Opisuje, dlaczego przeciwnicy działają — przez taktyki; jak realizują te cele — przez techniki i podtechniki; oraz konkretne zaobserwowane implementacje — przez procedury. Osobne domeny ATT&CK obejmują środowiska korporacyjne, mobilne i systemów sterowania przemysłowego.
Obrońcy używają wspólnego języka do strukturyzowania informacji o zagrożeniach, informowania detekcji i aktywnego wyszukiwania zagrożeń, planowania autoryzowanej emulacji przeciwnika i dyskutowania dowodów kontroli. Identyfikatory technik pomagają łączyć pracę między zespołami i narzędziami, ale mapowania powinny zachowywać zakres, platformę, wersję, dowody i pewność.
Najważniejsze punkty
Struktura modeluTaktyki wyrażają cele; techniki i podtechniki opisują zachowania; procedury dokumentują konkretne zaobserwowane użycia przez grupy, kampanie lub oprogramowanie.
PriorytetyzacjaWybieraj zachowania istotne dla systemów, ekspozycji, informacji o zagrożeniach i ryzyka organizacji, zamiast traktować każdą komórkę macierzy jako równie ważną.
WalidacjaDla każdej deklarowanej detekcji lub mitigacji testuj realistyczne warianty i potwierdzaj niezbędną telemetrię, logikę analityczną, umiejscowienie kontroli i ścieżkę reakcji.
Istotne ograniczenieATT&CK nie jest standardem zgodności, kompletnym katalogiem zachowań przeciwników ani gotową checklistą detekcji. Zmapowana kontrola nie dowodzi wiarygodnego pokrycia, a dążenie do 100% pokrycia macierzy może błędnie kierować wysiłek.