ماتریس ATT&CK روی دیوار اتاق SOC قشنگ است. روی میز تحلیل، فقط وقتی به درد می‌خورد که هر سلول را به شاهد مشخص وصل کنید.
ATT&CK اینجا چه کار می‌کند؟
ATT&CK یک زبان مشترک است: به‌جای «یه چیز بد کرد»، می‌گویید Persistence از نوع Registry Run Keys (T1547.001) دیدیم. این زبان برایhandoff بین تحلیل‌گر، detection engineer و IR طلاست.
در تحلیل دینامیک، تکنیک‌ها از رفتار می‌آیند نه از اسلاید:
- ایجاد فرزند مشکوک → Execution
- نوشتن Run Key → Persistence
- تزریق به پردازه → Defense Evasion / Privilege escalation بسته به زمینه
- DNS و HTTPS به C2 → Command and Control
از رویداد تا تکنیک؛ نه برعکس
اشتباه رایج: باز کردن ماتریس و تلاش برای «پر کردن خانه‌ها». درست‌تر این است که اول رویداد را بفهمید، بعد برچسب بزنید.
مثال: در بازپخش می‌بینید powershell.exe encoded command اجرا کرده و بعد به explorer.exe دست زده. اول داستان را بنویسید؛ بعد T1059 و احتمال T1055 را بررسی کنید. برای جزئیات تزریق، Process Injection را ببینید.
چند تکنیک که در سندباکس زیاد دیده می‌شوند
- T1059 — مفسر فرمان
- T1547 — autorunهای رجیستری
- T1055 — تزریق
- T1071 — کانال C2 روی پروتکل‌های رایج
- T1027 — مبهم‌سازی (بیشتر با کمک Static تأیید می‌شود)
لیست کامل را حفظ نکنید. ده تکنیک پرتکرار محیط خودتان را روی وایت‌برد تیم بنویسید.
گزارش بدون تئاتر
نوشتن بیست ID بدون شاهد، گزارش را سنگین و بی‌اعتماد می‌کند. سه تکنیک با شاهد بهتر از دوازده حدس است.
قالب کوتاه:
T1547.001 — شاهد:
HKCU\...\RunمقدارUpdater→%AppData%\svc.exeدر دقیقه ۱۴ اجرا
همین برای detection engineer کافی است تا Sigma یا rule داخلی بنویسد. درباره Sigma جداگانه نوشته‌ایم: Sigma در pipeline شکار.
جمع‌بندی
ATT&CK واژه‌نامه است، نه امتیاز بازی. در سیستم‌کال وقتی لایه‌ها کنار هم دیده می‌شوند، برچسب‌زدن تکنیک طبیعی‌تر از حدس‌زدن از روی PDF است. کم و دقیق برچسب بزنید؛ تیم‌تان شما را جدی‌تر می‌گیرد.