MITRE ATT&CK: o mapa das táticas de ataque

Quando um atacante invade uma rede, ele não improvisa do zero — segue padrões que se repetem entre campanhas, grupos e anos. O framework MITRE ATT&CK nasceu exatamente para catalogar esses padrões a partir de observações do mundo real. Neste artigo você vai entender como o ATT&CK organiza táticas e técnicas, como navegar pela matriz, e como usá-lo para defender melhor e atacar com mais método — com exemplos concretos de mapeamento e detecção.

O que é o MITRE ATT&CK

ATT&CK significa Adversarial Tactics, Techniques, and Common Knowledge. É uma base de conhecimento), mantida pela MITRE Corporation, que documenta o comportamento real de adversários em ambientes de produção (MITRE, 2020). Em vez de teorizar sobre o que poderia acontecer, o ATT&CK descreve o que de fato foi observado em ataques.

A grande virada conceitual do ATT&CK é mudar o foco. Em vez de pensar em vulnerabilidades isoladas, ele pensa em comportamento. Um adversário pode trocar de exploit, mas a tática de "obter persistência" ou "mover-se lateralmente" tende a permanecer. Catalogar comportamento, e não apenas falhas, torna o conhecimento mais durável.

O projeto começou dentro da MITRE em 2013, a partir de um esforço de pesquisa interno chamado FMX (Fort Meade Experiment), que buscava medir o quão bem a telemetria de endpoints permitia detectar adversários após o comprometimento inicial. A constatação foi clara: faltava um vocabulário comum para descrever o que os atacantes faziam depois de entrar. O ATT&CK preencheu essa lacuna e, desde então, tornou-se referência mundial, atualizado periodicamente com novas técnicas observadas em campo.

O lugar do ATT&CK na "pirâmide da dor"

Para entender por que o ATT&CK é tão valioso, ajuda lembrar o conceito da Pyramid of Pain (Bianco, 2013). Indicadores como hashes de arquivo e endereços IP são triviais para o atacante trocar — bloqueá-los causa pouca "dor". Já as táticas, técnicas e procedimentos (TTPs) estão no topo da pirâmide: são caras de mudar, porque representam o jeito de operar do adversário. O ATT&CK é, essencialmente, um catálogo estruturado de TTPs — exatamente a camada que mais machuca o atacante quando você consegue detectá-la.

Táticas: o "porquê" do ataque

No vocabulário do ATT&CK, uma tática representa o objetivo do adversário em um dado momento — a razão de uma ação. As táticas são organizadas como colunas em uma grande matriz e descrevem a jornada típica de um ataque.

Algumas das táticas principais, em ordem aproximada de uma intrusão:

• Reconnaissance (TA0043): coletar informações sobre o alvo, atividade equivalente ao reconhecimento (recon) do pentest.
• Resource Development (TA0042): preparar infraestrutura, contas e ferramentas para a campanha.
• Initial Access (TA0001): conseguir o primeiro ponto de apoio na rede.
• Execution (TA0002): rodar código malicioso no sistema comprometido.
• Persistence (TA0003): manter o acesso mesmo após reinícios.
• Privilege Escalation (TA0004): ganhar permissões mais altas.
• Defense Evasion (TA0005): evitar ser detectado, desativando ou contornando controles.
• Credential Access (TA0006): roubar senhas, hashes e tokens.
• Discovery (TA0007): mapear o ambiente interno já comprometido.
• Lateral Movement (TA0008): pular de um sistema para outro.
• Collection (TA0009): juntar os dados de interesse.
• Command and Control (TA0011): manter comunicação com a infraestrutura do atacante.
• Exfiltration (TA0010): extrair os dados de valor.
• Impact (TA0040): destruir, criptografar ou manipular dados e sistemas.

Cada tática responde à pergunta "o que o atacante quer aqui?". A resposta para "como ele consegue isso?" está nas técnicas. Vale destacar que a ordem das colunas não é uma sequência rígida: um adversário pode pular táticas, repetir outras e alternar entre elas várias vezes ao longo de uma intrusão.

Técnicas: o "como" do ataque

Dentro de cada tática existem técnicas — os métodos concretos para alcançar o objetivo. Por exemplo, dentro da tática Privilege Escalation há técnicas como abuso de tokens, exploração de configurações de serviço e abuso de mecanismos de elevação. Esse mapeamento é tão direto que um guia inteiro de escalação de privilégios pode ser lido como um passeio pelas técnicas dessa tática.

