Die Adversarial Tactics, Techniques, and Common Knowledge ( ATT&CK ) sind ein Leitfaden zur Klassifizierung und Beschreibung von Cyberangriffen und -eindringungen. Er wurde von der Mitre Corporation erstellt und 2013 veröffentlicht. [ 1 ]
Das MITRE ATT&CK-Framework ist in der Cybersicherheit weit verbreitet , da es ein öffentlicher Katalog bekannter Angriffstechniken ist, in dem jede Technik eine ID wie beispielsweise „T1566-Phishing“ besitzt. Es bietet der Branche eine gemeinsame Terminologie: Analysten können die ID in einem Bericht angeben, und jeder Leser versteht sofort, was gemeint ist. Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat die Bedeutung dieses Frameworks in ihren „Best Practices für das MITRE ATT&CK-Mapping“ offiziell anerkannt und damit seinen Status als staatlich anerkanntes Standardwerk für die Analyse von Bedrohungsdaten gefestigt. [ 2 ]
Anstatt die Ergebnisse eines Angriffs (auch bekannt als Indikatoren für eine Kompromittierung (IoCs)) zu untersuchen, identifiziert diese Methode Taktiken, die auf einen laufenden Angriff hindeuten. Taktiken sind das „Warum“ einer Angriffstechnik.
Das Framework umfasste 2022 14 Taktikkategorien, die die Methoden eines Angreifers beschreiben. [ 3 ] [ 4 ] Beispiele hierfür sind Privilegienausweitung und Command-and-Control . [ 5 ] Diese Kategorien werden weiter in spezifische Techniken und Subtechniken unterteilt. [ 5 ] In der neuesten Version des Frameworks, ATT&CK Version 19, veröffentlicht im April 2026, gibt es nun 15 Taktikkategorien. Die vorherige Kategorie „Verteidigungsflucht“ wurde in zwei Kategorien aufgeteilt: „Tarnung“, bei der die Verteidigung trotz Überwindung durch Angreifer intakt erscheint, und „Verteidigungsbeeinträchtigung“, die Verhaltensweisen erfasst, bei denen die Verteidigung aktiv und sichtbar gebrochen wird. [ 6 ] [ 7 ]
Das Framework stellt eine Alternative zur von Lockheed Martin entwickelten Cyber-Kill-Chain dar . [ 5 ]
ATT&CK-Matrix für Unternehmen
Die ATT&CK-Matrix für Unternehmen ist ein umfassendes Rahmenwerk, das als Kanban-Board -Diagramm dargestellt wird. [ 8 ] Sie definierte im Jahr 2022 14 Kategorien von Taktiken, Techniken und Verfahren (TTPs), die von Cyberkriminellen eingesetzt werden, sowie die zugehörigen Techniken und Untertechniken.
| Kategorie | Beschreibung | Techniken |
|---|---|---|
| Aufklärung | Informationen über ein Ziel sammeln. | 12 |
| Ressourcenentwicklung | Identifizierung und Beschaffung von Ressourcen für den Angriff. | 9 |
| Erster Zugriff | Erster Zugang zu einem System oder Netzwerk erlangen. | 11 |
| Ausführung | Ausführung von Schadcode auf einem System. | 20 |
| Beharrlichkeit | Den Zugriff auf ein System oder Netzwerk aufrechterhalten. | 22 |
| Rechteausweitung | Erlangung erhöhter Berechtigungen innerhalb eines Systems oder Netzwerks. | 13 |
| Verteidigungsumgehung | Deaktivierung oder Umgehung von Sicherheitsmaßnahmen. | 43 |
| Anmeldeinformationen | Zugangsdaten für Systeme oder Daten beschaffen. | 17 |
| Entdeckung | Identifizierung zusätzlicher Systeme oder Informationen innerhalb eines Netzwerks. | 34 |
| Seitliche Bewegung | Seitliche Bewegung innerhalb eines kompromittierten Netzwerks. | 9 |
| Sammlung | Sammeln von Daten aus kompromittierten Systemen. | 17 |
| Kommando und Kontrolle | Herstellung der Kommunikation mit kompromittierten Systemen. | 18 |
| Exfiltration | Übertragung gestohlener Daten aus einem kompromittierten System. | 9 |
| Auswirkungen | Maßnahmen ergreifen, um die Ziele des Angreifers zu erreichen. | 15 |
Aufklärung
Die Aufklärung ist die erste Phase der Informationsbeschaffung für einen möglichen Cyberangriff. [ 9 ]
Es gibt 10 Techniken – darunter Netzwerk-Scanning, Social Engineering und Open-Source-Intelligence (OSINT) .
