Was sind TTP und MITRE ATT&CK?
TTP ordnen Angreiferverhalten nach Ziel (Taktik), Art der Zielerreichung (Technik) und konkreter beobachteter Umsetzung (Verfahren); MITRE ATT&CK stellt dafür eine kuratierte Wissensbasis und Taxonomie bereit.
Technische Einordnung: Taktiken beantworten das „Warum“, Techniken das „Wie“. Subtechniken gliedern Verhalten feiner. Verfahren beschreiben konkrete, in der Praxis beobachtete Umsetzungen einer Technik oder Subtechnik. ATT&CK ordnet diese Ebenen systematisch, ist aber weder ein Sicherheitsprodukt noch eine automatische Detection.
Für wen und welche Umgebungen ist ATT&CK relevant?
ATT&CK ist für Organisationen und Sicherheitsteams relevant, die Angreiferverhalten, Detektionsfähigkeiten oder Sicherheitsarchitekturen analysieren. Die offiziellen Technologiedomänen sind Enterprise, Mobile und ICS; innerhalb dieser Domänen sind Techniken und Subtechniken bestimmten Plattformen zugeordnet. Die Auswahl muss deshalb zum eigenen Technologie- und Bedrohungskontext passen.
Wann wird ATT&CK eingesetzt?
Ein fachlicher Anlass besteht, wenn Teams relevantes Angreiferverhalten strukturiert auswerten, Threat Intelligence bearbeiten, Detektionen und Analytiken entwickeln, Fähigkeiten bewerten oder Angriffe emulieren wollen. Zuordnungen sollten auf den passenden Techniken, Plattformen und verfügbaren Beobachtungen beruhen. ATT&CK selbst setzt dafür weder einen allgemeinen formalen Auslöser noch eine Einsatzvoraussetzung fest.
Wie werden Beobachtungen einer Technik zugeordnet?
Eine Zuordnung ist fachlich tragfähig, wenn das beobachtete oder analysierte Verhalten zu einer Technik oder Subtechnik passt; die zugehörige Taktik beschreibt das verfolgte Ziel. Ein Verfahren ist nur eine konkrete Umsetzung. Da Angreifer dieselbe Technik auf unterschiedliche Arten umsetzen können, belegt ein einzelnes Verfahren weder die vollständige Abdeckung der Technik noch eine bestimmte Täterschaft.
Welche Grenzen hat MITRE ATT&CK?
Grenze des Modells: ATT&CK ist weder eine vollständige Liste aller Angriffshandlungen noch eine Sicherheitscheckliste. Nicht dokumentiertes oder organisationsspezifisches Verhalten kann weiterhin relevant sein, und nicht jede Technik ist für jede Organisation gleich bedeutsam. Auch eine als abgedeckt markierte Technik kann weitere Umsetzungsarten besitzen.
Eine Bewertung sollte daher die konkrete Umgebung, eigene Beobachtungen und eigene Intelligence-Quellen einbeziehen. Das vollständige Markieren einer Matrix weist keine vollständige Abwehr nach.
Welche Fristen oder Schwellenwerte gelten für ATT&CK?
Aus dem ATT&CK-Modell selbst folgen für Anwender keine allgemeine Frist, kein Startzeitpunkt und kein numerischer Schwellenwert. Unabhängige externe oder organisationsinterne Vorgaben werden dadurch weder festgelegt noch ersetzt.
Wie unterstützt ATT&CK die Entwicklung von Detektionen?
ATT&CK kann Teams dabei unterstützen, Analytiken auf relevantes Angreiferverhalten auszurichten. Es erzeugt oder validiert jedoch nicht automatisch eine Detektion. Das Cyber Analytics Repository ist eine von ATT&CK getrennte Wissensbasis für Analytiken; eine ATT&CK-Zuordnung allein bestätigt weder deren Wirksamkeit noch eine Täterattribution.
Häufige Fehlannahmen
- „ATT&CK enthält alle Angriffshandlungen.“ Nein. Nicht dokumentierte, neue oder organisationsspezifische Verhaltensweisen können zusätzlich relevant sein.
- „Eine vollständig markierte Matrix beweist vollständige Sicherheit.“ Nein. Hundertprozentige Matrixabdeckung ist kein Nachweis vollständiger Abwehr und kein sachgerechtes pauschales Ziel.
- „Eine abgedeckte Technik ist vollständig beherrscht.“ Nein. Eine Technik kann durch unterschiedliche Verfahren umgesetzt werden; eine einzelne Zuordnung deckt nicht automatisch alle Varianten ab.
- „ATT&CK erkennt Angriffe automatisch.“ Nein. Das Modell unterstützt die Entwicklung und Strukturierung von Analytiken, automatisiert aber weder Detection noch deren Wirksamkeitsprüfung.
- „Eine Technikzuordnung identifiziert sicher den Angreifer.“ Nein. Beobachtetes Verhalten und Technikzuordnungen reichen für eine sichere Täterattribution nicht aus.
Was die Geschäftsleitung tun sollte
Praxisempfehlung, keine aus ATT&CK folgende Pflicht:
- Die zuständigen Sicherheitsteams beauftragen, ATT&CK-Techniken anhand der eigenen Bedrohungslage und der tatsächlich eingesetzten Enterprise-, Mobile- oder ICS-Plattformen zu priorisieren.
- Vorhandene Telemetrie, Protokollierung und Analytiken gegen diese Prioritäten bewerten und die Aussagekraft der jeweiligen Beobachtungen dokumentieren lassen.
- Erkannte Lücken priorisiert bearbeiten und dabei eigene Threat Intelligence sowie organisationsspezifische Beobachtungen ergänzend zur ATT&CK-Wissensbasis einbeziehen.
- Keine pauschale Hundertprozentabdeckung als Ziel oder Sicherheitsnachweis vorgeben, sondern Wirksamkeit und verbleibende Risiken im eigenen Kontext bewerten.
- Festhalten lassen, welche Domänen, Plattformen, Techniken, Datenquellen und Annahmen einer Coverage-Aussage zugrunde liegen.
Für die Geschäftsleitung
ATT&CK schafft eine gemeinsame Sprache für beobachtetes Angreiferverhalten, gilt aber nur innerhalb der ausgewählten Domänen, Plattformen und verfügbaren Beobachtungen. Die zentrale Entscheidung ist deshalb nicht, möglichst viele Matrixfelder zu markieren, sondern die für die eigene Bedrohungslage relevanten Techniken zu priorisieren. Nachvollziehbar dokumentiert werden sollten Auswahlgrundlage, Telemetrie, Analytiken, erkannte Lücken und deren Wirksamkeitsbewertung; ATT&CK ersetzt weder die organisationsspezifische Risikoanalyse noch weitere Sicherheitsmaßnahmen.
Quellen
- MITRE ATT&CK FAQ – Definition von ATT&CK, Taktiken, Techniken, Subtechniken und Verfahren sowie Technologiedomänen.
- MITRE ATT&CK Resources – Anwendungsfelder, Priorisierung und Grenzen von Coverage-Aussagen.
- MITRE ATT&CK: Detections and Analytics – Einsatz des Modells für Analytiken und Abgrenzung zum Cyber Analytics Repository.
