Associar uma regra a uma técnica é uma classificação. Demonstrar que a organização observa, reconhece e trata um comportamento exige evidência operacional.
Comece pela linguagem e pela versão correta
O MITRE ATT&CK organiza conhecimento sobre comportamentos de adversários. Táticas descrevem objetivos; técnicas descrevem como esses objetivos podem ser alcançados; subtécnicas detalham comportamentos. Esse vocabulário permite relacionar ameaças e decisões defensivas, sem oferecer uma garantia de cobertura.[2]
A referência editorial deste artigo é o ATT&CK v20.0, identificado no histórico oficial como versão atual desde 13 de outubro de 2026. Registre a versão nos seus próprios mapeamentos: mudanças no catálogo alteram classificações e tornam comparações históricas menos diretas.[1]
O ganho começa quando a equipe troca uma discussão vaga sobre quantidade de ferramentas por perguntas verificáveis. Qual comportamento merece atenção? Em qual plataforma? Quais registros permitem reconhecê-lo? Quem decide se a observação exige resposta? Uma célula preenchida, sem essas respostas, comunica uma intenção defensiva cuja execução permanece desconhecida.
Técnica, vulnerabilidade e evidência têm papéis diferentes
Um identificador CVE referencia uma vulnerabilidade publicamente divulgada; o registro CVE organiza informações sobre ela. Uma técnica ATT&CK classifica comportamento. A distinção impede tratar a correção de uma vulnerabilidade como prova de detecção de todas as formas de um comportamento.[3][2]
A orientação de mapeamento da CISA enfatiza contexto técnico suficiente para descrever o comportamento. Uma lista de técnicas sem explicação de como a atividade ocorreu tem utilidade limitada para detecção, mitigação e resposta.[4]
Na prática, mantenha três afirmações separadas: existe exposição a uma condição, existe um controle relacionado e existe resultado observado. Elas podem estar conectadas, mas uma não demonstra automaticamente as outras. Um controle preventivo pode reduzir caminhos de ataque sem produzir um alerta útil. Uma regra de detecção pode funcionar em servidores e não em identidades de nuvem. O relatório deve preservar essas fronteiras.
Para um MSP que utiliza a Wardizon, o achado ofensivo é um ponto de partida para essa distinção: a evidência descreve uma condição testada; a equipe de defesa precisa verificar separadamente se sua telemetria permite reconhecê-la. A ligação com uma técnica ATT&CK é uma decisão analítica, documentada com o contexto do teste.[11]
Defina uma hipótese vinculada ao negócio
Considere um cenário explicitamente hipotético: uma empresa utiliza um provedor de identidade e um repositório de documentos para equipes financeiras. O risco priorizado é o uso indevido de uma conta com acesso a arquivos sensíveis. A validação usa somente contas de laboratório, documentos sintéticos e um ambiente autorizado.
A hipótese defensiva combina contexto de autenticação, uma mudança relevante de privilégio e acesso incomum a documentos de teste. A equipe define quais sinais pretende reconhecer, quais condições legítimas podem gerar sinais parecidos e qual decisão espera do analista. O foco é uma cadeia de observações com significado operacional.
Esse recorte permite discutir investimento. Se faltam registros de alteração de privilégios, melhorar a coleta pode entregar mais valor que acrescentar regras sobre dados já disponíveis. O mapeamento ATT&CK ajuda a organizar a conversa; a escolha depende do ambiente e do impacto dos ativos envolvidos.
A lógica de detecção depende de dados concretos
O modelo de detecção evoluiu: Data Sources foram depreciadas no ATT&CK v18, em outubro de 2025. O catálogo atual apresenta Detection Strategies como abordagens que organizam análises por plataforma. Documentações antigas precisam ser interpretadas com essa diferença em mente.[5][6]
Analytics descrevem lógica específica por plataforma; Data Components identificam propriedades e valores relevantes para reconhecer técnicas. São referências para engenharia de detecção, que ainda exigem adaptação aos registros e às condições reais do ambiente.[7][8]
No cenário hipotético, documente uma dependência por sinal: origem do evento, campos necessários, sincronização de horário, identidade do ator, recurso afetado e latência aceitável. A ausência de um campo pode impedir a correlação mesmo quando o volume de logs parece saudável. Defina como a equipe perceberá perda de coleta, mudança de esquema ou atraso. Disponibilidade de dados brutos e funcionamento da análise são condições distintas que precisam de observação própria.
Validar significa percorrer a cadeia inteira
Antes do exercício, aprove escopo, responsáveis, janela, limites de volume, dados sintéticos e critérios de interrupção. Escolha ações benignas e controladas que produzam os sinais necessários no laboratório autorizado. A validação precisa registrar o evento na origem, sua chegada ao sistema de análise, a execução da regra e a criação do alerta esperado.
