در بسیاری از سازمان‌ها، ATT&CK  صرفاً یک ماتریس زیبا روی دیوار SOC است. اما ارزش واقعی آن زمانی آشکار می‌شود که از یک «مرجع دانشی» به یک «چارچوب عملیاتی» برای شناسایی، تحلیل و پاسخ تبدیل شود. این مقاله از Hellodigi  با رویکرد اجرایی، نشان می‌دهد چگونه می‌توان تکنیک‌های MITRE  در MITRE ATT&CK  را به منطق‌های تشخیص (Detection Logic) و کنترل‌های دفاعی تبدیل کرد.

ATT&CK  دقیقاً چه مشکلی را حل می‌کند؟

در برنامه‌های دفاع سایبری مدرن، یکی از چالش‌های اساسی این است که تیم امنیت به‌جای تمرکز بر رفتار مهاجم، درگیر لیست‌های پراکنده IOC (Indicator of Compromise) می‌شود. IOCها مفیدند، اما:

❌  عمر کوتاه دارند
❌  به‌سرعت تغییر می‌کنند
❌  وابسته به کمپین یا بدافزار خاص هستند

اینجاست که MITRE ATT&CK  وارد می‌شود.

MITRE ATT&CK  یک چارچوب دانشی مبتنی بر رفتار است که تاکتیک‌ها، تکنیک‌ها و رویه‌های مهاجمان (TTPs)  را مستند و طبقه‌بندی می‌کند تا سازمان‌ها بتوانند شناسایی، تحلیل و دفاع مؤثرتری در برابر تهدیدات سایبری داشته باشند.

🎯  ATT&CK چه چیزی را استاندارد می‌کند؟

ATT&CK  یک سیستم دسته‌بندی ساختاریافته برای توصیف رفتار مهاجمان سایبریست، نه یک دیتابیس IOC .

تمرکز اصلی آن بر روی رفتار مهاجم (Adversary Behavior)، تکنیک‌ها و زیرتکنیک‌ها (Techniques & Sub-techniques) و تاکتیک‌ها (Tactics) در چرخه حمله است.

به‌جای پرسش سنتی چه فایل یا هشی مخرب است؟ رویکرد ATT&CK این است:

مهاجم چگونه عمل می‌کند و چگونه حرکت می‌کند؟

🔍  مشکلی که ATT&CK حل می‌کند

1️ شکستن وابستگی به IOCها

ATT&CK  تحلیل را از «آرتیفکت‌های قابل تغییر» به «الگوهای رفتاری پایدار» منتقل می‌کند.

 2️ایجاد زبان مشترک بین تیم‌ها

SOC، Threat Intel، IR و Detection Engineering همگی با یک واژگان استاندارد صحبت می‌کنند:

T1055 → Process Injection ✔️

T1003 → Credential Dumping ✔️

3️ تبدیل امنیت از ابزارمحور به رفتارمحور

به‌جای  EDR داریم پس امنیم. می‌پرسیم:  کدام تکنیک‌های Credential Access را پوشش می‌دهیم؟

4️ امکان Gap Analysis واقعی

ATT&CK  مشخص می‌کندکه چه تکنیک‌هایی قابل شناسایی‌اند، چه بخش‌هایی Blind Spot هستند و کجا Detection نداریم.

🧠  تغییر پارادایم امنیت

MITRE ATT&CK  رویکرد امنیت را از یک مدل واکنشی و IOCمحور به یک مدل پیش‌نگر و رفتارمحور تغییر می‌دهد.
در مدل سنتی، تمرکز بر پاسخ پس از حمله، لیست IOCها و وابستگی به ابزار Vendor است. این رویکرد معمولاً ناپایدار و کوتاه‌عمر است.

ATT&CK  تمرکز را به رفتار مهاجم و تکنیک‌های حمله منتقل می‌کند. نتیجه، شکل‌گیری دفاع Proactive، طراحی Detection  هدفمند و امنیت Threat-informed  است، جایی که تصمیمات دفاعی بر اساس TTPهای واقعی مهاجمان گرفته می‌شود، نه صرفاً هش فایل‌ها یا Signatureها.

