Usar MITRE ATT&CK no SOC significa traduzir alertas, regras e caças para o vocabulário do comportamento do adversário: cada detecção recebe uma tática e uma técnica, o time passa a medir onde tem cobertura e onde tem lacuna, e a prioridade deixa de ser definida pelo volume de alertas para ser definida pelo risco de comprometimento. O ATT&CK é uma base de conhecimento globalmente acessível de táticas e técnicas de adversários baseada em observações do mundo real, mantida pelo MITRE e disponível sem custo para qualquer organização. Este guia percorre o caminho prático: mapear detecções, priorizar técnicas, medir cobertura e aproveitar regras abertas que já chegam categorizadas por técnica.
O que o ATT&CK representa
O modelo organiza o conhecimento sobre adversários em quatro componentes: táticas representam o porquê de uma ação, técnicas representam como o objetivo é alcançado, sub-técnicas descrevem variações mais específicas e procedimentos documentam implementações observadas em ataques reais. A matriz Enterprise organiza o comportamento adversário em táticas que vão de Reconnaissance e Resource Development até Exfiltration e Impact, cobrindo o ciclo completo de uma operação, com domínios separados para redes corporativas e nuvem, dispositivos móveis e sistemas industriais. Para o SOC, essa estrutura resolve um problema concreto: produtos diferentes descrevem o mesmo evento com vocabulários distintos, e a técnica funciona como chave de tradução comum entre EDR, SIEM, proxy e identidade.
Como mapear detecções
O próprio MITRE lista detecção e analíticos entre os casos de uso mais relatados pela comunidade, porque o framework ajuda defensores a desenvolver analíticos que detectam as técnicas usadas por um adversário. O mapeamento começa invertendo a lógica tradicional de assinatura: em vez de partir do artefato, parte-se do comportamento que precisa ser notado e pergunta-se qual telemetria o revela. A tabela abaixo resume pontos de partida frequentes:
| Tática | Exemplo de técnica | Telemetria necessária | Pergunta de detecção |
|---|---|---|---|
| Credential Access | Password Guessing | Logs de autenticação | Falhas repetidas seguidas de sucesso para a mesma conta? |
| Lateral Movement | Remote Services | Telemetria de RDP e SMB | Conexões incomuns entre estações de trabalho? |
| Persistence | Scheduled Task | Logs de endpoint | Tarefas agendadas criadas fora da janela de mudança? |
| Defense Evasion | Indicator Removal | Logs de EDR e SIEM | Limpeza de logs ou desativação de agente de segurança? |
| Command and Control | Application Layer Protocol | Fluxo de rede e DNS | Tráfego para domínios recém-registrados? |
Com o inventário de telemetria em mãos, o procedimento recomendado segue esta ordem:
- Selecionar os adversários e softwares maliciosos relevantes para o setor e a região da operação.
- Extrair as técnicas associadas a cada adversário nas páginas públicas do ATT&CK.
- Cruzar cada técnica com as fontes de dados que o SOC já coleta e sinalizar as que dependem de coleta nova.
- Escrever ou adaptar a regra de detecção registrando a técnica nos metadados da regra.
- Anotar a cobertura numa camada do Navigator e revisar a lacuna a cada nova campanha divulgada.
- Testar a regra contra casos reais antes de promover a produção, medindo falsos positivos.
Priorizando técnicas relevantes
A matriz não é um checklist de conformidade para colorir todos os quadradinhos. O guia do MITRE adverte explicitamente contra declarar vitória após cobrir uma única variação: um adversário tem múltiplas formas de executar a maioria das técnicas, e detectar um caminho não significa detectar a técnica inteira. A prioridade útil combina três sinais: frequência da técnica em incidentes do setor, uso por grupos que miram a organização e disponibilidade real da telemetria necessária. Cobertura registrada sem dado coletado é linha pintada no Navigator, não defesa ativa em produção.
Medindo cobertura de detecção
A medição de cobertura usa camadas no ATT&CK Navigator: uma camada registra o que o SOC detecta hoje, outra registra as técnicas dos adversários prioritários, e a interseção expõe a lacuna de detecção de forma visual e comparável entre trimestres. Exemplos já publicados aqui mostram o método aplicado: a detecção de movimento lateral com pass-the-hash mapeia diretamente para a tática Lateral Movement, e a análise do bypass de MFA pelo ransomware Gunra mostra como uma campanha nova redefine a fila de técnicas prioritárias. O resultado é um placar honesto de capacidade defensiva, argumento sólido para justificar investimento em coleta de dados e redução de duplicidade de alertas.
Ferramentas e regras abertas
O esforço de escrever detecções do zero é reduzido pelo ecossistema aberto. O repositório SigmaHQ mantém mais de 3000 regras de detecção abertas, divididas entre regras genéricas, regras de caça e regras de ameaças emergentes, com metadados que permitem filtrar por técnica e converter a regra para o formato do SIEM em uso. Para o SOC, o ganho aparece no tempo entre a divulgação de um advisory e a primeira detecção operacional: em vez de reimplementar a lógica, o analista adapta uma regra existente, valida contra o ambiente e versiona junto ao pipeline de detecção. Manter as regras sob revisão periódica evita o acúmulo de falsos positivos que erodem a confiança do plantão.
