मैं एक technique की पुष्टि कर लेता हूं तो मैं matrix से तय करता हूं कि अगला कहां देखना है। अगर मैंने scheduled task वाली persistence पक्की कर ली है, तो मैं initial access का रास्ता और उन दोनों बिंदुओं के बीच किसी भी credential dumping के लिए वापस जाता हूं। तीसरा, purple team: हमने खास technique ID के लिए atomic test चलाए और coverage को ईमानदारी से detected, सिर्फ logged, या blind लिखा। जिस बात पर मैं आपत्ति करता हूं वह है coverage के प्रतिशत। हमारे यहां एक technique को ऐसे rule से covered बताया गया था जो सिर्फ डिफॉल्ट tool के नाम पर चलता था, जिसे कोई भी काबिल हमलावर चार सेकंड में बदल देता है। इसलिए मैं coverage को इस आधार पर आंकता हूं कि detection किसी string के बजाय व्यवहार पर टिकी है या नहीं, और मैं ऐसे नब्बे प्रतिशत के मुकाबले जिसे किसी ने टेस्ट ही नहीं किया, ईमानदार साठ प्रतिशत बताना पसंद करूंगा।