MITRE ATT&CK
O MITRE ATT&CK é o catálogo público de táticas e técnicas de adversários que a MITRE mantém desde 2013, montado a partir de incidentes observados e relatados. Ele troca uma sensação vaga de estar protegido por uma lista verificável: quais comportamentos o seu ambiente enxerga hoje, quais passam sem deixar rastro, e quais deles têm alguma chance de aparecer no seu setor.
O ATT&CK é a base de conhecimento que descreve como os ataques acontecem na prática, mantida pela MITRE e adotada pelos times de defesa do mundo inteiro. O que a DM11 entrega é a medição da sua cobertura de detecção contra as técnicas relevantes ao seu setor, as lacunas em ordem de risco, e o mesmo vocabulário aplicado aos exercícios de simulação e aos relatórios de teste de intrusão. Quando o objetivo também inclui um documento para enviar a um cliente, a página da ISO 27001 ou a do SOC 2 explicam esse caminho.
Quem conduz o mapeamento
CEH, teste de intrusão ético certificado pela EC-Council
SYCP e SYES, exploração e pós-exploração pela Solyd
DSFE, perícia forense digital aplicada a resposta a incidente
17 anos de governança, riscos e conformidades
O QUE É
A MITRE começou o ATT&CK em 2013, dentro de um projeto de pesquisa que investigava se telemetria de endpoint e análise de comportamento serviam para detectar quem já estava dentro da rede. O catálogo cresceu a partir de relato público de incidente e de pesquisa publicada, e hoje descreve o comportamento do adversário em três domínios: ambiente corporativo e nuvem, dispositivos móveis e sistemas de controle industrial. É atualizado duas vezes por ano, e a versão corrente é a 19, de 28 de abril de 2026.
A tática é o objetivo do adversário naquele momento, como conseguir credencial ou se mover pela rede. A técnica descreve a maneira de alcançar esse objetivo, e a subtécnica desce um nível para dizer exatamente qual variação foi usada. Abaixo delas ficam os procedimentos, que são os usos observados no mundo real, com a referência pública de onde vieram. Na versão 19, o domínio corporativo tem 15 táticas, 222 técnicas e 475 subtécnicas. Vale reparar no número de táticas: até a versão anterior eram 14, e a 19 dividiu a antiga tática de evasão em duas, separando o que o adversário faz para se esconder do que ele faz para quebrar a ferramenta que o observa.
A matriz corporativa cobre Windows, macOS, Linux, equipamento de rede, contêiner, nuvem de infraestrutura e de software, suíte de escritório e provedor de identidade. A matriz móvel cobre Android e iOS, com 12 táticas, 77 técnicas e 47 subtécnicas. A matriz industrial cobre sistemas de controle, com 12 táticas, 79 técnicas, 18 subtécnicas e 18 ativos típicos de chão de fábrica, e só ganhou subtécnicas na versão 19. Quem tem ambiente industrial e mede a cobertura apenas pela matriz corporativa está medindo o ambiente errado, e essa confusão é frequente.
O catálogo também registra 178 grupos de ameaça, 949 peças de software, separadas entre ferramenta legítima e código malicioso, e 59 campanhas, tudo amarrado às técnicas que cada um usou. É o que permite perguntar contra quem você precisa se defender antes de perguntar o que precisa detectar. A MITRE é explícita quanto ao limite disso: o mapeamento vem só de relato público, então representa um subconjunto do que cada grupo sabe fazer, e nomes de grupo usados por fornecedores diferentes se sobrepõem sem coincidir. Ler esses mapas como se fossem a lista completa é o erro mais comum de quem começa sozinho.
Vale alinhar a expectativa cedo, porque isso muda o planejamento. O que o trabalho produz é um mapa de cobertura, técnica por técnica, com o que foi testado e o que a detecção efetivamente registrou. A MITRE não credencia consultoria, não avalia empresa e o termo de uso do ATT&CK proíbe qualquer uso do nome que sugira endosso a um fornecedor ou serviço. Quando o seu cliente precisa de um documento emitido por terceiro, quem responde é a ISO 27001 ou o SOC 2, e a evidência produzida aqui entra inteira nesse projeto, porque a capacidade de detectar e responder é exigida pelos dois.
QUEM COSTUMA PRECISAR
Nenhuma delas começa com alguém exigindo um documento. O ATT&CK entra quando a pergunta é sobre o que o ambiente enxerga de fato, e não sobre o que está escrito na política de segurança.
