MITRE ATT&CK ist eine frei zugängliche Wissensbasis über beobachtetes Verhalten von Angreifern. Sie ordnet Vorgehensweisen in Taktiken, Techniken und Subtechniken und verknüpft diese mit konkreten Beispielen, Gruppen, Kampagnen, Software, Gegenmaßnahmen und Erkennungsmöglichkeiten. Security-Teams erhalten dadurch eine gemeinsame Sprache, um Angriffe und Abwehrmaßnahmen vergleichbar zu beschreiben.
Wie ist MITRE ATT&CK aufgebaut?
| Element | Bedeutung | Beispiel |
|---|---|---|
| Taktik | Das aktuelle Ziel des Angreifers. | Credential Access oder Lateral Movement |
| Technik | Der grundsätzliche Weg zu diesem Ziel. | Brute Force oder Remote Services |
| Subtechnik | Eine konkretere Ausprägung einer Technik. | Password Guessing als Form von Brute Force |
| Procedure | Das beobachtete Vorgehen einer Gruppe oder Software. | Ein bestimmter Befehl oder eingesetztes Werkzeug |
| Mitigation und Detection | Ansätze zur Begrenzung beziehungsweise Erkennung. | MFA, Segmentierung oder passende Telemetrie |
Die Identifikatoren bleiben in Berichten und technischen Regeln eindeutig. T1059 bezeichnet beispielsweise Command and Scripting Interpreter; darunter liegen spezifischere Subtechniken. Wichtig ist die Trennung von Technik und Procedure: Zwei Angreifer können dieselbe Technik mit völlig unterschiedlichen Werkzeugen umsetzen.
Welche ATT&CK-Bereiche gibt es?
Enterprise ATT&CK behandelt Verhalten in klassischen Unternehmensumgebungen und Cloud-Plattformen. Mobile ATT&CK betrachtet mobile Betriebssysteme, während ICS ATT&CK auf industrielle Steuerungsumgebungen ausgerichtet ist. Die Matrizen unterscheiden sich, weil Angriffsziele, Technik und Folgen nicht identisch sind. Teams sollten den passenden Bereich und die verwendete Version dokumentieren, da MITRE die Wissensbasis regelmäßig aktualisiert.
Wie nutzen Blue Teams ATT&CK?
- Bedrohungen priorisieren: Relevante Gruppen, Techniken und Plattformen aus dem eigenen Risikoprofil ableiten.
- Telemetrie prüfen: Bestimmen, welche Daten für eine Erkennung benötigt und tatsächlich erhoben werden.
- Detection entwickeln: Analyselogik mit erwarteten Signalen und Fehlalarmquellen beschreiben.
- Wirksamkeit testen: Verhalten kontrolliert ausführen und prüfen, ob Alarmierung und Reaktion funktionieren.
- Lücken verwalten: Fehlende Abdeckung als priorisierte Aufgabe statt als bloßes Matrixfeld behandeln.
Im SOC können Alerts und Vorfälle Techniken zugeordnet werden. Das erleichtert Analysen über mehrere Werkzeuge hinweg und zeigt wiederkehrende Angriffsmuster. Eine Zuordnung allein sagt jedoch noch nichts über Qualität, Kontext oder Reaktionsgeschwindigkeit der Erkennung aus.
Wie nutzen Red und Purple Teams ATT&CK?
Ein Red Team kann Szenarien anhand realer Angreifertechniken planen und ausgeführte Schritte nachvollziehbar dokumentieren. Im Purple Teaming dient ATT&CK als Verbindung zwischen simuliertem Verhalten, beobachteter Telemetrie und verbesserter Detection. Ziel ist nicht, möglichst viele Techniken auszuführen, sondern für das Unternehmen relevante Angriffspfade realistisch zu überprüfen.
Wie entsteht eine sinnvolle ATT&CK-Abdeckung?
Vollständige Abdeckung der gesamten Matrix ist weder realistisch noch automatisch sinnvoll. Ein Cloud-Unternehmen, ein Produktionsbetrieb und eine Behörde benötigen unterschiedliche Schwerpunkte. Gute Priorisierung verbindet eigene Systeme, exponierte Zugänge, Threat Intelligence, vergangene Vorfälle und geschäftliche Auswirkungen. Für wichtige Techniken sollte nicht nur „abgedeckt“ vermerkt werden: Datenquelle, Erkennungsregel, Testdatum, Ergebnis und zuständige Person machen die Aussage überprüfbar.
Welche Grenzen hat das Framework?
ATT&CK ist kein vollständiges Risikomodell, kein Schwachstellenkatalog und kein fertiger Incident-Response-Plan. Es beschreibt überwiegend bekanntes, beobachtetes Verhalten; neue oder sehr organisationsspezifische Vorgehensweisen können fehlen. Auch Produktangaben wie „80 Prozent ATT&CK-Abdeckung“ sind ohne Scope und Testmethode wenig aussagekräftig. Das Framework entfaltet seinen Wert erst durch Auswahl, Telemetrie, Tests und einen funktionierenden Reaktionsprozess.
Vielen Dank für dein Feedback! Wir werden es prüfen und unseren Artikel anpassen.