O uso do MITRE ATT&CK no SOC cria um vocabulário público e comparável para o comportamento ofensivo: em vez de raciocinar por nomes de regras e indicadores isolados, a equipe descreve o que observa em termos de táticas e técnicas, compara esse mapa com a cobertura real de detecção e fecha as lacunas em ordem de risco. O ganho imediato é uma linguagem comum entre detecção, resposta a incidentes, threat intelligence e purple team, sustentada por um corpo de dados público mantido pelo MITRE. Este guia mostra como aplicar o framework no dia a dia do centro de operações: traduzir telemetria em técnicas, medir lacunas com a ferramenta oficial de visualização e priorizar o engineering de detecção que realmente reduz risco.
O que o ATT&CK entrega
O ATT&CK é uma base de conhecimento globalmente acessível de táticas e técnicas de adversários baseada em observações do mundo real, usada como fundação para modelos de ameaça no setor privado, no governo e na comunidade de produtos e serviços de segurança. A matriz Enterprise organiza esse comportamento em táticas que vão de Reconnaissance até Impact e cobre plataformas que incluem Windows, macOS, Linux, provedores de identidade, SaaS, IaaS, containers, dispositivos de rede e ESXi. Na versão consultada, a evasão é a tática mais densa do modelo: Defense Evasion concentra 42 técnicas, mais do que qualquer outra tática da matriz Enterprise, o que ajuda a explicar por que assinaturas estáticas perdem para adversários adaptativos que trocam de ferramenta a cada etapa.
Como o corpo de dados é versionado e auditável, o SOC consegue comparar períodos: quando uma nova versão adiciona técnicas, fica explícito quais comportamentos novos ainda não têm regra, query ou caso de uso associado. O acesso não tem barreira de licenciamento — o conteúdo é aberto e gratuito, disponível para qualquer pessoa ou organização sem custo, e cada objeto da matriz carrega um identificador estável, o que permite referenciar técnicas em tickets, playbooks e relatórios sem ambiguidade.
Da telemetria à técnica
O primeiro movimento operacional é o inventário: para cada fonte de log — EDR, proxy, DNS, gateway de e-mail, Active Directory, trilha de auditoria de cloud —, listar quais comportamentos ela evidencia e associar cada sinal à técnica correspondente. O exercício força honestidade sobre o que o stack realmente enxerga, expõe telemetria comprada e nunca explorada e dá ao time de detecção um vocabulário para negociar novas fontes de dados com argumento, não com sensação.
| Sinal observado no SOC | Técnica ATT&CK | Tática | Ação recomendada |
|---|---|---|---|
| E-mail com anexo malicioso bloqueado | T1566 – Phishing | Initial Access | Correlacionar com alertas de execução nos endpoints alvo |
| Powershell com codificação Base64 em host de usuário | T1059 – Command and Scripting Interpreter | Execution | Alertar com contexto de linha de comando e processo pai |
| Autenticação válida em horário atípico | T1078 – Valid Accounts | Defense Evasion | Correlacionar com identidade, geolocalização e MFA |
| Sessão RDP entre estações de trabalho | T1021 – Remote Services | Lateral Movement | Verificar origem, destino e justificativa de mudança |
| Renomeação em massa de arquivos em servidor de arquivos | T1486 – Data Encrypted for Impact | Impact | Escalar como possível ransomware e isolar o host |
O mesmo vocabulário serve para reler incidentes com olhar técnico. No bypass de MFA executado pelo ransomware Gunra, cada etapa do invasor cabe em técnicas específicas de acesso a credenciais e evasão; já o movimento lateral por pass-the-hash mapeia diretamente para a tática de Lateral Movement. Quando o relatório pós-incidente cita técnicas em vez de narrativa solta, o time de detecção converte a leitura em regra dentro do mesmo ciclo de resposta, e a lição do incidente vira cobertura permanente em vez de conhecimento que morre na retrospectiva.
Análise de lacunas com o Navigator
Com o inventário pronto, a ferramenta oficial entra em cena. O ATT&CK Navigator permite visualizar a cobertura defensiva e o planejamento de red e blue team em camadas personalizadas da matriz: cada layer marca quais técnicas têm detecção, quais dependem de uma única fonte de sinal e quais não têm nada. As camadas podem ser criadas na interface ou geradas programaticamente, o que permite versionar o heatmap de cobertura junto com o repositório de detecções e acompanhar a evolução sprint a sprint, com diff visível do que melhorou e do que regrediu.
Na prática, o exercício de lacunas tem três saídas: uma lista de técnicas sem cobertura nenhuma, uma lista de técnicas cobertas por fonte única — ponto de falha se o fornecedor cair ou o log for cortado por custo — e uma lista de técnicas com cobertura redundante, candidatas a consolidação de alertas. O segundo grupo costuma ser o mais negligenciado e o mais barato de atacar, porque a telemetria complementar muitas vezes já existe em outra ferramenta do próprio stack.
Priorizando detecções que importam
Cobertura total é meta irrealista; priorização é o que separa maturidade de desperdício. Três critérios sustentam a ordem do backlog: prevalência das técnicas entre os adversários que efetivamente miram o setor da organização, disponibilidade de telemetria para a técnica e impacto no negócio caso o comportamento passe despercebido. Uma técnica frequente em incidentes reais e detectável com log já coletado entra na frente de exotismos sem fonte de sinal, por mais impressionante que pareça na matriz.
O viés recomendado é o de defesa informada por ameaça: alinhar a matriz de cobertura ao perfil do adversário, não à contagem de células pintadas. Um heatmap bonito em táticas raras no contexto da organização vale menos do que profundidade em Credential Access, Lateral Movement e Impact, onde ransomware e acesso inicial concentram o prejuízo. Cada detecção nova ganha um caso de uso documentado com a técnica associada, a fonte de sinal e o runbook de resposta — sem isso, o mapa vira decoração de apresentação e o analista continua triando alertas às cegas.
Procedimento para adotar o ATT&CK
- Eleger um proprietário do programa e fixar a versão da matriz que o SOC usará como referência interna.
- Inventariar as fontes de telemetria e listar, para cada uma, os comportamentos que consegue evidenciar.
- Mapear cada comportamento a uma técnica da matriz, registrando fonte, regra e maturidade da detecção.
- Gerar a camada de cobertura no Navigator e identificar lacunas, fontes únicas e redundâncias.
- Priorizar o backlog por prevalência de adversário, telemetria disponível e impacto no negócio.
- Revisar a cada novo incidente e a cada atualização da matriz, convertendo lições em cobertura permanente.
Para automação, o caminho é consumir os dados direto da fonte: o conjunto de dados do ATT&CK é distribuído publicamente em STIX 2.1 por meio do repositório attack-stix-data, o que permite tratar a matriz como uma dependência versionada do pipeline de detecção e validar em integração contínua se uma regra nova referencia técnicas que existem de fato na versão adotada.
