Техника ATT&CK

Простыми словами

Проще говоря, «Техника ATT&CK» помогает команде связать сведения о противнике с проверяемой гипотезой, нужной телеметрией и приоритетом поиска. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.

Как применяется

В практике ИБ термин «Техника ATT&CK» используют так: его связывают с данными об угрозах, гипотезами поиска, наблюдаемыми признаками и приоритетами защиты. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.

Пример применения

При формулировании гипотезы threat hunter опирается на понятие «Техника ATT&CK», выбирает подходящие источники данных и проверяет найденные признаки на реальной телеметрии.

Не путать с

  • Подтехника ATT&CKПодтехника ATT&CK — более детализированный вариант техники ATT&CK.
  • Группа угрозГруппа угроз — совокупность активности, атрибутированной предполагаемому противнику или устойчивому кластеру.
  • Профиль противникаПрофиль противника — структурированное описание мотивов, возможностей, TTP, целей и инфраструктуры предполагаемого противника.

Как это работает

  1. Поставить аналитический вопросДля «Техника ATT&CK» заранее определяют, какое решение должен поддержать результат.
  2. Собрать и проверить данныеИсточники оценивают по происхождению, времени, достоверности и применимости.
  3. Построить гипотезуНаблюдения связывают с инфраструктурой, поведением, противником и контекстом организации.
  4. Операционализировать выводРезультат «Техника ATT&CK» превращают в поиск, приоритет защиты или изменение обнаружения.

Частые вопросы

Что такое «Техника ATT&CK» простыми словами?

Проще говоря, «Техника ATT&CK» помогает команде связать сведения о противнике с проверяемой гипотезой, нужной телеметрией и приоритетом поиска. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.

Как «Техника ATT&CK» применяют на практике?

В практике ИБ термин «Техника ATT&CK» используют так: его связывают с данными об угрозах, гипотезами поиска, наблюдаемыми признаками и приоритетами защиты. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.

Чем «Техника ATT&CK» отличается от близких понятий?

«Техника ATT&CK» описывает следующее: конкретный способ, которым противник достигает тактической цели в модели ATT&CK. «Подтехника ATT&CK» означает: более детализированный вариант техники ATT&CK. Понятия могут использоваться вместе, но у них разные объект, назначение или этап работы.

Техника ATT&CK — конкретный способ, которым противник достигает тактической цели в модели ATT&CK.