MITRE ATT&CK

Framework Knowledge Base Adversarial Behavior

MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) adalah curated knowledge base yang mendokumentasikan perilaku adversary berdasarkan observasi dunia nyata. Dikembangkan oleh MITRE Corporation sejak 2013, ATT&CK menyediakan bahasa dan taksonomi standar untuk mendeskripsikan, mengklasifikasikan, dan berbagi informasi tentang taktik, teknik, dan prosedur yang digunakan dalam serangan siber.

ATT&CK bukan sekadar katalog - ia adalah kerangka kerja yang dapat dioperasikan (operational framework) untuk gap analysis, threat modeling, detection engineering, dan red teaming.

Matrix

ATT&CK dikelompokkan ke dalam tiga domain utama yang disebut matrix:

Setiap matrix berisi taktik, teknik, dan sub-teknik yang relevan dengan domain tersebut.

Tactics - 14 Taktik Enterprise

Taktik merepresentasikan tujuan (why) dari suatu langkah dalam serangan. Enterprise ATT&CK saat ini memiliki 14 taktik yang membentuk rantai serangan:

Techniques & Sub-Techniques

Setiap taktik terdiri dari teknik (metode umum) dan sub-teknik (varian spesifik). Contoh:

• Tactic: Execution (TA0002)
• Technique: T1059 - Command and Scripting Interpreter
• Sub-techniques:
  • T1059.001 - PowerShell
  • T1059.003 - Windows Command Shell
  • T1059.005 - Visual Basic
  • T1059.006 - Python
  • T1059.007 - JavaScript

Saat ini ATT&CK Enterprise memiliki 200+ teknik dan 400+ sub-teknik. Setiap teknik memiliki metadata seperti: platform, permissions required, detection suggestions, dan mitigation.

Procedures

Procedure adalah implementasi spesifik dari suatu teknik oleh group atau malware tertentu. Contoh: APT29 menggunakan PowerShell -EncodedCommand untuk load Cobalt Strike beacon - ini adalah procedure dari teknik T1059.001. Procedure menghubungkan teknik abstrak ke dunia nyata dan sangat penting untuk intelligence-driven detection.

Groups & Software

ATT&CK mengkategorikan aktor dalam dua jenis:

• Groups - threat actor atau kampanye yang teridentifikasi. Contoh: APT29 (G0016), Lazarus Group (G0032), FIN7 (G0046). Setiap group memiliki daftar technique yang digunakan dan software yang dioperasikan.
• Software - alat yang digunakan oleh groups. Terbagi menjadi:
  • Malware - alat berbahaya (Cobalt Strike, Mimikatz, Emotet)
  • Tools - alat legitimate yang disalahgunakan (PowerShell, PsExec, WMIC)

Relasi group → software → technique membentuk grafik pengetahuan yang kaya untuk analisis intelijen.

Mapping Detections ke ATT&CK

Salah satu use case terpenting ATT&CK adalah memetakan aturan deteksi yang ada ke teknik tertentu. Manfaatnya:

• Mengetahui coverage deteksi saat ini (teknik mana yang sudah tercover, mana yang belum)
• Mengidentifikasi blind spot (gap analysis)
• Memprioritaskan pengembangan deteksi baru berdasarkan teknik yang paling sering digunakan oleh group yang relevan

Contoh mapping: aturan SIEM yang mendeteksi powershell -enc dipetakan ke T1059.001.

ATT&CK Navigator

ATT&CK Navigator adalah web application interaktif untuk memvisualisasikan coverage ATT&CK dalam bentuk heatmap. Fitur utama:

• Membuat layer yang menunjukkan teknik mana yang terdeteksi, belum terdeteksi, atau parsial
• Menggabungkan beberapa layer (misal: coverage SOC vs coverage red team)
• Ekspor dalam format JSON untuk dibagikan antar tim
• Filter berdasarkan platform, group, software, atau teknik tertentu

Navigator menjadi alat standar untuk presentasi deteksi coverage kepada manajemen dan untuk komunikasi antara tim biru (blue team) dan tim merah (red team).

Use Cases

Gap Analysis: Membandingkan deteksi yang ada dengan teknik yang digunakan oleh threat actor yang menargetkan sektor organisasi. Hasilnya berupa daftar prioritas teknik yang perlu segera dicover.

Detection Coverage: Mengukur persentase teknik yang memiliki aturan deteksi. Coverage yang ideal tidak harus 100% - organisasi perlu fokus pada teknik yang paling relevan dengan profil risiko.

Threat Modeling: Menggunakan ATT&CK sebagai kerangka untuk membangun model ancaman. Misalnya: "Jika group APT29 menyerang lingkungan cloud kami, mereka akan menggunakan teknik A, B, dan C - apakah kami siap mendeteksinya?".

Red Teaming & Adversary Emulation: Tim merah memilih teknik dari ATT&CK yang sesuai dengan profil threat actor untuk diuji. Hasil pengujian digunakan untuk memperbaiki postur deteksi dan respons.

SOC Maturity: ATT&CK dapat digunakan untuk mengukur kematangan SOC - dari level 1 (hanya deteksi IOC dasar) hingga level 4 (deteksi TTP dengan threat intelligence terintegrasi).