MITRE ATT&CK: матрица тактик и техник атак

MITRE ATT&CK — открытая база знаний о тактиках, техниках и процедурах, которые реальные атакующие применяют против корпоративных сетей, мобильных устройств и промышленных систем; проект с 2013 года ведёт некоммерческая организация MITRE Corporation. Название расшифровывается как Adversarial Tactics, Techniques and Common Knowledge — дословно «враждебные тактики, техники и общие знания».

MITRE начала проект в рамках собственного исследования FMX, которое изучало, как телеметрия конечных точек и поведенческая аналитика помогают обнаруживать атакующего уже после того, как он проник в сеть. Чтобы протестировать датчики и аналитику FMX, исследователям понадобился структурированный каталог типовых действий атакующих — так родилась матрица ATT&CK, которую MITRE впоследствии открыла для всего сообщества.

С тех пор каждой технике в базе присвоен постоянный идентификатор — например, T1566 для фишинга, — и это превратило ATT&CK в общий язык индустрии: аналитик может указать код техники в отчёте, и любой читатель поймёт, о каком именно способе атаки речь, без пересказа своими словами.

Американское агентство CISA официально признало практику маппинга на ATT&CK одним из стандартов работы с threat intelligence — то есть это не частная инициатива одного вендора, а подход, который использует и государственный сектор.

Матрица ATT&CK построена в три уровня детализации: тактики отвечают на вопрос «зачем» — какую цель на этом шаге преследует атакующий, техники и субтехники — «как» именно цель достигается, а процедуры — это конкретная реализация техники, которую применила задокументированная группировка или образец вредоносного ПО. ATT&CK охватывает три отдельные матрицы под разные типы инфраструктуры — Enterprise (корпоративные ИТ и облака), Mobile (мобильные устройства) и ICS (промышленные системы управления).

↔ таблицу можно прокрутить вбок

Число тактик в Enterprise-матрице менялось только один раз почти за тринадцать лет: с момента запуска в 2013 году и до апреля 2026 года MITRE использовала 14 тактик. В версии ATT&CK v19, выпущенной 28 апреля 2026 года, тактику Defense Evasion разделили на Stealth и Defense Impairment — MITRE объяснила это тем, что «сокрытие действий» и «слом защитных механизмов» описывают разное поведение атакующего и по-разному детектируются.

Поэтому в материалах, вышедших до апреля 2026 года, цифра «14 тактик» — это не ошибка, а отражение прежней версии матрицы.

Каждая тактика раскрывается через техники и субтехники: на июль 2026 года Enterprise-матрица содержит 222 техники и 475 субтехник. Внутри страницы каждой техники MITRE приводит примеры процедур — то есть конкретные подтверждённые случаи её применения — со ссылкой на одну из 178 отслеживаемых группировок или один из 949 задокументированных образцов инструментов и вредоносного ПО (это счётчики по всей базе ATT&CK — Enterprise, Mobile и ICS вместе;

у самой Enterprise-матрицы в релизе v19 было 174 группировки и 821 образец ПО, но с апреля общие счётчики на сайте продолжают расти). Это и есть третий, самый конкретный уровень матрицы: тактика — общая цель, техника — способ её достичь, процедура — как этот способ был реализован на практике конкретным атакующим.

ATT&CK Navigator — бесплатный веб-инструмент MITRE для навигации и разметки матрицы: в нём можно закрашивать ячейки, оставлять комментарии и присваивать техникам числовые значения, не трогая исходную базу знаний. Инструмент работает полностью на стороне браузера, доступен без регистрации на mitre-attack.github.io/attack-navigator, а загруженные файлы не отправляются на сервер MITRE — это осознанное решение разработчиков для работы с чувствительными данными.

Главная возможность Navigator — «слои» (layers): пользовательские представления матрицы поверх общей базы. Слоем может быть, например, набор техник конкретной APT-группировки, карта фактического покрытия детекта в организации или частота срабатывания техник за отчётный период. Слои можно создавать интерактивно в интерфейсе или генерировать программно и затем просто визуализировать.

На практике команды SOC и threat hunting строят вокруг Navigator и матрицы несколько типовых процессов: аналитик threat intelligence накладывает слоем набор техник отслеживаемой группировки, чтобы проверить готовность защиты именно против неё; инженер детекта сопоставляет действующие правила корреляции SIEM и поведенческие сигнатуры EDR с идентификаторами техник, получая heat-map — какие техники закрыты, какие частично, а какие вообще не покрыты;

red team и blue team используют общую матрицу как протокол для разбора учений — атакующая сторона фиксирует применённые техники, защитная сверяет их со своими детектами.

Cyber Kill Chain — линейная модель Lockheed Martin из семи широких этапов атаки в строгом порядке, а MITRE ATT&CK — открытая матрица из более чем двухсот детальных техник без жёсткой последовательности, напрямую привязанная к реальным задокументированным группировкам; на практике их используют вместе, а не одну вместо другой. Kill chain задаёт общий каркас — «на каком шаге атаки мы сейчас», ATT&CK детализирует — «каким именно способом атакующий этот шаг реализует».

ATT&CK нередко описывают как альтернативу линейным моделям вроде Cyber Kill Chain: там, где kill chain фиксирует семь широких стадий, ATT&CK детализирует их через 222 техники, привязанные к задокументированным группировкам и образцам вредоносного ПО. На практике команды SOC используют kill chain, чтобы объяснить логику атаки нетехнической аудитории и структурировать план защиты по этапам, а ATT&CK — чтобы описать конкретное действие конкретного инструмента точным идентификатором техники, который можно сопоставить между отчётами разных вендоров.

Российские SIEM, EDR, TIP и SOAR используют ATT&CK как общий язык для описания детект-контента: правила корреляции, поведенческие сигнатуры и плейбуки реагирования помечают идентификатором техники — например, T1059 (Command and Scripting Interpreter), — чтобы показать, какую часть матрицы конкретный продукт способен обнаружить. SecRadar не публикует процент покрытия ATT&CK по конкретным вендорам без проверенного первоисточника — эта цифра при необходимости уточняется напрямую в документации продукта.

• SIEM сопоставляет действующие правила корреляции с идентификаторами техник ATT&CK и строит по ним heat-map покрытия — какие техники обнаруживаются существующим контентом, а под какие правил ещё нет. Это превращает абстрактный «набор правил» в измеримую карту готовности к конкретным сценариям атак.
• EDR описывает поведенческую детекцию на конечных точках через технику или субтехнику атаки на хосте — например, T1055 (Process Injection) — вместо общих формулировок вроде «подозрительная активность процесса». Это позволяет сравнивать возможности разных EDR-продуктов на языке одной и той же матрицы.
• TIP (платформа Threat Intelligence) обогащает профили отслеживаемых группировок и индикаторы компрометации привязкой к конкретным тактикам и техникам, которые применяет та или иная APT-группировка — это позволяет команде threat intelligence проверить, есть ли у организации детект против техник именно этого противника.
• SOAR триггерит плейбуки реагирования по идентификатору обнаруженной техники, автоматизируя типовой ответ на конкретный шаг атаки — например, изоляцию узла при срабатывании техники из тактики Lateral Movement.