Se a Cyber Kill Chain te diz em que fase o atacante está, o MITRE ATT&CK te diz exatamente o que ele está fazendo — e é essa granularidade que fez dele o framework dominante em segurança hoje. ATT&CK é a sigla para Adversarial Tactics, Techniques, and Common Knowledge. Na prática, é uma enorme base de conhecimento, mantida pela MITRE e alimentada por observação de ataques reais, que cataloga os comportamentos dos adversários de forma estruturada. Não é uma teoria: é um dicionário empírico do que atacantes de verdade fazem, e dominá-lo é falar a língua comum de toda a indústria de segurança.

Táticas, técnicas e sub-técnicas

A estrutura se organiza em três níveis. No topo estão as táticas, que respondem ao "por quê" — o objetivo do atacante naquele momento. São coisas como Acesso Inicial, Execução, Persistência, Escalação de Privilégios, Evasão de Defesa, Acesso a Credenciais, Descoberta, Movimentação Lateral, Coleta, Exfiltração e Impacto. Note como essas táticas se parecem com uma Kill Chain, mas mais detalhada e não estritamente linear — um atacante transita entre elas de ida e volta. Abaixo das táticas estão as técnicas, que respondem ao "como" — as maneiras concretas de atingir cada objetivo. E abaixo delas, as sub-técnicas, ainda mais específicas. Cada técnica tem um identificador (no formato "T" seguido de número), e essa nomenclatura vira uma linguagem universal: quando um analista diz "detectamos T1055", qualquer profissional no mundo sabe que ele fala de process injection, sem ambiguidade.

Descrever em prosa ou descrever em técnicas

O poder disso aparece na comunicação e na correlação. Imagine descrever um ataque em prosa: "o invasor entrou por um e-mail, rodou um script, criou uma tarefa agendada para persistir, roubou senhas da memória e se moveu para outra máquina". Agora imagine descrever o mesmo ataque como uma sequência de técnicas ATT&CK mapeadas. A segunda forma é precisa, comparável entre incidentes e diretamente acionável pela defesa, porque cada técnica na base vem acompanhada de como detectá-la e como mitigá-la. O framework não só nomeia o ataque — ele já entrega o contra-ataque defensivo ao lado.

Três usos concretos no engajamento

Para o pentester, o ATT&CK tem três usos concretos que você exercitará ao longo do curso. Primeiro, como checklist de cobertura: ao planejar um teste, você pode se perguntar quais táticas e técnicas ainda não exercitou, garantindo que o engajamento seja abrangente. Segundo, como linguagem de relatório: mapear cada achado à sua técnica ATT&CK torna o relatório imediatamente compreensível e comparável para a equipe de defesa do cliente. Terceiro, e este é o mais avançado, como base para emulação de adversário — que veremos no Bloco XVIII. Como a MITRE também cataloga grupos de ameaça conhecidos e as técnicas que cada um costuma usar, você pode simular o comportamento de um adversário específico e realista para aquele cliente, em vez de um ataque genérico. Testar "como o grupo que ataca o setor bancário atacaria" é muito mais valioso do que "como um hacker qualquer atacaria".

Contra quais técnicas estamos cegos

Do lado defensivo — e o ATT&CK é, na origem, uma ferramenta defensiva — ele fundamenta a detection engineering que veremos na aula Detection Engineering: construindo as defesas que pegam o atacante. As equipes de defesa usam o framework para responder a uma pergunta aflitiva: "contra quais técnicas nós temos detecção, e contra quais estamos cegos?". Existe até uma ferramenta visual, o ATT&CK Navigator, em que se pinta uma matriz de técnicas conforme a cobertura de detecção, expondo as lacunas. É aqui que o Purple Team acontece na prática: o Red Team (ou o pentester) executa técnicas ATT&CK, o Blue Team verifica quais delas detectou, e juntos fecham os buracos. O framework é o terreno comum onde ataque e defesa conversam com a mesma linguagem.

Ninguém decora o ATT&CK

Uma nota de humildade para fechar: o ATT&CK é vasto — centenas de técnicas — e ninguém o "decora". O objetivo não é memorizá-lo, e sim saber navegá-lo e usá-lo como referência. À medida que avançarmos pelas técnicas concretas do curso — cada exploração, cada escalação de privilégio, cada movimento lateral —, vou apontando a qual tática e técnica ATT&CK aquilo corresponde, para que ao final você tenha construído, quase sem perceber, um mapa mental do framework ancorado em prática real.

Fontes e leituras recomendadas

Exercícios

  1. Explique a diferença entre táticas, técnicas e sub-técnicas no MITRE ATT&CK, associando cada nível a uma pergunta ("por quê" / "como").

    ✓ Resposta:

    Táticas são os objetivos do atacante e respondem ao "por quê" (ex.: Persistência). Técnicas são as formas concretas de atingir esses objetivos e respondem ao "como". Sub-técnicas são especializações ainda mais detalhadas de uma técnica.

  2. Qual a vantagem de descrever um ataque como uma sequência de técnicas ATT&CK em vez de em prosa livre?

    ✓ Resposta:

    É preciso, padronizado e comparável entre incidentes, além de diretamente acionável: cada técnica catalogada vem com orientações de detecção e mitigação, ao contrário da prosa livre, que é ambígua e não acionável.

  3. Cite os três usos do ATT&CK para o pentester descritos na aula.

    ✓ Resposta:

    Como checklist de cobertura ao planejar o teste; como linguagem de relatório mapeando achados a técnicas; e como base para emulação de adversário, simulando grupos de ameaça específicos.

  4. O que significa dizer que o ATT&CK, além de nomear um ataque, "já entrega o contra-ataque defensivo ao lado"?

    ✓ Resposta:

    Que cada técnica na base de conhecimento vem acompanhada de orientações sobre como detectá-la e como mitigá-la, de modo que identificar a técnica já aponta a defesa correspondente.

  5. Como o ATT&CK viabiliza, na prática, o trabalho de um Purple Team?

    ✓ Resposta:

    O Red Team/pentester executa técnicas ATT&CK, o Blue Team verifica quais conseguiu detectar, e ambos usam a matriz (por exemplo, no ATT&CK Navigator) para identificar e fechar as lacunas de cobertura — tudo na mesma linguagem comum.