✨  MITRE ATT&CK  به سازمان‌ها کمک می‌کند رفتار مهاجمان را بشناسند، تکنیک‌ها را به Detection تبدیل کنند، پوشش دفاعی را اندازه‌گیری کنند و به‌جای دنبال کردن فایل‌های مخرب، الگوهای حمله را شناسایی کنند.

از Tactic تا Technique :  ترجمه زبان تهدید

مثال:

Tactic: Privilege Escalation
Technique: T1055 – Process Injection

برداشت عملیاتی:

🔹  مهاجم تلاش دارد در یک Process معتبر کد تزریق کند
🔹  هدف: پنهان‌سازی، اجرای Payload، عبور از دفاع‌ها

تبدیل Technique به Detection

🎯  مرحله 1: تعریف رفتار قابل مشاهده (Observable Behavior)

برای T1055 – Process Injection :

✔️ ایجاد Remote Thread

✔️ دستکاری حافظه Process دیگر

✔️ استفاده از APIهایی مانند:

• WriteProcessMemory
• CreateRemoteThread

🎯  مرحله 2: نگاشت به Telemetry

منابع داده:

✔  Sysmon
✔  EDR
✔  Windows Event Logs
✔  Memory Analysis

نمونه رویدادهای مهم:

• Sysmon Event ID 8 → CreateRemoteThread
• Sysmon Event ID 10 → ProcessAccess

🎯  مرحله 3: طراحی Detection Logic

در این مرحله، رفتار تکنیک به یک منطق تشخیص قابل اجرا تبدیل می‌شود. هدف، کاهش False Positive و تمرکز روی الگوهای واقعاً مشکوک است.

نمونه Detection Logic (مفهومی):

اگر یک Process غیرسیستمی به Process دیگر دسترسی Write بگیرد و رویداد CreateRemoteThread مشاهده شود و Process هدف جزو Processهای حساس سیستم باشد
مانند lsass.exe یا winlogon.exe

آنگاه:

🚨  Alert : احتمال Process Injection

برداشت تحلیلی:

این ترکیب معمولاً نشان‌دهنده تلاش برای تزریق کد به Process معتبر، پنهان‌سازی اجرای Payloadو Defense Evasion / Credential Access است.

نکته مهندسی Detection :

برای دقت بالاتر می‌توان افزود:

✔  بررسی Reputation Process مبدا
✔  Parent Process Anomaly
✔  امضای دیجیتال (Unsigned / Suspicious)
✔  Baseline رفتاری سیستم

نقش ATT&CK در طراحی Use Case

ATT&CK  کمک می‌کند:

✔  Blind Spotها مشخص شوند
✔  Use Caseها هدفمند شوند
✔  پوشش Detection قابل اندازه‌گیری شود

مثال:

ATT&CK  و Threat Hunting

در Threat Hunting رویکرد فرق می‌کند. هدف پیدا کردن یک Hash یا IP خاص نیست، هدف کشف رفتار مشکوک است.

ATT&CK  دقیقاً همین دید رفتاری را به شکار تهدید وارد می‌کند.

🎯  مثال ملموس

به‌جای اینکه بپرسیم:آیا بدافزار X وارد شبکه شده می‌پرسیم: آیا پردازه‌ای رفتار شبیه سرقت Credential دارد؟

🔍  سناریوی Hunting

یکی از سؤالات کلاسیک در Hunting :

آیا Process غیرمعمولی به lsass.exe دسترسی گرفته؟

چرا مهم است؟

چون lsass.exe  حافظه‌ی  Credentialها را نگه می‌دارد و هدف محبوب تکنیک‌های Credential Dumping است.

🧠  در حین Hunting بررسی می‌کنیم:

✔  چه پردازه‌هایی به lsass دسترسی گرفته‌اند
✔  آیا این دسترسی طبیعی است یا غیرمنتظره
✔  سطح دسترسی چقدر حساس است (مثلاً Full Access)

اگر ببینیم یک Process ناشناس یا غیرعادی، با سطح دسترسی بالا و به lsass متصل شده این یک سیگنال قوی برای بررسی بیشتر است.

⚠  نکته مهم برای تحلیلگر

هر دسترسی به lsass مخرب نیست.

