MITRE ATT&CK per i red team

I red team esistono per rispondere a una domanda secca: Un avversario motivato potrebbe ottenere un impatto significativo contro di noi? MITRE ATT&CK aiuta a rispondere in un linguaggio condiviso—tattiche, tecniche e procedure (TTP)—così i finding offensivi si mappano in modo pulito su detection, hunting e remediation.

Questo articolo spiega come i red team usano ATT&CK, in cosa differisce da una classica vulnerability scan e come applicarlo senza trasformare ogni engagement in un esercizio di completamento della matrice.

Cos’è MITRE ATT&CK e perché conta

MITRE ATT&CK è una knowledge base curata di comportamenti avversariali osservati nel mondo reale. Organizza l’attività in tattiche (gli obiettivi dell’avversario, come Initial Access o Lateral Movement) e tecniche (come quegli obiettivi vengono raggiunti), spesso con sub-technique ed esempi di procedure.

Per i red team, ATT&CK conta perché:

• Migliora la comunicazione. “Abbiamo usato T1078 Valid Accounts” è più chiaro di un vago “siamo entrati in qualche modo”.
• Allinea offense e defense. Blue e purple team possono mappare le detection sugli stessi ID di tecnica.
• Prioritizza il realismo. Gli engagement possono concentrarsi su tecniche rilevanti per il threat model dell’organizzazione—non solo CVE casuali.
• Supporta l’analisi di copertura. Nel tempo puoi vedere quali tecniche riescono ripetutamente e quali detection falliscono.

ATT&CK non è di per sé una metodologia di testing (PTES o simili strutturano ancora l’engagement). È il lessico del comportamento avversariale che rende i risultati del red team operativamente riusabili.

Framework centrale: tattiche, tecniche e design dell’engagement

Le tattiche come milestone dell’engagement

Una campagna red team spesso progredisce attraverso tattiche ATT&CK come:

1. Reconnaissance
2. Resource Development
3. Initial Access
4. Execution
5. Persistence
6. Privilege Escalation
7. Defense Evasion
8. Credential Access
9. Discovery
10. Lateral Movement
11. Collection
12. Command and Control
13. Exfiltration
14. Impact

Non ogni engagement richiede ogni tattica. Un obiettivo focalizzato—ad esempio “accedere ai dati payroll da un foothold internet non autenticato”—può enfatizzare Initial Access fino a Collection/Exfiltration, con altre tattiche come passi di supporto.

Le tecniche come unità di lavoro

Le tecniche (ad esempio Phishing, Exploit Public-Facing Application, Remote Services o Abuse Elevation Control Mechanism) diventano i building block del piano di attacco. Buona pratica red team:

• Seleziona tecniche basate su threat intelligence e vincoli dell’ambiente
• Documenta i dettagli di procedure (tool, comandi, path) per la riproducibilità
• Annota le opportunità di detection osservate o mancate lungo il percorso

Matrici e piattaforme

ATT&CK fornisce matrici per Enterprise, Mobile e ICS, con tag di piattaforma (Windows, Linux, cloud, identity provider e altro). I red team dovrebbero scegliere la matrice e le piattaforme che corrispondono all’ambiente target—inclusi layer SaaS e identity che i tradizionali “network pentest” spesso sottotestano.

Come i red team applicano ATT&CK in pratica

1. Pianificazione threat-informed

Parti da gruppi o campagne avversariali rilevanti per il tuo settore, o da asset business-critical. Costruisci un’ipotesi: “Se un actor ottiene un foothold via phishing, può raggiungere l’admin SaaS crown-jewel?” Poi seleziona tecniche che testano quel percorso.

2. Mapping durante l’esecuzione

Man mano che gli operator avanzano, taggano le azioni con ID di tecnica. Questo trasforma il log dell’engagement in un dataset strutturato per:

• Workshop purple team
• Backlog di detection engineering
• Narrative executive (“l’avversario ha raggiunto X tramite queste tattiche”)

3. Validazione di detection e controlli

ATT&CK brilla quando il successo del red team è abbinato alla risposta del blue team. Per ogni tecnica riuscita, chiedi:

• È stata loggata?
• Ha generato un alert?
• È stata contenuta?
• Quanto è durato il dwell time?

Quel loop è più vicino ad un’assicurazione continua che a un report snapshot una tantum.

4. Reporting che i difensori possono usare

Report ATT&CK-oriented solidi includono:

• Obiettivo e outcome (mission success/failure)
• Timeline delle tecniche o kill chain
• Evidenze e impatto
• Gap di detection e controlli raccomandati (preventivi e detective)
• Criteri di retest

ATT&CK vs. testing centrato sulle vulnerabilità

| Focus | Centrato sulle vulnerabilità | Red team informato da ATT&CK | |---|---|---| | Domanda primaria | Quali debolezze esistono? | Cosa può ottenere un avversario? | | Unità di finding | CVE / misconfig | Tecnica / percorso di attacco | | Metrica di successo | Conteggi di severità | Completamento obiettivo + qualità detection | | Meglio abbinato a | Patch & config management | Detection engineering, IR, Zero Trust |

Entrambi sono necessari. Le vulnerabilità exploitabili spesso abilitano tecniche ATT&CK; ATT&CK spiega come quelle debolezze diventano impatto di business.

Takeaway pratici per i team di sicurezza

1. Definisci gli obiettivi prima di riempire la matrice. Il theater della copertura non aiuta nessuno; il testing mission-based sì.
2. Richiedi ID di tecnica nei deliverable. Rendili standard nei report di red team e pentest avanzati.
3. Chiudi il loop con le detection. Ogni tecnica riuscita dovrebbe creare un ticket di detection o controllo—o un rischio accettato.
4. Includi tecniche di identity e cloud. Le intrusioni moderne vivono spesso in path IdP, SaaS e CI/CD.
5. Preferisci purple teaming continuo. Validazione ricorrente e focalizzata di tecniche batte un singolo snapshot annuale di red team.
6. Usa ATT&CK con attenzione nelle conversazioni TPRM. Quando valuti vendor critici, chiedi come rilevano o prevengono tecniche rilevanti per il confine di fiducia condiviso—non se “hanno ATT&CK”.

Concetti correlati

• PTES e altri standard di esecuzione per la struttura dell’engagement
• Purple teaming e detection engineering
• Cyber threat intelligence (CTI) e threat profiling
• Atomic Red Team / piani di adversary emulation
• Monitoraggio continuo dell’esposizione come input alle ipotesi di Initial Access

Conclusione

MITRE ATT&CK dà a red team e difensori una mappa comune del comportamento avversariale. Usato bene, trasforma esercizi offensivi in miglioramenti duraturi di detection e controlli. Usato male, diventa una checklist di tecniche scollegate dal rischio di business. Ancorati agli obiettivi, documenta le TTP con rigore e continua a validare—perché gli avversari iterano continuamente, e così dovrebbe fare il tuo programma di assurance.