As técnicas têm identificadores no formato Txxxx e muitas se desdobram em sub-técnicas, no formato Txxxx.yyy, que detalham variações específicas. Por exemplo, a técnica T1059 (Command and Scripting Interpreter) tem sub-técnicas como T1059.001 (PowerShell) e T1059.003 (Windows Command Shell). Cada entrada de técnica costuma trazer:

• Descrição do método e contexto de uso.
• Procedimentos: exemplos reais de grupos que a usaram.
• Mitigações: o que os defensores podem fazer para prevenir.
• Detecções: que fontes de dados e sinais ajudam a identificá-la.

Essa estrutura faz do ATT&CK não só um catálogo, mas um manual prático de defesa.

Táticas, técnicas e procedimentos: a distinção que importa

Uma confusão comum é tratar "técnica" e "procedimento" como sinônimos. No ATT&CK:

• A técnica descreve o comportamento de forma geral (ex.: "despejo de credenciais da memória do LSASS").
• O procedimento é a implementação específica que um grupo usou (ex.: "o grupo X usou a ferramenta Mimikatz com o comando sekurlsa::logonpasswords").

Distinguir os dois é crucial na hora de escrever regras de detecção. Detectar um procedimento específico (uma assinatura de ferramenta) é frágil — basta trocar a ferramenta. Detectar a técnica subjacente (acesso anômalo à memória do LSASS) é muito mais robusto.

A estrutura da matriz

O ATT&CK é mais conhecido por sua matriz, uma grade onde as colunas são táticas e as células abaixo são técnicas. Ler a matriz da esquerda para a direita aproxima-se de seguir o ciclo de vida de um ataque.

Existem matrizes diferentes para contextos diferentes:

• Enterprise, cobrindo Windows, Linux, macOS, nuvem, redes, contêineres e identidade.
• Mobile, para Android e iOS.
• ICS, para sistemas de controle industrial.

Essa segmentação garante que as técnicas sejam relevantes ao ambiente analisado, em vez de uma lista genérica e pouco acionável.

ATT&CK Navigator: visualizando cobertura

A MITRE disponibiliza uma ferramenta web gratuita, o ATT&CK Navigator, que permite "pintar" técnicas sobre a matriz, criar camadas (layers) e combiná-las. Um uso típico é gerar três camadas — "ameaças relevantes ao meu setor", "minha cobertura de detecção atual" e "o que o último pentest emulou" — e sobrepô-las para enxergar lacunas. Cada layer é um arquivo JSON, o que facilita versioná-lo no Git e acompanhar a evolução da postura de segurança ao longo do tempo.

{
  "name": "Cobertura de deteccao - Q2",
  "domain": "enterprise-attack",
  "techniques": [
    { "techniqueID": "T1059.001", "score": 100, "comment": "PowerShell: logging + Sigma rule ativa" },
    { "techniqueID": "T1003.001", "score": 40,  "comment": "LSASS dump: detecção parcial, sem EDR" },
    { "techniqueID": "T1566.001", "score": 0,   "comment": "Spearphishing anexo: ponto cego" }
  ]
}

Um score de 0 a 100 vira um mapa de calor: vermelho onde não há detecção, verde onde há. Esse artefato simples comunica risco para liderança técnica e não técnica de forma imediata.

Recursos do ecossistema ATT&CK

Em torno da base de conhecimento, a MITRE e a comunidade construíram um ecossistema que vale conhecer:

• ATT&CK Navigator: visualização e camadas de cobertura, já apresentado acima.
• D3FEND: um framework complementar que cataloga contramedidas defensivas, mapeáveis às técnicas ofensivas do ATT&CK. Onde o ATT&CK descreve o ataque, o D3FEND descreve a defesa correspondente.
• CAR (Cyber Analytics Repository): analíticas de detecção prontas, mapeadas a técnicas.
• Engage: orientação sobre engajamento do adversário e tecnologias de logro (deception).
• MITRE ATT&CK Evaluations: avaliações públicas e independentes de produtos de segurança contra emulações de adversários reais, úteis para comparar EDRs sem depender só do marketing dos fabricantes.

Conhecer esse ecossistema evita reinventar a roda: muita coisa que você precisaria construir já existe, aberta e mapeada ao mesmo vocabulário.

ATT&CK para a defesa

Do lado defensivo, o ATT&CK virou uma linguagem comum. Equipes de segurança o usam para:

• Mapear cobertura de detecção. Para cada técnica, você pergunta "eu conseguiria detectar isso?". O resultado é um mapa de calor de pontos cegos.
• Priorizar investimentos. Técnicas usadas pelos grupos mais relevantes ao seu setor recebem atenção primeiro.
• Estruturar threat intelligence. Relatórios de incidentes ficam comparáveis quando descritos em termos de técnicas ATT&CK.
• Conduzir exercícios. Times vermelho e azul falam a mesma língua durante simulações.

