MITRE: o que é MITRE ATT&CK

MITRE ATT&CK

MITRE ATT&CK é o framework mantido pela MITRE Corporation que cataloga táticas (objetivos do atacante: acesso inicial, persistência, escalada, exfiltração), técnicas (como atinge cada objetivo) e procedimentos (implementações concretas, com grupos APT documentados). Estruturado em matrizes para Enterprise (Windows, macOS, Linux, cloud, network), ICS (industrial) e Mobile. Virou padrão de fato para mapear detecções de SIEM/XDR contra TTPs reais, executar red team com escopo claro e medir cobertura objetiva de SOC. Atualizado continuamente com base em incidentes públicos.

Por que ATT&CK virou linguagem comum de cibersegurança

Antes de ATT&CK, cada fornecedor de EDR, SIEM ou MDR descrevia detecção com vocabulário próprio. Comparar cobertura era impossível. Com ATT&CK, todos falam a mesma língua: T1059 é execução por linha de comando, T1486 é ransomware (data encrypted for impact), T1078 é uso de conta válida. Auditor, fornecedor e time interno conseguem conversar sobre o que está coberto e o que está exposto. Hoje, RFP de SOC sério exige mapa de cobertura ATT&CK.

Onde ATT&CK não substitui outras frameworks

ATT&CK descreve o que o atacante faz, não o que a organização deveria controlar. Para controles, NIST CSF 2.0 e ISO 27001 continuam essenciais. O combo ideal é NIST CSF para governança + ATT&CK para detecção + CIS Controls para hardening.

Como a Tripla atua nesse tema

O CyberWatch MDR da Tripla opera com mapa de cobertura ATT&CK explícito por cliente — cada detecção rastreada à técnica correspondente, com gaps priorizados. O time de threat hunting roda hipóteses baseadas em ATT&CK por setor (TTPs de Conti em saúde, TTPs de Lockbit em indústria, TTPs de operadores de fraude PIX em financeiro). Para clientes que pedem, entregamos avaliação Purple Team com mapa de cobertura ATT&CK pré e pós-implementação.

Solução Tripla