Usar MITRE ATT&CK no SOC significa traduzir o comportamento real de adversários em regras de detecção, lacunas de cobertura e hipóteses de threat hunting — em vez de tratar a matriz como enfeite de slide. Na prática, o framework funciona como uma base de conhecimento global de táticas e técnicas de adversários construída a partir de observações do mundo real, mantida pela MITRE e consumida por agências de governo, fabricantes de segurança e equipes de operações. O ganho concreto para o time aparece em três frentes: linguagem comum entre detecção, inteligência e resposta; medição objetiva de cobertura; e ligação direta entre advisory público e query no SIEM. A referência oficial da matriz está em attack.mitre.org.
O que o ATT&CK resolve
A matriz Enterprise organiza o comportamento ofensivo em táticas — o objetivo do adversário, como acesso inicial, escalada de privilégio e movimento lateral — e em técnicas, as ações concretas usadas para alcançar cada objetivo. Sub-técnicas descrevem o comportamento em nível mais baixo e procedimentos registram o uso observado em ataques reais, com exemplos de grupos e software. Para um SOC, essa taxonomia resolve um problema crônico: alertas desconectados de contexto. Quando cada regra de detecção carrega o identificador da técnica que cobre, o time consegue responder três perguntas que dashboards isolados não respondem: o que eu detecto de fato, o que o adversário faz que eu não vejo e onde a próxima hora de engenharia de detecção rende mais.
Um detalhe operacional que evita desperdício: as táticas não são fases ordenadas de um ataque. O adversário muda de objetivo durante a operação e pode voltar atrás, então cobertura por tática serve para organizar defesa, não para prever cronograma de invasão. Quem já opera com o Cyber Kill Chain não precisa escolher um modelo pelo outro; o ATT&CK desce a um nível mais granular de comportamento e complementa a visão por fases.
Da matriz à regra
A adoção que funciona segue um procedimento curto e repetível, executado como rotina mensal de engenharia de detecção e não como projeto único:
- Definir o escopo da matriz relevante: Enterprise para rede corporativa, com IaaS, SaaS e provedor de identidade, sem misturar com Mobile.
- Inventariar as regras existentes no SIEM e no EDR e taggear cada uma com o identificador da técnica que cobre, por exemplo T1566 para phishing.
- Listar, para cada técnica prioritária, as fontes de dados exigidas — log de processo, tráfego DNS, eventos de autenticação — e confirmar que elas chegam de fato à plataforma.
- Marcar as lacunas: técnica relevante para o perfil de ameaça da organização sem regra associada ou sem telemetria disponível.
- Escrever ou ajustar regras priorizando as lacunas com maior impacto e registrar tudo no backlog de detecção.
A tabela abaixo resume o raciocínio de cobertura em três táticas de alto valor:
| Tática | Exemplo de técnica | Fonte de dados | Ação no SOC |
|---|---|---|---|
| Acesso inicial | Phishing com anexo (T1566.001) | Gateway de e-mail, EDR | Regra de entrega de anexo executável + alerta de pós-detonação |
| Movimento lateral | Pass the hash (T1550.002) | Eventos de logon 4624/4648, tráfego SMB | Correlacionar logon tipo 9 com origem incomum |
| Acesso a credenciais | OS Credential Dumping via LSASS (T1003.001) | Telemetria de processo, Sysmon | Alertar acesso de leitura ao processo lsass.exe fora de backup |
Cada linha virada em regra taggeada alimenta o próximo ciclo: a cobertura deixa de ser sensação e passa a ser número auditável de técnicas cobertas sobre o total priorizado.
Prioridade por tática e grupo
Sem priorização, a matriz vira lista infinita. O caminho pragmático é escolher as técnicas por dois critérios: frequência no setor da organização e aderência aos grupos que de fato a miram. As páginas de grupo e de campanha do framework conectam atores a procedimentos observados, e é essa ponte que transforma inteligência de ameaças em requisito de detecção. A ponte também existe no lado governamental: a CISA etiqueta seus advisories com as táticas do MITRE ATT&CK, o que transforma cada relatório público em insumo direto de caça a ameaças, como no alerta conjunto sobre a exploração do CVE-2023-42793 em servidores JetBrains TeamCity, que lista de Command and Control a Privilege Escalation em AA23-347A. A mesma lógica se aplica a ransomware: quando um novo grupo entra em cena, o mapeamento de técnicas do advisory orienta o que procurar primeiro — abordagem usada na análise de bypass de MFA pelo ransomware Gunra e na detecção de movimento lateral documentada em pass the hash no SOC.
Threat hunting com advisories
Advisory público mapeado em ATT&CK é hipótese de caça pronta. O ciclo recomendado: extrair as técnicas citadas no relatório, verificar quais já têm cobertura, e transformar as descobertas em regras permanentes quando a hipótese se confirma. A disciplina de tuning é parte do ciclo, não etapa opcional. Avaliação recente da CISA com red teams em duas organizações mostrou o custo de ignorar isso: ferramentas de detecção destunadas e excesso de alertas fizeram uma das organizações avaliadas não detectar um comprometimento total do domínio conquistado pelo red team, enquanto a outra isolou sistemas e forçou o time ofensivo para um modelo de assumir violação, conforme o advisory AA26-237A de agosto de 2026. A lição para quem usa o ATT&CK é direta: mapear cobertura sem manter baseline e reduzir ruído produz matriz colorida e SOC cego ao mesmo tempo.
Checklist de adoção no SOC
Para visualizar e gerenciar a cobertura, a ferramenta de referência é o ATT&CK Navigator, disponível em mitre-attack.github.io: o Navigator permite anotar e explorar as matrizes do ATT&CK para visualizar cobertura defensiva, planejar red team e comparar a frequência das técnicas detectadas. Um checklist mínimo para começar:
- Taggear todas as regras ativas com identificador de técnica e revisar o inventário a cada atualização da matriz.
- Construir uma camada no Navigator com a cobertura atual e outra com as técnicas do último advisory relevante.
- Escolher de cinco a dez técnicas prioritárias por trimestre com base no perfil de ameaça, não em moda.
- Fechar cada lacuna com fonte de dados confirmada antes de escrever a regra.
- Medir resultado por técnica coberta e por tempo médio de detecção, não por volume de alertas.
Com esse ciclo rodando, o ATT&CK deixa de ser vocabulário de apresentação e passa a ser o contrato entre inteligência, engenharia de detecção e resposta — com lacuna visível, prioridade justificada e melhoria auditável a cada iteração.
