Popisuje, proč protivníci jednají, prostřednictvím taktik, jak tyto cíle sledují, prostřednictvím technik a podtechnik, a konkrétní pozorované implementace prostřednictvím postupů. Samostatné domény ATT&CK pokrývají podniková, mobilní a průmyslová řídicí prostředí.
Obránci používají společný jazyk ke strukturování informací o hrozbách, informování detekce a lovu hrozeb, plánování autorizované emulace protivníků a diskuzi důkazů kontrol. Identifikátory technik pomáhají propojovat práci napříč týmy a nástroji, ale mapování by měla uchovávat rozsah, platformu, verzi, důkazy a jistotu.
Klíčové body
Struktura modeluTaktiky vyjadřují cíle; techniky a podtechniky popisují chování; postupy dokumentují konkrétní pozorovaná použití skupinami, kampaněmi či softwarem.
PrioritizaceVybírejte chování relevantní pro systémy, expozice, zpravodajství a riziko organizace, místo považování každé buňky matrice za stejně důležitou.
ValidaceU každé deklarované detekce či mitigace testujte realistické varianty a potvrďte potřebnou telemetrii, analytickou logiku, umístění kontroly a cestu reakce.
Důležité omezeníATT&CK není standard compliance, úplný katalog chování protivníků ani hotový detekční checklist. Namapovaná kontrola nedokazuje spolehlivé pokrytí a usilování o 100% pokrytí matrice může úsilí misrovat.