| MITRE ID | Techniken | Zusammenfassung |
|---|---|---|
| T1595 | Aktives Scannen | Aktive Aufklärung durch Scannen des Zielnetzwerks mit Hilfe eines Port-Scanning-Tools wie Nmap , Schwachstellenscanning- Tools und Wortlisten-Scanning nach gängigen Dateierweiterungen und Software, die vom Opfer verwendet werden. |
| T1598 | Phishing nach Informationen | Mithilfe von Social-Engineering-Techniken werden dem Zielobjekt nützliche Informationen entlockt . Dabei werden Kommunikationskanäle wie E-Mail genutzt, darunter generisches Phishing und gezieltes Spear-Phishing, das speziell für ein einzelnes Opfer entwickelt wurde. |
| T1592 | Sammeln Sie Informationen über Opfer und Wirt | Ermitteln Sie die Konfiguration spezifischer Endpunkte, wie z. B. deren Hardware , Software und administrative Konfiguration (z. B. Active Directory- Domänenmitgliedschaft). Insbesondere Sicherheitsvorkehrungen wie Virenschutz und Sperren ( biometrische Authentifizierung , Smartcard oder sogar Kensington K-Slot ). |
| T1590 | Informationen zum Opfernetzwerk sammeln | Ermitteln Sie die Konfiguration des Zielnetzwerks, wie z. B. die Netzwerktopologie , Sicherheitsgeräte ( Netzwerk-Firewall , VPN ), IP-Adressbereiche (entweder IPv4, IPv6 oder beides), vollqualifizierte Domänennamen (FQDN) und die Domain Name System (DNS) -Konfiguration. |
Referenzen
- ^ „Was ist das MITRE ATT&CK Framework?“ . Rapid7 . Abgerufen am 30.07.2024 .
- ^ „Best Practices für MITRE ATT&CK® Mapping | CISA“ . www.cisa.gov . 17.01.2023 . Abgerufen am 16.06.2026 .
- ^ „Taktiken im ATT&CK-Framework“ . Exabeam . 03.08.2022.
- ^ „Updates – Updates – April 2026 | MITRE ATT&CK®“ . attack.mitre.org . Abgerufen am 16.06.2026 .
- ^ a b c „Was ist das Mitre Attack Framework?“ . crowdstrike.com . Abgerufen am 18.04.2022 .
- ^ „Updates – Updates – April 2026 | MITRE ATT&CK®“ . attack.mitre.org . Abgerufen am 16.06.2026 .
- ^ Egly, Stephane; MacLellan, Josh Darby (20.05.2026). „MITRE ATT&CK Version 19: Neuerungen 2026 | TI Essentials | Feedly“ . Threat Intelligence Essentials – Best Practices für CTI-Experten . Abgerufen am 16.06.2026 .
- ^ „MITRE ATT&CK“ . mitre.org . MITRE . Abgerufen am 1. März 2024 .
- ^ „Aufklärung“ . attack.mitre.org . MITRE . Abgerufen am 1. März 2024 .
Siehe auch
- Aufzählung und Klassifizierung gängiger Angriffsmuster – ein weiteres MITRE-Framework
