Como você usa de fato o MITRE ATT&CK no seu trabalho do dia a dia?

Use o ATT&CK como linguagem comum e mapa de cobertura, não como checklist. Marque detecções e incidentes com IDs de técnica para conseguir ver quais táticas você realmente observa, e depois feche as lacunas que importam para o seu modelo de ameaça. Ele também estrutura investigações: assim que você confirma uma técnica, as táticas vizinhas dizem onde procurar em seguida por acesso inicial, roubo de credenciais ou persistência.

De três jeitos. Primeiro, cobertura: toda detecção que a gente mantinha era marcada com IDs de técnica, então a liderança conseguia ver que a gente tinha cobertura sólida em execução e acesso a credenciais e quase nada em evasão de defesa. Aquela lacuna virou um trimestre de trabalho de detecção. Segundo, investigações: quando eu confirmo uma técnica, eu uso a matriz para decidir onde olhar em seguida. Se eu confirmei persistência por tarefa agendada, eu volto atrás pelo vetor de acesso inicial e por qualquer extração de credenciais entre esses dois pontos. Terceiro, purple team: a gente rodava testes atômicos para IDs de técnica específicos e marcava a cobertura honestamente como detectado, só logado, ou cego. O que eu contesto é percentual de cobertura. A gente tinha uma técnica marcada como coberta por uma regra que só disparava no nome padrão da ferramenta, que qualquer atacante competente renomeia em uns quatro segundos. Então eu classifico a cobertura pelo fato de a detecção se apoiar em comportamento e não em string, e eu prefiro reportar sessenta por cento honestos a noventa por cento que ninguém testou.