MITRE CAPEC
CAPEC пояснює повторювані способи атак і допомагає пов’язати загрози зі слабкими місцями та заходами захисту. Глосарій дає основу для читання каталогу й моделювання загроз.
Огляд CAPEC
CAPEC — Common Attack Pattern Enumeration and Classification, відкритий каталог шаблонів атак MITRE. Він описує, як зловмисник може скористатися слабкими місцями системи. Такий опис допомагає сформулювати вимоги до захисту ще під час проєктування.
Обране джерело цієї сторінки — глосарій CAPEC. Він пояснює поняття для роботи з каталогом. Повні записи шаблонів, їхні умови та заходи протидії доступні в офіційному каталозі. CAPEC є довідковою базою знань, а не законом чи схемою сертифікації.
Для кого призначений CAPEC
Найбільшу практичну користь отримують архітектори, розробники, аналітики безпеки, тестувальники й викладачі. Архітектор перевіряє сценарії загроз, розробник уточнює захисну вимогу, а тестувальник готує перевірку погодженої системи.
Керівнику CAPEC допомагає ставити конкретні запитання: який сценарій розглянули, чому він можливий і як перевірили захист. Громадянам достатньо вибраних зрозумілих прикладів; знання всього каталогу для щоденної цифрової безпеки не потрібне.
У яких галузях застосовують
CAPEC можна застосовувати там, де є програмне забезпечення, обладнання або цифрові послуги: в ІТ, фінансах, державних сервісах, медицині, виробництві й телекомунікаціях. Добір шаблонів залежить від технології та можливого впливу на конкретну послугу.
Окремі добірки охоплюють промислові системи керування та ризики ланцюга постачання. Для виробництва важливо врахувати доступність і фізичні наслідки, а для постачання програм — довіру до компонентів і процесу їх отримання.
Що містить шаблон атаки
Запис має ідентифікатор CAPEC, назву й опис. Додаткові поля можуть пояснювати передумови, послідовність дій, потрібні ресурси, наслідки, ознаки та заходи протидії. Заповнення полів відрізняється між записами.
Читайте шаблон через власну систему: яка умова справді існує, який актив постраждає та що перерве цей сценарій. Загальні оцінки тяжкості чи ймовірності в каталозі не замінюють оцінку ризику організації.
Рівні деталізації та категорії
Meta — загальний спосіб
Широкий підхід, придатний для обговорення архітектурних загроз.
Standard — конкретний метод
Окремий метод із достатніми деталями, щоб зрозуміти його мету й механізм.
Detailed — докладний сценарій
Докладний перебіг, часто пов’язаний із конкретною технологією та її захистом.
Category — групування
Об’єднує споріднені шаблони за спільною ознакою; сама категорія не є способом атаки.
Як пов’язані CAPEC, CWE, CVE та ATT&CK
CWE описує типи слабких місць, CAPEC — способи їх використання, а CVE ідентифікує конкретні публічно відомі вразливості. У записі CAPEC поле Related Weaknesses веде до відповідних CWE. Зв’язки можуть бути множинними, а частина шаблонів не має відповідника CWE.
ATT&CK систематизує тактики й техніки зловмисників на основі спостережень. CAPEC особливо корисний для моделювання загроз застосунку; ATT&CK — для аналізу поведінки противника та можливостей виявлення. Зіставлення між ними уточнює контекст, але не робить записи взаємозамінними.
Від шаблону до перевірки захисту
Приклад для команди вебсервісу: візьміть CAPEC-66 «SQL-ін’єкція» й пов’язаний CWE-89. У моделі загроз зазначте, де введення користувача потрапляє до запиту, хто відповідає за параметризовані запити та якими перевірками підтверджується захист.
Результат — опис застосовного сценарію, вимога до захисту й доказ перевірки. Практичні випробування проводять у навчальному середовищі або в погоджених межах авторизованої перевірки; знайдений номер CAPEC сам по собі не доводить наявності вразливості.
Версія та межі застосування
Станом на 08.09.2026 офіційний сайт позначає поточним каталог CAPEC 3.9, опублікований 24.01.2023: 559 шаблонів атак. Номер версії каталогу слід відрізняти від версії схеми даних і від глосарію, обраного для цієї сторінки.
Каталог не є повним переліком усіх можливих загроз і не показує поточну частоту атак. Добирайте сценарії за архітектурою, перевіряйте контекст зіставлень і доповнюйте CAPEC актуальними даними про свої системи та загрози.
Кому це буде корисно
Приклади показують, яку користь CAPEC може дати кожній аудиторії та який обсяг знань доречний для її завдань.
