A taktikák azt írják le, miért cselekszenek a támadók, a technikák és altechnikák azt, hogyan érik el ezeket a célokat, az eljárások pedig a konkrét megfigyelt megvalósításokat. Külön ATT&CK-tartományok fedik le a vállalati, a mobil- és az ipari vezérlőrendszer-környezeteket.
A védekezők a közös nyelvet fenyegetésfelderítés strukturálására, észlelés és vadászat tájékoztatására, felhatalmazott támadóemuláció tervezésére és a kontrollbizonyítékok megvitatására használják. A technikaazonosítók segítenek összekapcsolni a csapatok és eszközök közötti munkát, de a leképezéseknek meg kell őrizniük a hatókört, a platformot, a verziót, a bizonyítékot és a bizonyosságot.
Legfontosabb pontok
ModellszerkezetA taktikák a célokat fejezik ki; a technikák és altechnikák a viselkedéseket írják le; az eljárások csoportok, kampányok vagy szoftverek konkrét megfigyelt használatait dokumentálják.
PriorizálásA szervezet rendszereihez, expozícióihoz, felderítéséhez és kockázatához releváns viselkedést kell kiválasztani, nem pedig a mátrix minden celláját egyformán fontosnak tekinteni.
ValidálásMinden állított észlelésnál vagy mérséklésnél realisztikus változatokat kell tesztelni, és meg kell erősíteni a szükséges telemetriát, analitikai logikát, kontrollelhelyezést és reagálási útvonalat.
Fontos korlátAz ATT&CK nem megfelelőségi szabvány, nem a támadói viselkedés teljes katalógusa és nem kész észlelési checklista. A leképezett kontroll nem bizonyít megbízható lefedettséget, és a 100 százalékos mátrixlefedettség hajszolása félrevezetheti az erőfeszítést.