Existe ferramenta de endpoint, existe correlacionador de eventos e existe uma equipe olhando painéis. Quando alguém de fora pergunta contra o que a empresa está protegida, a única resposta disponível é o material comercial do fornecedor. Medir a cobertura contra técnicas conhecidas troca esse material por um resultado próprio, obtido no seu ambiente.
O time respondeu, conteve e escreveu um documento que é uma lista de alertas com horário. Ninguém consegue reconstruir por onde o atacante entrou, o que ele fez para permanecer e até onde chegou. Sem esse fio, não dá para saber qual controle teria interrompido o caminho, e a próxima ocorrência recomeça a investigação do zero.
O relatório traz uma lista de vulnerabilidades ordenada por severidade, e a diretoria não consegue enxergar consequência em nenhuma delas isoladamente. Quando cada passo do teste é amarrado a uma técnica, aparece a sequência que levou de um acesso banal ao dado que importa, que é o que faz o orçamento sair.
HISTÓRIAS
Trocamos os nomes dos clientes com o mesmo sigilo que vai proteger a sua empresa depois. Os nomes mudam, o padrão dos problemas se repete. Quando o cliente autoriza, mostramos referências com nome numa conversa.
Saúde
Uma rede de unidades de saúde havia trocado a solução de endpoint por uma de mercado bem avaliada e mantinha uma equipe terceirizada monitorando alertas. A pergunta que a diretoria clínica fazia era simples e nunca era respondida: se aparecesse um sequestro de dados como os noticiados no setor, a empresa perceberia antes ou depois de os prontuários pararem.
Recortamos as técnicas mais associadas a grupos com histórico de ataque a prestadores de saúde e medimos a cobertura de cada uma no ambiente real, executando cada comportamento de forma controlada e conferindo o que o painel mostrava depois. Nada foi aceito por constar em documentação de fornecedor.
Execução de código e persistência apareceram bem cobertas, que era o esperado de uma ferramenta de endpoint boa. Acesso a credencial e movimentação lateral entre servidores passaram quase inteiros sem alerta, porque o registro de autenticação dos servidores nunca havia sido enviado para lugar nenhum. A correção mais valiosa do projeto foi ligar uma fonte de log que já existia.
Energia e utilidades
Depois de um incidente contido às pressas, a empresa tinha dois relatórios do mesmo evento: um escrito pela segurança corporativa, em vocabulário de alerta e assinatura, e outro escrito pela automação, em vocabulário de processo e parada. As duas versões não se encontravam, e a discussão sobre o que investir travou por meses.
Reescrevemos a linha do tempo do incidente uma vez só, com cada passo amarrado a uma técnica, usando a matriz corporativa para o trecho de escritório e a matriz industrial para o trecho de automação. Onde a evidência não sustentava um passo, registramos a lacuna como lacuna em vez de preencher com hipótese.
A narrativa única mostrou que a passagem entre os dois ambientes acontecera por uma estação de engenharia com acesso aos dois lados, e que nenhum dos dois times a monitorava por considerá-la responsabilidade do outro. A decisão de investimento saiu na reunião seguinte, e o modelo de relatório virou padrão para os incidentes posteriores.
Educação superior
A instituição contratava teste de intrusão todo ano e recebia sempre o mesmo formato: uma lista de achados com nota de severidade. A área de tecnologia corrigia os itens críticos, os itens médios rolavam de um ano para o outro, e a reitoria nunca entendeu por que aquilo importava, porque nenhum item isolado parecia grave.
Conduzimos o teste seguinte com cada passo mapeado a uma técnica, do primeiro acesso até o objetivo combinado, e registramos, passo a passo, o que a detecção viu, o que apenas gravou em log e o que ignorou por completo. O relatório passou a ter um caminho, com os pontos em que ele poderia ter sido interrompido.
O caminho até a base acadêmica passava por três achados de severidade média que vinham sendo adiados havia dois ciclos. Postos em sequência, eles deixaram de ser itens de lista e viraram um roteiro, e a reitoria aprovou a correção dos três na mesma semana em que leu o relatório.
COMO CONDUZIMOS
A etapa que separa este trabalho de um relatório bonito é a terceira. Cobertura declarada em documentação de fornecedor fica fora do mapa. Só entra a técnica que foi executada de forma controlada no seu ambiente, com registro do que a detecção fez a respeito.
A própria MITRE recomenda não perseguir cobertura total, porque cada organização enfrenta um conjunto próprio de ameaças e nenhuma técnica se aplica a todo mundo. Começamos escolhendo grupos, campanhas e técnicas com aderência ao seu setor, à sua tecnologia e ao que já aconteceu com empresas parecidas, e registramos o motivo de cada inclusão.
