Тактики MITRE ATT&CK
MITRE ATT&CK — открытая база знаний о поведении реальных атакующих, организованная по тактикам (ЗАЧЕМ — цель шага, например «Закрепление») и техникам (КАК — конкретный способ, например «Запланированная задача»); общий язык для описания, сопоставления и защиты от атак.
Структура: матрица со столбцами-тактиками (Initial Access, Execution, Persistence, Privilege Escalation, Defense Evasion, Credential Access, Discovery, Lateral Movement, Collection, Command & Control, Exfiltration, Impact), под каждой — список техник с идентификатором (T1059 = интерпретатор команд и скриптов) и реальными примерами использования APT-группами. От kill chain отличается тем, что это не линейная высокоуровневая схема, а детальный нелинейный каталог, основанный на наблюдаемом поведении. Применение: сопоставление обнаруженных техник с известными TTP, поиск пробелов в защите («какие техники мы не видим?»), threat hunting, учения red и purple team. Де-факто стандарт в современном обнаружении и анализе угроз.