MITRE ATT&CK is een kennisbank die de werkwijzen die bij echte aanvallen zijn waargenomen, indeelt in „tactieken”, die het doel van de aanvaller weergeven, en „technieken”, die de concrete methoden weergeven om dat doel te bereiken. Welke combinatie van een waargenomen handeling en de tactiek waaronder die valt, is juist?

Antwoord: C. Zichzelf als dienst van het besturingssysteem registreren, zodat het ook na een herstart automatisch draait, valt onder persistentie (Persistence)

De tactieken van ATT&CK geven aan „waarom” een aanvaller een handeling uitvoert (het doel) en de technieken „hoe”; de tactiek persistentie omvat bijvoorbeeld technieken als het registreren van een dienst, geplande taken en het wijzigen van instellingen die bij het opstarten worden uitgevoerd. Verbindingen uitbreiden naar andere servers valt onder de tactiek laterale beweging (Lateral Movement), en gegevens naar buiten sturen onder de tactiek exfiltratie (Exfiltration). De verdediging legt op ATT&CK vast welke technieken de eigen detecties en maatregelen afdekken, om zwakke plekken te vinden. Omdat technieken een identificatienummer hebben, kunnen rapporten over dreigingsinformatie en detectieregels dezelfde werkwijze met hetzelfde nummer aanduiden.