Esse uso defensivo conversa diretamente com práticas de threat modeling: ao desenhar um sistema, você pode antecipar quais técnicas um adversário tentaria e projetar controles correspondentes, na linha do que propõe Shostack (2014).

Detecções baseadas em ATT&CK na prática

A força do lado defensivo aparece quando você conecta o ATT&CK à sua telemetria. O modelo de dados do ATT&CK lista, para cada técnica, fontes de dados (data sources) úteis — por exemplo, logs de criação de processo, chamadas de API ou tráfego de rede. Projetos abertos como Sigma (regras de detecção independentes de SIEM) e o MITRE CAR (Cyber Analytics Repository) já trazem regras mapeadas a técnicas ATT&CK.

Um exemplo de regra Sigma para a sub-técnica T1003.001 (despejo de credenciais do LSASS):

title: Acesso suspeito a memoria do LSASS
status: experimental
logsource:
  product: windows
  category: process_access
detection:
  selection:
    TargetImage|endswith: '\lsass.exe'
    GrantedAccess: '0x1410'
  condition: selection
tags:
  - attack.credential_access
  - attack.t1003.001
level: high

Note as tags attack.t1003.001: elas amarram a regra à técnica, permitindo que ferramentas calculem automaticamente sua cobertura no Navigator. Esse é o tipo de integração que transforma o ATT&CK de teoria em operação.

ATT&CK para a ofensa

Do lado ofensivo, o framework é igualmente valioso. Pentesters e equipes red team usam o ATT&CK para:

• Planejar engajamentos. Selecionar quais técnicas emular para testar defesas específicas.
• Estruturar relatórios. Em vez de "explorei um CVE", você situa a exploração da vulnerabilidade dentro da tática Initial Access e mostra a cadeia completa até a exfiltração.
• Emular adversários reais. É possível imitar o repertório conhecido de um grupo específico, testando se a organização resistiria a ele.

Essa narrativa por táticas e técnicas eleva a qualidade do relatório e deve fazer parte de qualquer metodologia de pentest moderna. O cliente não recebe uma lista solta de achados, mas uma história coerente de como um adversário avançaria.

Emulação de adversários e Atomic Red Team

A emulação de adversários (adversary emulation) é o uso mais avançado do ATT&CK na ofensiva. Em vez de testar técnicas aleatórias, a equipe escolhe um grupo real cujo perfil ameaça a organização e reproduz a cadeia de TTPs que ele costuma usar. A própria MITRE publica adversary emulation plans para grupos conhecidos, descrevendo passo a passo a sequência de técnicas.

Para validações mais rápidas e granulares, o projeto Atomic Red Team oferece testes pequenos e atômicos, cada um mapeado a uma técnica. Um "atômico" para T1059.001 pode ser simplesmente um comando PowerShell que dispara o comportamento esperado, permitindo que o time azul verifique se a detecção acende:

# Atomic test para T1059.001 - execucao via PowerShell encoded
$cmd = "Write-Host 'Atomic test T1059.001'"
$bytes = [System.Text.Encoding]::Unicode.GetBytes($cmd)
$encoded = [Convert]::ToBase64String($bytes)
powershell.exe -EncodedCommand $encoded

Rodar esse teste em um ambiente controlado e verificar se o SIEM gerou alerta é um ciclo de validação que fecha o laço entre ofensa e defesa — conhecido como purple teaming.

Caso prático: descrevendo uma intrusão em linguagem ATT&CK

Para sentir o valor do framework, veja como um mesmo incidente soa descrito de forma solta versus mapeado ao ATT&CK.

Descrição solta: "O atacante mandou um e-mail com anexo malicioso, a vítima abriu, ele rodou um script, conseguiu virar admin, pulou para outro servidor e levou o banco de dados."

A mesma história em ATT&CK fica acionável:

• Initial Access → Phishing: Spearphishing Attachment (T1566.001). Anexo malicioso por e-mail.
• Execution → User Execution: Malicious File (T1204.002). A vítima abriu o anexo.
• Execution → Command and Scripting Interpreter: PowerShell (T1059.001). Script de payload.
• Privilege Escalation → Access Token Manipulation (T1134). Elevação a administrador.
• Lateral Movement → Remote Services: SMB/Windows Admin Shares (T1021.002). Salto para outro servidor.
• Collection → Data from Information Repositories (T1213) e Exfiltration → Exfiltration Over C2 Channel (T1041). Coleta e saída dos dados.