مثلاً:

  ✔️ ابزارهای امنیتی
✔️  آنتی‌ویروس
  ✔️ برخی ابزارهای مدیریتی

بنابراین Hunting یعنی: تفکیک رفتار طبیعی از رفتار غیرطبیعی

✨ در Threat Hunting مبتنی بر ATT&CK :

✔️ دنبال Signature نمی‌گردیم

✔️ دنبال الگوهای رفتاری مهاجم می‌گردیم

✔️ سؤالات رفتاری می‌پرسیم، نه IOCمحور

ATT&CK  در ابزارهای امنیتی

بسیاری از ابزارها Detectionهای خود را بر اساس ATT&CK برچسب‌گذاری می‌کنند:

Splunk

Elastic

Microsoft Defender

EDR / XDR Platforms

مزیت:

✔  زبان مشترک بین SOC، IR، Threat Intel
✔  گزارش‌دهی استاندارد
✔  Gap Analysis ساده‌تر

اشتباهات رایج سازمان‌ها در استفاده از ATT&CK

با وجود محبوبیت بالای چارچوب MITRE ATT&CK، بسیاری از سازمان‌ها به دلایل مختلف نتایج مطلوب را نمی‌گیرند. رایج‌ترین اشتباهات عبارتند از:

✔️ استفاده صرف تزئینی از ATT&CK

برخی سازمان‌ها ATT&CK را تنها به‌عنوان یک ماتریس زیبای روی دیوار یا مرجع تئوریک می‌بینند، بدون آنکه تکنیک‌ها را به Detection  عملیاتی یا Hunting واقعی تبدیل کنند. نتیجه: چارچوب وجود دارد اما اثربخشی دفاعی صفر است.

✔️ عدم نگاشت به منابع داده واقعی (Log Source)

ATT&CK  تنها زمانی ارزشمند است که هر تکنیک به رویدادها و داده‌های واقعی سیستم‌ها، EDR و SIEM متصل شود. نبود این نگاشت باعث می‌شود بسیاری از Detectionها غیرقابل اجرا یا ناکارآمد باشند.

✔️ طراحی Detection بدون کیفیت داده

ساخت Detection روی داده‌های ناقص یا غیرقابل اعتماد، باعث افزایش False Positive و هشدارهای بی‌ارزش می‌شود. کیفیت داده‌ها و Telemetry شرط اساسی موفقیت است.

✔️ تمرکز محدود روی  Initial Access

بسیاری از تیم‌ها فقط روی مرحله ورود مهاجم (Initial Access) تمرکز می‌کنند و مراحل بعدی چرخه حمله (Lateral Movement، Persistence، Credential Access و غیره) نادیده گرفته می‌شود. این دید محدود باعث ایجاد Blind Spot های بزرگ در دفاع سایبری می‌شود.

برای بهره‌وری واقعی از ATT&CK، سازمان‌ها باید آن را ابزاری عملیاتی و رفتارمحور ببینند، هر تکنیک را به داده‌های واقعی متصل کنند و تمام چرخه حمله را در طراحی Detection و Hunting لحاظ کنند.

 رویکرد درست برای پیاده‌سازی ATT&CK

برای اینکه چارچوب ATT&CK به یک ابزار عملیاتی واقعی تبدیل شود و ارزش آن در شناسایی و پیشگیری از تهدیدات محقق شود، باید مراحل زیر به شکل ساختاریافته اجرا شوند:

گام 1 – شناسایی Telemetry موجود

ابتدا منابع داده و لاگ‌های موجود در سازمان باید بررسی و دسته‌بندی شوند :  SIEM، EDR، Sysmon، Windows Event Logs  و سایر Telemetryها. این گام پایه‌ای است تا هر Detection به داده واقعی متصل باشد.

گام 2 – انتخاب تکنیک‌های اولویت‌دار

تمام تکنیک‌های ATT&CK مهم هستند، اما تمرکز باید روی تکنیک‌هایی باشد که بیشترین ریسک یا تکرار در سازمان دارند. این کار باعث می‌شود منابع تیم امنیتی هدفمند و مؤثر استفاده شوند.