Perfil de ameaça do setor, com grupos e campanhas relevantes
Lista de técnicas priorizadas, com o motivo de cada inclusão registrado
Matrizes em escopo definidas: corporativa, móvel e industrial
Critério de exclusão registrado, para o que ficou de fora e por quê
Marco de entregaRecorte de técnicas aprovado com o seu time, com justificativa por técnica.
Antes de falar em regra de detecção, levantamos que telemetria existe, de onde ela vem e por quanto tempo é guardada, porque técnica sem fonte de dado correspondente não tem como ser detectada por nenhuma ferramenta. Só depois avaliamos, técnica a técnica, se existe regra, se ela está ativa e se alguém a lê.
Inventário das fontes de telemetria, com origem e retenção
Avaliação por técnica, separando o que não é coletado do que é coletado e não é analisado
Mapa de cobertura visual, para leitura em uma tela
Lacunas ordenadas por risco e por esforço de fechamento
Marco de entregaCobertura mapeada por técnica, com a fonte de dado exigida por cada uma identificada.
Executamos as técnicas selecionadas de forma controlada, com janela combinada e registro de tudo, e comparamos o que deveria ter sido detectado com o que a operação efetivamente viu. Onde o escopo inclui teste de intrusão, cada passo do teste é amarrado a uma técnica, de modo que o relatório entregue um caminho percorrido com os pontos em que ele poderia ter sido cortado.
Execução controlada das técnicas priorizadas, com evidência do que foi feito
Comparação entre detecção esperada e detecção observada
Relatório de teste de intrusão com cada passo mapeado a uma técnica
Pontos de interrupção identificados ao longo do caminho
Marco de entregaCada técnica executada com registro do que a detecção viu, do que apenas gravou e do que ignorou.
Transformamos as lacunas em plano com responsável e data, junto ao seu time ou ao seu fornecedor de monitoramento, e medimos de novo com o mesmo método para o resultado ser comparável. Como o catálogo é atualizado duas vezes por ano, definimos também quem relê o recorte a cada versão, porque técnica nova entra e nome de técnica muda.
Plano de fechamento com responsável e data por lacuna
Regras e fontes de log ajustadas junto ao time ou ao fornecedor
Nova medição comparável à primeira, com a versão do catálogo registrada nas duas
Rotina de releitura definida, com quem revisa e a cada quanto tempo
Marco de entregaSegunda medição concluída com o mesmo método, mostrando a direção do movimento.
QUANTO TEMPO LEVA
Não publicamos prazo padrão, porque prazo publicado vira promessa. O recorte inicial costuma ser a parte curta, e a prova é a parte que varia, porque ela depende de janela combinada e de ambiente disponível. Estes são os três fatores que mais mexem no relógio, e a primeira conversa já mostra em qual deles a sua empresa está.
Só o ambiente corporativo é um trabalho com fim visível. Acrescentar dispositivo móvel amplia pouco. Acrescentar ambiente industrial muda o projeto de tamanho, porque a matriz de controle industrial tem táticas próprias, ativos próprios e restrições de teste que não existem no escritório.
Empresa com coleta centralizada e retenção definida começa a medir na primeira semana. Empresa que descobre no meio do caminho que o log do controlador de domínio some em sete dias precisa resolver a coleta antes de medir cobertura, porque não há regra de detecção que funcione sobre dado que não foi guardado.
Em ambiente de laboratório fiel à produção, a execução anda rápido. Em produção, cada técnica exige janela combinada, aprovação e plano de reversão, e isso costuma ser negociado com quem responde pela disponibilidade. Essa conversa começa cedo no projeto, porque ela é a que mais estica o cronograma.
PERGUNTAS FREQUENTES
As dúvidas que aparecem em quase toda primeira reunião, respondidas sem rodeio.
Não existe. A MITRE mantém o catálogo, publica atualização duas vezes por ano e o deixa disponível sem custo para qualquer pessoa ou organização, e não credencia consultoria nem avalia empresa. O termo de uso é explícito ao proibir qualquer emprego do nome que sugira endosso a um produto ou a um serviço, e esta página segue essa regra. O que o trabalho entrega é o seu mapa de cobertura medido, com evidência de teste. Se o que você precisa é um documento para enviar a um cliente, vale olhar a ISO 27001 ou o SOC 2.
O recorte das técnicas relevantes ao seu setor e a medição da cobertura no seu ambiente respondem, com evidência de teste, a pergunta que a ferramenta comprada não responde sozinha. É o começo mais barato, e serve tanto para quem quer ajustar o que já tem quanto para quem vai certificar depois.
Comparativos sobre este assunto
Ver os 13 comparativos