A versão mapeada é instantaneamente comparável a outros incidentes, conecta-se a mitigações e detecções documentadas para cada técnica, e cabe num layer do Navigator. Esse é o ganho concreto de adotar o vocabulário.

Como começar a usar o ATT&CK

Adotar o ATT&CK não exige uma transformação de uma vez. Um caminho gradual funciona melhor:

1. Explore a matriz Enterprise e familiarize-se com as táticas em ordem.
2. Escolha poucas técnicas relevantes ao seu ambiente para mapear primeiro.
3. Avalie detecção e mitigação de cada uma, registrando lacunas.
4. Conecte aos seus achados de pentest, etiquetando cada finding com a técnica correspondente.
5. Itere. Amplie a cobertura conforme amadurece, sem tentar abraçar a matriz inteira no início.

O objetivo não é preencher toda a grade, mas usar o ATT&CK como uma bússola que orienta decisões.

Erros comuns ao adotar o ATT&CK

• Tentar cobrir tudo de uma vez. A matriz Enterprise tem centenas de técnicas. Buscar cobertura total no primeiro trimestre leva à frustração. Comece pelas técnicas que os adversários do seu setor mais usam.
• Confundir cobertura de log com cobertura de detecção. Ter o log que registra uma técnica não significa que você a detecta. Detecção exige uma analítica (regra, query, alerta) sobre aquele log.
• Mapear achados a técnicas erradas. Forçar um finding para dentro de uma técnica conveniente distorce a estatística. Quando em dúvida, mapeie à sub-técnica mais específica que os dados sustentam.
• Tratar a ordem das colunas como obrigatória. Adversários não seguem a matriz da esquerda para a direita. Usar a ordem como roteiro fixo gera detecções ingênuas.
• Ignorar mitigações. O ATT&CK não é só detecção; cada técnica traz mitigações preventivas. Investir só em detectar, e nunca em prevenir, é um desequilíbrio caro.

Perguntas frequentes

O ATT&CK é a mesma coisa que a Cyber Kill Chain? Não. A Cyber Kill Chain da Lockheed Martin (Hutchins et al., 2011) descreve as fases de um ataque em alto nível, do reconhecimento à ação sobre os objetivos. O ATT&CK é muito mais granular: detalha centenas de técnicas concretas dentro de cada fase. Os dois são complementares — a Kill Chain dá a visão macro, o ATT&CK dá o detalhe acionável.

O ATT&CK serve só para Windows? Não. A matriz Enterprise cobre Windows, Linux, macOS, nuvem (AWS, Azure, GCP, SaaS), redes, contêineres e identidade. Há ainda matrizes dedicadas para Mobile e para sistemas industriais (ICS).

Preciso de ferramentas pagas para usar o ATT&CK? Não. A base de conhecimento, o Navigator, o Atomic Red Team, o Sigma e o CAR são todos gratuitos e abertos. Ferramentas comerciais (EDRs, SIEMs) frequentemente já mapeiam suas detecções a técnicas ATT&CK, o que ajuda, mas não é pré-requisito.

Com que frequência o ATT&CK muda? A MITRE publica novas versões periodicamente, adicionando técnicas, reorganizando sub-técnicas e ajustando descrições conforme novas observações surgem. Vale fixar a versão do ATT&CK usada em um relatório, pois identificadores e estrutura podem evoluir entre releases.

Conclusão

O MITRE ATT&CK é um mapa do comportamento real de adversários, organizado em táticas (o porquê) e técnicas (o como), apresentado em uma matriz que espelha o ciclo de vida de um ataque. Sua força está em catalogar comportamento durável — TTPs no topo da pirâmide da dor — em vez de falhas passageiras, o que o torna útil tanto para defender quanto para atacar. Use-o para mapear sua cobertura de detecção com o Navigator, escrever regras Sigma amarradas a técnicas, validar defesas com Atomic Red Team e dar profundidade ao seu threat modeling e aos seus relatórios de pentest. Dominar essa linguagem comum coloca você em sintonia com a forma como a indústria inteira pensa segurança ofensiva e defensiva.

Referências

• MITRE (2020). MITRE ATT&CK Framework. MITRE Corporation.
• Shostack, A. (2014). Threat Modeling: Designing for Security. Wiley.
• Bianco, D. (2013). The Pyramid of Pain. Enterprise Detection & Response.
• Hutchins, E., Cloppert, M., Amin, R. (2011). Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains. Lockheed Martin.
• Strom, B., Applebaum, A., Miller, D., Nickels, K., Pennington, A., Thomas, C. (2018). MITRE ATT&CK: Design and Philosophy. MITRE Corporation.