MITRE ATT&CK.

MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) ist eine kuratierte, regelmäßig aktualisierte Wissensdatenbank, die beschreibt, wie Angreifer gegen Unternehmen, mobile Geräte und industrielle Steuerungssysteme vorgehen. Sie gliedert Verhalten in Taktiken (die Ziele des Angreifers) sowie Techniken und Sub-Techniken (die eingesetzten Methoden) und verknüpft diese mit Bedrohungsgruppen, Software und Mitigationen.

MITRE startete ATT&CK 2013 als internes Forschungsprojekt und veröffentlichte es 2015 öffentlich; 2020 wurden viele Techniken in feinere Sub-Techniken aufgeteilt. Die Enterprise-Matrix umfasst 14 Taktiken — Reconnaissance (Aufklärung), Resource Development (Ressourcenentwicklung), Initial Access (Erstzugriff), Execution (Ausführung), Persistence (Persistenz), Privilege Escalation (Rechteausweitung), Defense Evasion (Umgehung von Abwehrmaßnahmen), Credential Access (Zugriff auf Zugangsdaten), Discovery (Erkundung), Lateral Movement (Laterale Bewegung), Collection (Sammlung), Command and Control (Steuerung und Kontrolle), Exfiltration (Exfiltration) und Impact (Auswirkung) — die auf Hunderte von Techniken mit stabilen IDs abgebildet werden (zum Beispiel T1566 Phishing oder T1059 Command and Scripting Interpreter). Obwohl kein Compliance-Framework, ist ATT&CK der De-facto-Standard für threat-informed defence: SOC-Detection-Engineering, Red und Purple Teaming, Austausch von Threat Intelligence sowie Gap-Analysen gegen NIST CSF. Werkzeuge wie der ATT&CK Navigator visualisieren die Abdeckung als Heatmap, während die Forschung des CTID und die ATT&CK Evaluations EDR-Produkte anhand emulierter Angreifer benchmarken.

flowchart LR
  A[Angreiferverhalten<br/>in der Praxis] --> B[Taktik: das Ziel<br/>z. B. Erstzugriff]
  B --> C[Technik: die Methode<br/>T1566 Phishing]
  C --> D[Sub-Technik<br/>T1566.001 Anhang]
  D --> E[Verknüpfung mit Gruppen,<br/>Software, Mitigationen]
  E --> F[Detection Engineering<br/>und Analyse von Abdeckungslücken]