گام 3 – طراحی Detection قابل تست

برای هر تکنیک انتخاب شده، Detection Logic  طراحی و روی داده واقعی تست می‌شود تا از عملکرد صحیح و کم بودن False Positive  اطمینان حاصل شود.

گام 4–    Validation با شبیه‌سازی حمله

Detection ها با شبیه‌سازی حملات واقعی یا ابزارهای Red Team اعتبارسنجی می‌شوند. این مرحله تضمین می‌کند که سیستم‌ها قادر به شناسایی تکنیک‌ها در دنیای واقعی باشند.

گام 5 – اندازه‌گیری Coverage

در نهایت، میزان پوشش دفاعی بررسی می‌شود: چه تکنیک‌هایی شناسایی شده‌اند و کدام‌ها Blind Spot باقی مانده‌اند. این مرحله امکان بهبود مستمر و اولویت‌بندی Detectionها را فراهم می‌کند.

 معیار بلوغ امنیت مبتنی بر ATT&CK (ATT&CK-Driven Maturity)

بلوغ واقعی در استفاده از ATT&CK زمانی شکل می‌گیرد که سازمان از «شناخت چارچوب» عبور کرده و آن را به بخشی از عملیات روزمره SOC و Detection Engineering تبدیل کند. سطوح زیر یک مدل عملی برای ارزیابی این بلوغ ارائه می‌دهند:

Level 1  –  Awareness

سازمان با مفاهیم ATT&CK آشناست.

✔️ شناخت Tactic / Technique

✔️ استفاده آموزشی و مرجع دانشی

✔️ بدون پیاده‌سازی ساختاریافته در Detection

Level 2  –  Mapping Controls

ATT&CK  وارد لایه طراحی امنیت می‌شود.

✔️ نگاشت ابزارها و کنترل‌ها به Techniqueها

✔️ شناسایی Coverage و Blind Spot

✔️ شروع Gap Analysis دفاعی

Level 3  –  Detection Engineering

ATT&CK  به منطق‌های تشخیص تبدیل می‌شود.

✔️ طراحی Use Case مبتنی بر Technique

✔️ تعریف Detection Logic قابل تست

✔️ اتصال مستقیم به Telemetry (SIEM / EDR / Logs)

Level 4  –  ATT&CK-Based Hunting

چارچوب به موتور Threat Hunting تبدیل می‌شود.

Hunting ✔️  فرضیه‌محور بر اساس TTP

✔️ تمرکز بر رفتار، نه IOC

✔️ کشف تهدیدات ناشناخته (Unknown / Fileless)

Level 5  –  Continuous Validation

ATT&CK  مبنای ارزیابی مداوم دفاع است.

✔️ شبیه‌سازی حملات (Adversary Emulation)

✔️ سنجش اثربخشی Detectionها

✔️ بهبود مستمر Coverage و کاهش Detection Gap

این مسیر بلوغ نشان می‌دهد که سازمان ابتدا از مرحله شناخت چارچوب آغاز می‌کند، سپس به سمت مهندسی تشخیص حرکت می‌کند و در نهایت به سطحی از دفاع تهدیدمحور پایدار می‌رسد، جایی که شناسایی‌ها ساختاریافته، قابل اندازه‌گیری و مبتنی بر رفتار واقعی مهاجمان هستند.

در بالاترین سطح بلوغ، ATT&CK  نه‌تنها ابزار تحلیل، بلکه مبنای طراحی، تست و بهینه‌سازی مستمر امنیت سازمان خواهد بود.

 جمع‌بندی

ارزش واقعی ATT&CK زمانی نمایان می‌شود که از یک مرجع تئوریک به یک ابزار عملیاتی تبدیل شود:

✔  وقتی تکنیک‌ها به Detection  قابل اجرا تبدیل شوند
✔  وقتی به Threat Hunting جهت و ساختار بدهد
✔  وقتی Gapها و Blind Spotهای دفاعی را آشکار کند
✔  وقتی به زبان مشترک بین SOC، IR و Threat Intel تبدیل شود

در این مرحله، ATT&CK  دیگر فقط یک ماتریس روی کاغذ نیست، بلکه به یک مدل عملیاتی تبدیل می‌شود که برای طراحی، ارزیابی و ارتقای بلوغ دفاع سایبری سازمان کاربرد دارد.