MITRE ATT&CK

ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) voksede ud af MITRE's Fort Meade Experiment fra 2013, et forskningsprojekt om detektion efter kompromittering i Windows-baserede virksomhedsnetværk, og blev offentliggjort i 2015. I dag har den tre domæner: Enterprise (Windows, macOS, Linux, cloudplatforme, identitetsudbydere, SaaS, netværksudstyr, containere og ESXi), Mobile og ICS. Enterprise-matricen har 14 taktikker, fra Reconnaissance (TA0043) og Resource Development (TA0042), der begge kom til i 2020, over Initial Access, Execution, Persistence, Privilege Escalation, Defense Evasion, Credential Access, Discovery, Lateral Movement, Collection og Command and Control til Exfiltration og Impact.

Datamodellen er et sæt sammenkædede objekter med stabile id'er. Taktikker (TAxxxx) er angriberens taktiske mål; teknikker (Txxxx) er måden, målet nås på, og siden version 7 (2020) er mange opdelt i subteknikker (Txxxx.yyy), fx T1003.001, OS Credential Dumping: LSASS Memory, eller T1539, Steal Web Session Cookie. Procedurer er konkrete, observerede udførelser dokumenteret som eksempler. Grupper (Gxxxx), software (Sxxxx), kampagner (Cxxxx) og mitigeringer (Mxxxx) er knyttet til de teknikker, de bruger eller modvirker. Version 18, udgivet i oktober 2025, erstattede den gamle detektionstekst og kortlægningen til datakilder pr. teknik med detection strategies (DETxxxx) og platformspecifikke analytics, der peger på logkilder, hvilket er en væsentlig ændring for alle, der vedligeholder dækningskortlægninger. Hele materialet udgives som STIX 2.1-bundter, og ATT&CK Navigator lader teams farvelægge lag af matricen for at vise dækning, profiler af trusselsaktører eller testresultater. Nye versioner udkommer cirka to gange om året, så kortlægninger bør angive, hvilken ATT&CK-version de bygger på.

De vigtigste anvendelser er analyse af detektionsdækning, rapportering af threat intelligence, emulering af angribere og red/purple teaming samt prioritering af sikkerhedsinvesteringer ud fra huller. MITRE står også for ATT&CK Evaluations af kommercielle sikkerhedsprodukter. Beslægtede MITRE-projekter dækker nabobehov: D3FEND katalogiserer defensive teknikker, ATLAS dækker angreb på AI- og maskinlæringssystemer, CAPEC katalogiserer angrebsmønstre mod software, og Center for Threat-Informed Defense udgiver kortlægninger som ATT&CK til NIST SP 800-53.

Typiske fejlanvendelser er veldokumenterede, også af MITRE selv. En farvelagt matrix antyder en fuldstændighed, den ikke kan måle: en teknik er ikke "dækket" af én regel, fordi teknikker har mange procedurer, og detektionskvaliteten varierer med platform og datakilde. Ikke alle teknikker er lige relevante eller lige mulige at opdage, så 100 % dækning er et dårligt mål; prioritering efter relevans for de trusselsaktører, man møder, og efter udbredelse virker bedre. ATT&CK beskriver adfærd efter kompromittering mere finkornet end Lockheed Martins Cyber Kill Chain, der modellerer indbruddet som syv faser i rækkefølge, og den er hverken et risikorammeværk eller en modenhedsmodel. Den supplerer kompromitteringsindikatorer ved at arbejde nær toppen af Pyramid of Pain, hvor angriberens adfærd er dyr at ændre.