MITRE ATT&CK ist eine Wissensbasis, die in realen Angriffen beobachtete Vorgehensweisen in „Taktiken“ (Tactics), die das Ziel des Angreifers beschreiben, und „Techniken“ (Techniques), die die konkreten Methoden zum Erreichen dieses Ziels beschreiben, gliedert. Welche Zuordnung eines beobachteten Verhaltens zu einer Taktik ist richtig?

Antwort: C. Sich als Dienst des Betriebssystems zu registrieren, damit man auch nach einem Neustart automatisch läuft, entspricht der Persistenz (Persistence)

In ATT&CK beschreibt eine Taktik, „warum“ ein Angreifer etwas tut (das Ziel), und eine Technik, „wie“; zur Taktik Persistenz gehören etwa die Techniken Registrierung eines Dienstes, geplante Aufgaben und Änderung von Einstellungen, die beim Start ausgeführt werden. Verbindungen auf weitere Server auszudehnen, fällt unter die Taktik Lateral Movement, Daten nach außen zu senden unter Datenausschleusung (Exfiltration). Die Verteidigung ordnet mit ATT&CK ein, welche Techniken die eigenen Erkennungs- und Abwehrmaßnahmen abdecken, und findet so Lücken. Da Techniken Kennnummern tragen, lässt sich dieselbe Vorgehensweise in Threat-Intelligence-Berichten und Erkennungsregeln mit derselben Nummer bezeichnen.