MITRE ATT&CK.

O MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) é uma base de conhecimento curada e regularmente atualizada que descreve como os atacantes operam contra empresas, dispositivos móveis e sistemas de controlo industrial. Organiza o comportamento em táticas (os objetivos do atacante) e em técnicas e subtécnicas (os métodos usados), associando-os a grupos de ameaça, software e mitigações.

A MITRE iniciou o ATT&CK como um projeto de investigação interno em 2013 e publicou-o abertamente em 2015; em 2020 reestruturou muitas técnicas em subtécnicas mais granulares. A matriz Enterprise abrange 14 táticas — Reconnaissance (Reconhecimento), Resource Development (Desenvolvimento de recursos), Initial Access (Acesso inicial), Execution (Execução), Persistence (Persistência), Privilege Escalation (Escalada de privilégios), Defense Evasion (Evasão de defesas), Credential Access (Acesso a credenciais), Discovery (Descoberta), Lateral Movement (Movimento lateral), Collection (Recolha), Command and Control (Comando e controlo), Exfiltration (Exfiltração) e Impact (Impacto) — mapeadas a centenas de técnicas com IDs estáveis (por exemplo, T1566 Phishing ou T1059 Command and Scripting Interpreter). Embora não seja um referencial de conformidade, o ATT&CK é a referência de facto para a defesa informada por ameaças: engenharia de deteção no SOC, exercícios red e purple team, partilha de threat intelligence e avaliações de lacunas face ao NIST CSF. Ferramentas como o ATT&CK Navigator representam a cobertura em mapas de calor, enquanto a investigação do CTID e as ATT&CK Evaluations avaliam produtos EDR face a adversários emulados.

flowchart LR
  A[Comportamento do adversário<br/>no mundo real] --> B[Tática: o objetivo<br/>ex. Acesso inicial]
  B --> C[Técnica: o método<br/>T1566 Phishing]
  C --> D[Subtécnica<br/>T1566.001 Anexo]
  D --> E[Mapear a grupos,<br/>software, mitigações]
  E --> F[Engenharia de deteção<br/>e análise de lacunas de cobertura]