Для навчальних закладів
Практична користь. Допомагає пояснювати причинний зв’язок між помилкою проєктування, атакою та захистом.
Що вивчити насамперед. Відмінності між CWE та CAPEC; аргументація застосовності шаблону.
Приклад застосування. Побудуйте заняття навколо діаграми навчального вебсервісу та оцініть обґрунтування вибраного захисту.
Більше про напрям для цієї групиДля студентів
Практична користь. Дає основу для читання технічних звітів і побудови перших моделей загроз.
Що вивчити насамперед. Передумови, наслідки та різні рівні деталізації шаблонів.
Приклад застосування. Для власного навчального застосунку опишіть сценарій, пов’язане слабке місце та перевірку виправлення.
Більше про напрям для цієї групиДля бізнесу
Практична користь. Допомагає перетворити загальне побоювання щодо атаки на конкретне завдання команди продукту.
Що вивчити насамперед. Вибір релевантних шаблонів, відповідальні за заходи й докази перевірки.
Приклад застосування. Під час зміни авторизації зіставте сценарії з моделлю доступу та додайте перевірки до критеріїв приймання.
Більше про напрям для цієї групиДля державних установ
Практична користь. Робить технічні вимоги до цифрової послуги зрозумілішими для замовника й постачальника.
Що вивчити насамперед. Сценарії загроз даним і доступності; підтвердження захисту під час приймання.
Приклад застосування. У вимогах до порталу послуг опишіть застосовний сценарій та очікуваний результат перевірки доступу.
Більше про напрям для цієї групиДля військових
Практична користь. Підтримує захисне моделювання загроз для дозволених ІТ-проєктів і навчальних середовищ.
Що вивчити насамперед. Передумови атаки, довіра до компонентів і межі погодженої перевірки.
Приклад застосування. У навчальному середовищі логістичної системи розгляньте ризик підміни компонента та перевірку його цілісності.
Більше про напрям для цієї групиДля неприбуткових організацій
Практична користь. Допомагає невеликій команді обговорити ризики пожертв і даних підопічних із технічним підрядником.
Що вивчити насамперед. Кілька застосовних сценаріїв, зрозумілі наслідки та перевірювані заходи.
Приклад застосування. Для форми пожертв попросіть підрядника пояснити захист введення даних і показати результат погодженої перевірки.
Більше про напрям для цієї групиДля громадян
Практична користь. Вибрані приклади пояснюють, чому підроблена адреса або повідомлення можуть вводити в оману.
Що вивчити насамперед. Розпізнавання сценарію обману без потреби вивчати весь технічний каталог.
Приклад застосування. Розберіть вигаданий лист від служби підтримки та поясніть, як перевірити звернення через відомий канал.
Більше про напрям для цієї групиДля власників стандартів
Практична користь. Дає розробникам стандартів і методик спільні посилання на способи атак.
Що вивчити насамперед. Рівень деталізації, версія каталогу й обґрунтовані зв’язки з вимогами.
Приклад застосування. Для вимоги до обробки введення додайте посилання на релевантний шаблон і опишіть межі такого зіставлення.
Більше про напрям для цієї групиІсторія розвитку CAPEC
Від першого випуску до розширення каталогу та останніх підтверджених повідомлень MITRE. Стан перевірено 08.09.2026; новіший реліз після 3.9 в офіційному архіві не зазначений.
Поява CAPEC
Перший публічний випуск CAPEC з’явився у 2007 році в межах ініціативи Software Assurance Міністерства внутрішньої безпеки США. Каталог започаткував спільний опис повторюваних способів атак.
Розширення за межі програмних атак
Версія 1.6 додала 75 шаблонів у категоріях фізичної безпеки, соціальної інженерії та ланцюгів постачання. Це розширило тематику каталогу.
Каталог і схема CAPEC 3.0
Випуск 3.0 оновив каталог і суттєво переробив схему даних. Структура записів стала простішою; зв’язки зі слабкими місцями орієнтували на CWE.
Добірка ризиків ланцюга постачання
У версії 3.8 з’явилася добірка CAPEC-683 Supply Chain Risks із групуванням за життєвим циклом постачання. Реліз також доповнив шаблони й зіставлення з ATT&CK.
CAPEC 3.9 і промислові системи
Версія 3.9 містить 559 шаблонів і додала добірку CAPEC-703 для промислових систем керування. Оновлено зіставлення CWE та ATT&CK. Офіційний сайт продовжує позначати цю версію поточною на дату перевірки.
Завершення опитування спільноти
Команда CAPEC подякувала учасникам опитування й повідомила про його завершення. Це остання датована новина на перевіреній сторінці CAPEC; вона не оголошує нової версії каталогу.