MITRE ATT&CK ist eine frei verfügbare Wissensbasis real beobachteter Angreifertaktiken und -techniken, die als gemeinsame Sprache für Red Teams, SOC und Management dient.
MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) ist eine öffentlich zugängliche Wissensbasis der gemeinnützigen US-Organisation MITRE. Sie katalogisiert, wie reale Angreifer vorgehen – nicht theoretisch, sondern belegt durch dokumentierte Vorfälle. Jede Technik ist mit Beschreibung, Beispielen bekannter Gruppen, Erkennungsmöglichkeiten und Gegenmaßnahmen hinterlegt. Die Matrix wird seit 2013 gepflegt und mehrmals jährlich aktualisiert; sie liegt für Unternehmens-IT (Enterprise), mobile Geräte und industrielle Steuerungen (ICS) vor.
Der Nutzen liegt in der gemeinsamen Sprache. Wenn ein Red Team „T1558.003“ meldet, weiß das SOC, dass Kerberoasting gemeint ist, welche Logquelle es sichtbar macht und wie es sich verhindern lässt – ohne Interpretationsspielraum.
Aufbau der Matrix
ATT&CK Enterprise ist in Taktiken, Techniken und Sub-Techniken gegliedert:
- Taktiken beschreiben das „Warum“ – das Ziel eines Angriffsschritts. Die aktuelle Enterprise-Matrix umfasst 15 Taktiken: Reconnaissance, Resource Development, Initial Access, Execution, Persistence, Privilege Escalation, Stealth (ehemals Defense Evasion), Defense Impairment, Credential Access, Discovery, Lateral Movement, Collection, Command and Control, Exfiltration und Impact.
- Techniken beschreiben das „Wie“ – etwa Phishing, Pass-the-Hash oder Missbrauch von Gruppenrichtlinien. Jede trägt eine ID wie T1566.
- Sub-Techniken verfeinern weiter: T1566.001 ist Phishing mit Anhang, T1566.002 Phishing mit Link.
- Gruppen und Software verknüpfen Techniken mit Angreifern wie APT29 oder FIN7 und deren Werkzeugen.
Im Gegensatz zur Cyber Kill Chain, die einen Angriff als lineare Abfolge beschreibt, ist ATT&CK ein Katalog: Angreifer springen zwischen Taktiken, wiederholen Schritte und lassen Phasen aus. Die Techniken bilden die mittlere Ebene der TTP-Hierarchie.
Bedeutung für Unternehmen
Für Entscheider ist ATT&CK vor allem ein Messinstrument. Eine ATT&CK-Heatmap zeigt pro Technik, ob Ihre Verteidigung sie blockiert, erkannt oder nicht bemerkt hat – farbcodiert und über mehrere Tests vergleichbar. Damit lässt sich Fortschritt belegen, Budget begründen und gegenüber Aufsicht und Revision nachweisen, dass Sicherheitsmaßnahmen gegen reale Bedrohungen wirken. In unseren Red-Team-Berichten ist die Heatmap fester Bestandteil; Purple Teaming und Adversary Emulation bauen methodisch darauf auf.
Ein typischer Fehler ist das Streben nach „Vollabdeckung“: Niemand kann alle Techniken erkennen, und nicht alle sind für jede Organisation relevant. Priorität verdienen die Techniken, die die für Ihre Branche aktiven Gruppen tatsächlich einsetzen.
Praxis-Hinweise
- Verlangen Sie von Dienstleistern und im eigenen SOC, dass Befunde, Alarme und Regeln ATT&CK-IDs tragen – das macht Berichte vergleichbar.
- Erstellen Sie eine Heatmap Ihrer Erkennungsabdeckung und priorisieren Sie Lücken nach Bedrohungslage statt nach Alphabet.
- Nutzen Sie die offizielle Quelle attack.mitre.org und den dort verfügbaren ATT&CK Navigator zur Visualisierung.
- Achten Sie auf Versionen: Taktiken und Techniken ändern sich; Heatmaps aus verschiedenen Jahren sind nur mit Versionsangabe vergleichbar.