MITRE ATT&CK
MITRE ATT&CK пояснює спостережувану поведінку кіберзловмисників і допомагає пов’язати її з моніторингом, аналізом інцидентів та перевіркою захисту.
Огляд MITRE ATT&CK
ATT&CK — відкрита база знань MITRE про поведінку зловмисників, підтверджену дослідженнями та звітами про інциденти. Вона дає фахівцям спільні назви для дій, які потрібно помітити, дослідити або ускладнити.
Основний документ цієї сторінки — Design and Philosophy, редакція березня 2020 року. Він пояснює принципи моделі. Жива база розвивається окремо: станом на 8 вересня 2026 року актуальна v19.2, опублікована 6 серпня 2026 року.
Для кого призначено
Найбільше користі отримують аналітики загроз, команди моніторингу безпеки, реагування на інциденти та інженери виявлення. Архітектори й керівники можуть використовувати результати для обґрунтування змін у захисті, а викладачі — для розбору реальних випадків.
Для яких галузей
Застосування визначає технологічне середовище. Enterprise доречна для офісних мереж і хмарних сервісів у фінансах, освіті, державному секторі та інших галузях; Mobile — для мобільних пристроїв; ICS — для промислового керування в енергетиці, виробництві й транспорті.
Матриця сама по собі не визначає галузевих обов’язків. Організація обирає актуальні для своїх активів і загроз сценарії та враховує вимоги до безперервності й безпеки процесів.
Тактика, техніка, підтехніка та процедура
Тактика
Мета дії: наприклад, отримати доступ до облікових даних. Це відповідь на запитання «навіщо?».
Техніка
Спосіб досягнення мети. Одна техніка може підтримувати кілька тактик і мати різні реалізації.
Підтехніка
Точніше описаний різновид техніки. Її обирають для позначення події лише тоді, коли доказів вистачає для такої деталізації.
Процедура
Конкретний зафіксований спосіб застосування техніки в певному випадку. Посилання на джерело допомагає перевірити, що саме спостерігав автор звіту.
Як читати матриці
Колонки групують поведінку за тактичними цілями, а записи показують техніки та їх уточнення. Це не обов’язкова послідовність кроків: під час інциденту цілі можуть повторюватися або змінюватися, а частина тактик узагалі не проявиться.
Перед порівнянням звітів зазначайте домен, платформи та версію ATT&CK. Схема з документа 2020 року не відображає всіх сучасних назв і зв’язків.
Від звіту про інцидент до доказового висновку
Спочатку опишіть спостережену дію своїми словами, потім знайдіть відповідну техніку та збережіть уривок доказу, джерело й рівень впевненості. Якщо звіт не пояснює механізм дії, не приписуйте йому точну підтехніку.
Записи про групи, кампанії та програмне забезпечення допомагають знайти пов’язані спостереження. Збіг технік сам по собі не доводить причетності певної групи: однаковою поведінкою користуються різні зловмисники.
Як оцінювати покриття захистом
Визначте, що перевіряєте
Розрізняйте наявність журналів, здатність виявити дію, запобігання та готовність команди відреагувати. Для кожного висновку потрібен власний доказ.
Зафіксуйте межі результату
Позитивний тест однієї процедури не підтверджує виявлення всіх варіантів техніки. Запишіть платформу, умови тесту, очікувані сигнали й невідомі ділянки.
Пріоритезуйте релевантні загрози
Кольорова клітинка матриці не є сертифікатом безпеки. Вибирайте перевірки за ризиком для власних систем; результатом має бути підтверджене покращення захисту, а не заповнення всієї матриці.
Інструменти та практичний результат
ATT&CK Navigator дозволяє створювати власні шари матриці з позначками, оцінками та примітками. Дані STIX, сервіс TAXII та таблиці з офіційної сторінки допомагають пов’язувати записи зі своїми аналітичними системами.
Практичний результат — невеликий перелік пріоритетних сценаріїв із посиланнями на докази, доступними журналами, відповідальними та планом перевірки. Тестування виконуйте в погоджених межах на дозволених системах; для промислових процесів спочатку використовуйте безпечне навчальне середовище.
Оновлення та межі застосування
У v18 змінилася модель виявлення: з’явилися Detection Strategies та Analytics, а об’єкти Data Sources позначено застарілими. У v19 колишню тактику Defense Evasion у Enterprise розділено на Stealth і Defense Impairment; ICS отримала підтехніки. Ці зміни потрібно враховувати під час перенесення старих зіставлень.
ATT&CK не замінює управління ризиками, перелік вразливостей або вимоги закону. Використання моделі не засвідчує відповідність стандарту і не означає схвалення організації чи продукту MITRE.
Кому це буде корисно
Користь ATT&CK залежить від ролі: від розуміння повідомлень про інциденти до перевірки технічного захисту. Для кожної аудиторії наведено фокус вивчення та приклад застосування.
Для навчальних закладів
Практична користь. Пов’язує теорію виявлення з описами реальних інцидентів.
Що вивчити насамперед. Навчайте відрізняти спостереження, припущення та зіставлення з технікою.