Inclua um caso legítimo semelhante. Se qualquer atividade administrativa gera a mesma severidade, o teste demonstrou sensibilidade, mas deixou em aberto a capacidade de distinguir contexto. Em seguida, verifique se o alerta contém evidência suficiente para uma decisão e se chega à pessoa certa. Um alerta perdido em uma fila não equivale a uma resposta disponível.
A injeção de eventos sintéticos pode verificar parser, correlação e encaminhamento. Ela não prova que um sensor capturaria o comportamento original. Registre esse limite e complemente a avaliação quando houver autorização e condições para observar a coleta na origem. Resultados inconclusivos devem permanecer visíveis.
Meça cenários e mantenha o denominador estável
Cobertura validada de cenários é o número de cenários prioritários com resultado esperado demonstrado dividido pelo total de cenários prioritários selecionados. Cada cenário precisa registrar plataforma, comportamento, condições e data da validação.
Disponibilidade de telemetria é a quantidade de intervalos em que os dados obrigatórios atenderam aos critérios definidos dividida pelos intervalos observados. Latência de alerta é a diferença entre o horário do evento de referência e a disponibilidade do alerta para triagem. Apresente distribuição e percentis, além de atrasos excepcionais; uma média pode esconder filas relevantes.
Acompanhe a proporção de alertas revisados que levaram a uma ação justificada, com critérios de classificação documentados. Isso não mede todos os ataques detectados nem substitui estimativas de falsos negativos. Não atribua detecção integral a uma técnica porque um cenário funcionou. Variantes, plataformas e condições de coleta podem permanecer sem avaliação.
Cada cor precisa de uma afirmação auditável
O ATT&CK Navigator permite anotar e visualizar matrizes, inclusive para planejamento e cobertura defensiva. A ferramenta organiza informações fornecidas pelo usuário; a visualização não constitui, por si só, validação do controle representado.[9]
A metodologia do Center for Threat-Informed Defense para mapear frameworks de controle ao ATT&CK explicita que não define graus de efetividade dos controles. Um relacionamento de mapeamento e uma avaliação de eficácia respondem a perguntas diferentes.[10]
Adote uma legenda com significados precisos: hipótese documentada, dados disponíveis, regra implantada, cenário validado e resposta exercitada. Cada estado deve apontar para responsável e evidência. Defina prazo de revisão e eventos que invalidam a confiança: troca de agente, alteração de fonte, mudança de esquema ou ajuste na lógica. Preserve o histórico para distinguir melhoria real de simples mudança de classificação.
Da evidência da Wardizon à hipótese defensiva
O MSP começa pelo engajamento autorizado na Wardizon e seleciona achados cuja evidência possa orientar uma pergunta sobre defesa. Leva ao responsável pelo SOC o alvo avaliado, as condições de acesso, a ação observada e os limites da verificação. Um finding confirmado e outro ainda suspeito pedem tratamentos diferentes: no primeiro, existe uma condição demonstrada dentro do teste; no segundo, o plano precisa resolver a incerteza antes de usá-la como premissa.[11]
Com esse material, o analista escolhe o comportamento relevante, justifica eventual correspondência ATT&CK e especifica os registros necessários. O SOC consulta sua própria telemetria e avalia coleta, correlação, alerta e triagem. Quando for preciso um exercício adicional, escopo, contas sintéticas, horário e interrupção são combinados com os responsáveis. A evidência da Wardizon ajuda a escolher o que investigar; a capacidade defensiva é demonstrada nessa avaliação separada.
Na devolutiva ao cliente, o MSP mantém dois resultados distinguíveis: o que o teste ofensivo confirmou e o que o SOC conseguiu observar. O primeiro pode gerar correção de configuração; o segundo, uma melhoria de coleta ou de análise. Registrar os dois evita transformar um relatório de exposição em uma afirmação de cobertura de detecção e dá ao investimento seguinte um objetivo verificável.
A decisão executiva deve financiar a incerteza relevante
O comitê precisa receber três elementos: cenários de maior impacto ainda sem validação, causa da lacuna e decisão necessária para fechá-la. A causa pode ser coleta ausente, análise inadequada, privilégio excessivo ou incapacidade de responder no prazo exigido. Cada uma pede uma ação diferente.
Evite uma meta abstrata de preencher toda a matriz. Uma seleção estreita demais também distorce o resultado; revise periodicamente se os cenários continuam representativos dos ativos, acessos e ameaças relevantes. Cobertura de detecção deve conviver com prevenção, recuperação e decisões de arquitetura, cujos efeitos exigem avaliações próprias.
ATT&CK entrega um vocabulário sólido para organizar esse trabalho. A autoridade do programa vem da qualidade das evidências e da clareza sobre seus limites. Uma organização madura consegue dizer o que observou, sob quais condições, com qual atraso e qual resposta foi possível. Essa afirmação é mais útil para investir e operar do que qualquer percentual sem contexto.