Začína hrozbou, prípadom zneužitia alebo obranným cieľom, identifikuje dôkazy, ktoré by aktivita zanechala, a premieňa toto uvažovanie na analytiky, ktoré možno validovať voči realistickým údajom.
Práca pokračuje po nasadení pravidla. Inžinieri monitorujú jeho výkon, ladenia ho pri zmene systémov a správania útočníkov, dokumentujú jeho predpoklady a vyradzujú ho, keď už nie je užitočné. Zdravý program tiež nachádza medzery v telemetrii: teoreticky správna detekcia nemôže fungovať, keď potrebné udalosti chýbajú, meškajú, sú deformované alebo nedostupné.
Kľúčové body
Typický životný cyklusDefinovať správanie, mapovať potrebné údaje, postaviť analytiku, testovať očakávané aj neočakávané prípady, nasadiť bezpečne, merať, ladeníte a udržiavať.
Bežné vstupySpravodajstvo o hrozbách, nálezy incidentov, techniky útočníkov, znalosť architektúry, základné správanie a vlastné rizikové priority organizácie.
Užitočné dôkazyReprodukovateľné testy, známe závislosti údajov, história verzií, vlastníctvo, navádzač vyšetrovania a zaznamenané dôvody ladenia alebo potlačenia.
Dôležité obmedzenieViac pravidiel a širšie pokrytie ATT&CK automaticky neznamená lepšiu detekciu. Zle testované analytiky môžu vytvárať šum, slepé miesta alebo falošnú dôveru.