Приклад застосування. Дайте групі знеособлений звіт і порівняйте обґрунтування різних зіставлень.
Більше про напрям для цієї групиДля студентів
Практична користь. Дає основу для читання технічних звітів і роботи з журналами подій.
Що вивчити насамперед. Почніть із відмінностей між тактикою, технікою та процедурою.
Приклад застосування. На навчальному наборі журналів поясніть, які факти підтримують вибрану техніку, а яких бракує.
Більше про напрям для цієї групиДля бізнесу
Практична користь. Допомагає спрямувати бюджет на перевірені прогалини у захисті важливих сервісів.
Що вивчити насамперед. Пов’язуйте загрози з власними активами, журналами та відповідальними.
Приклад застосування. Для корпоративної пошти узгодьте сценарій аналізу підозрілого входу та докази роботи виявлення.
Більше про напрям для цієї групиДля державних установ
Практична користь. Узгоджує опис загроз між командами захисту державних сервісів.
Що вивчити насамперед. Зберігайте джерела, версію моделі й рівень впевненості в міжвідомчих повідомленнях.
Приклад застосування. Підготуйте знеособлений розбір інциденту зі спільними назвами технік і межами висновків.
Більше про напрям для цієї групиДля військових
Практична користь. Підтримує захисний аналіз дозволених інформаційних систем та навчання команд реагування.
Що вивчити насамперед. Узгоджуйте сценарії з власниками систем, режимом доступу та умовами безпечних навчань.
Приклад застосування. У погодженій лабораторії перевірте, чи команда бачить і правильно пояснює тестові події.
Більше про напрям для цієї групиДля неприбуткових організацій
Практична користь. Допомагає невеликій команді обґрунтувати пріоритети захисту пошти й даних донорів.
Що вивчити насамперед. Обирайте невеликий набір релевантних сценаріїв і погоджуйте відповідальність із провайдером.
Приклад застосування. З’ясуйте, хто отримує повідомлення про підозрілий доступ і які журнали зберігаються для перевірки.
Більше про напрям для цієї групиДля громадян
Практична користь. Допомагає зрозуміти мову повідомлень про кіберінциденти; повна матриця не потрібна для щоденної цифрової гігієни.
Що вивчити насамперед. Звертайте увагу на опис поведінки та підтверджені факти, а не лише на назву групи.
Приклад застосування. Прочитавши повідомлення про викрадений обліковий запис, відокремте встановлені дії від припущень автора.
Більше про напрям для цієї групиДля власників стандартів
Практична користь. Дає власникам стандартів і методик спільні ідентифікатори для зв’язку вимог із поведінкою загроз.
Що вивчити насамперед. Описуйте зміст зв’язку, версію ATT&CK та доказ того, що вимога допомагає проти конкретного сценарію.
Приклад застосування. Для вимоги журналювання вкажіть підтримуваний сценарій і межі перевірки; не оголошуйте повну еквівалентність стандартів.
Більше про напрям для цієї групиІсторія розвитку MITRE ATT&CK
Від дослідницької моделі до відкритої бази, яку регулярно оновлюють. Події розрізняють редакцію методологічного документа й релізи самої бази.
Початок моделі ATT&CK
У вересні 2013 року MITRE створив першу модель для систематизації поведінки зловмисників у корпоративному середовищі Windows. Мета — перевіряти, наскільки добре захисники бачать відомі дії.
Публічне відкриття бази
У травні 2015 року модель стала загальнодоступною. Подальше розширення спиралося на дослідження MITRE та внески спільноти.
Редакція Design and Philosophy на цій сторінці
Документ, уперше виданий у липні 2018 року, переглянуто в березні 2020 року з урахуванням підтехнік. Саме ця редакція є основним джерелом сторінки; вона не фіксує всі подальші зміни живої бази.
Підтехніки в Enterprise ATT&CK
Реліз v7 став першим стабільним випуском Enterprise ATT&CK із підтехніками після бета-версії. Ієрархія дозволила точніше розрізняти реалізації спорідненої поведінки.
Розвідка та підготовка в Enterprise
У v8 окремий домен PRE-ATT&CK виведено з використання. Його сферу замінили тактики Reconnaissance та Resource Development у Enterprise; старі матеріали збережено в архіві.
Перебудова опису виявлення
У v18 описи виявлення в техніках замінено окремими Detection Strategies та Analytics. Компоненти даних переглянуто, а об’єкти Data Sources позначено застарілими; це впливає на інтеграції та старі зіставлення.
Нові тактики Enterprise та підтехніки ICS
У v19 тактику Defense Evasion розділено на Stealth і Defense Impairment, що дає 15 тактик Enterprise. ICS отримала підтехніки, а Mobile почала отримувати Detection Strategies.
Перший Agile release: v19.2
Оновлення v19.2 доповнило групи та програмне забезпечення Enterprise поза звичним піврічним циклом, зокрема матеріали про загрози ланцюгам постачання. Це актуальна версія на 8 вересня 2026 року, а не нова редакція документа Design and Philosophy.