MITRE ATT&CK (od – „taktyki, techniki i wiedza ogólna o przeciwnikach”), także ATT&CK – publicznie dostępna, ustrukturyzowana baza wiedzy o taktykach i technikach stosowanych przez przeciwników w cyberatakach, oparta na obserwacjach z rzeczywistych incydentów; rozwijana od 2013 roku przez amerykańską organizację non profit MITRE Corporation. Każda technika ma stały identyfikator (np. T1566 – phishing), dzięki czemu framework pełni w branży cyberbezpieczeństwa funkcję wspólnego słownika do opisu zachowań atakujących; amerykańska agencja Cybersecurity and Infrastructure Security Agency (CISA) opublikowała oficjalne zalecenia mapowania analiz zagrożeń na ATT&CK.
W odróżnieniu od podejść opartych na wskaźnikach kompromitacji (), ATT&CK opisuje same zachowania i cele atakujących – taktyka odpowiada na pytanie, „po co” przeciwnik wykonuje daną czynność, a technika – „jak” to robi. Framework bywa zestawiany z modelem koncernu Lockheed Martin, wobec którego stanowi bardziej szczegółową alternatywę.
Historia ATT&CK wywodzi się z wewnętrznego środowiska badawczego MITRE o nazwie FMX, w którym opracowywano metody szybszego wykrywania zaawansowanych, długotrwałych zagrożeń (APT); katalogowanie zaobserwowanych zachowań atakujących doprowadziło w 2013 roku do powstania pierwszej, wewnętrznej wersji frameworka, skupionej na środowiskach Windows w sieciach korporacyjnych. Publicznie model udostępniono w maju 2015 roku – zawierał wówczas 96 technik pogrupowanych w 9 taktyk.
W 2017 roku zakres rozszerzono na systemy Mac i Linux (całość nazwano ATT&CK for Enterprise), a równolegle opublikowano macierz ATT&CK for Mobile dla urządzeń mobilnych; w 2019 roku dodano techniki chmurowe, w 2020 roku macierz ATT&CK for ICS dla przemysłowych systemów sterowania, a w 2021 roku – techniki dotyczące kontenerów. Baza jest aktualizowana w regularnych, publikowanych mniej więcej co pół roku wersjach. W wersji 19 z kwietnia 2026 roku dotychczasową taktykę (unikanie obrony) podzielono na dwie: (ukrywanie działań pod pozorem normalnej aktywności) i (aktywne wyłączanie mechanizmów obronnych).
Struktura Framework obejmuje trzy macierze: Enterprise (systemy stacjonarne i serwerowe – Windows, macOS, Linux – oraz usługi chmurowe, sieci i kontenery), Mobile (Android i iOS) oraz ICS (przemysłowe systemy sterowania). Macierz przedstawia taktyki jako kolumny, a przypisane im techniki jako wiersze.
Macierz Enterprise dzieli się (według wersji 19) na 15 taktyk odzwierciedlających kolejne cele atakującego: rozpoznanie (), przygotowanie zasobów (), uzyskanie pierwszego dostępu (), wykonanie kodu (), utrzymanie dostępu (), eskalację uprawnień (), ukrywanie działań (), osłabianie obrony (), pozyskiwanie poświadczeń (), rozpoznanie środowiska (), ruch boczny (), gromadzenie danych (), komunikację z systemami ofiary (), eksfiltrację danych () i wywieranie wpływu na systemy (). Taktykom przyporządkowane są techniki i subtechniki – w wersji 19 macierz Enterprise opisuje 222 techniki.
Poza taktykami i technikami baza kataloguje także grupy przestępcze i szpiegowskie (identyfikatory G, np. APT28), używane przez nie oprogramowanie (identyfikatory S), kampanie oraz środki zaradcze i metody detekcji przypisane poszczególnym technikom.
Zastosowania ATT&CK jest wykorzystywany m.in. w analizie zagrożeń (), wykrywaniu włamań, polowaniu na zagrożenia, projektowaniu zabezpieczeń i zarządzaniu ryzykiem. Red teamy używają go do emulacji zachowań konkretnych przeciwników, a blue teamy – do mapowania pokrycia detekcji i oceny zdolności reagowania centrów operacji bezpieczeństwa (SOC). Na frameworku opiera się także program ATT&CK Evaluations, w którym oceniana jest skuteczność komercyjnych produktów bezpieczeństwa wobec technik znanych grup. Macierz integrują w swoich produktach dostawcy rozwiązań bezpieczeństwa, m.in. Microsoft (Sentinel), IBM i Cisco.
Z frameworka korzystają również polskie instytucje cyberbezpieczeństwa – według przedstawiciela CSIRT MON modelowanie zagrożeń w organizacji polega na zidentyfikowaniu potencjalnych przeciwników, przypisaniu im znanych technik na bazie MITRE ATT&CK i przetestowaniu odporności własnych systemów na ich działania.
Powiązane projekty Uzupełnieniem ATT&CK jest rozwijany przez MITRE framework D3FEND, katalogujący w analogiczny sposób techniki obronne i wiążący je z technikami ataku z ATT&CK; udostępniony w wersji beta w czerwcu 2021 roku, wersję 1.0 osiągnął na przełomie 2024 i 2025 roku. MITRE prowadzi też katalog wzorców ataków CAPEC (), opisujący znane wzorce ataków na aplikacje.
Przypisy
Linki zewnętrzne Oficjalna strona MITRE ATT&CK
Kategoria:Bezpieczeństwo komputerowe Kategoria:Standardy informatyczne